Detectar amenazas: GuardDuty, Inspector, Macie y Security Hub

Las defensas del perímetro reducen lo que entra. Pero una credencial filtrada, un servidor sin parches o un bucket con datos personales expuestos no se ven desde la entrada. Para eso AWS tiene servicios que vigilan adentro: tu actividad, tus servidores y tus datos.

Cada servicio vigila algo distinto

• 

  Amazon GuardDuty

  El vigilante de rondas

  Detecta amenazas analizando de forma continua los eventos de CloudTrail, los VPC Flow Logs y los registros de DNS, con aprendizaje automático e inteligencia de amenazas. Ejemplos: credenciales usadas desde IPs maliciosas, minería de criptomonedas, comunicación con servidores de control. No necesitas encender esos registros tú mismo.
• 

  Amazon Inspector

  El inspector de obras que revisa cerraduras viejas

  Busca vulnerabilidades de software conocidas (CVE) y exposición de red no deseada en instancias EC2, imágenes de contenedores en ECR y funciones Lambda. Escanea de forma continua cuando aparece una vulnerabilidad nueva o cambia el software.
• 

  Amazon Macie

  El auditor que revisa qué hay en cada bodega

  Descubre datos sensibles en S3, como números de tarjeta, documentos de identidad o datos personales, y avisa si un bucket queda público o compartido.
• 

  Amazon Detective

  El detective que reconstruye el incidente

  Ayuda a investigar: arma un grafo con la actividad de CloudTrail, VPC Flow Logs y hallazgos de GuardDuty para responder qué pasó, desde cuándo y qué más tocó.

Security Hub: la central de alertas

Con cinco servicios generando hallazgos en diez cuentas, mirar cada consola por separado no funciona. AWS Security Hub junta los hallazgos en un solo lugar, los prioriza y permite automatizar respuestas.

A finales de 2025, AWS lanzó una nueva versión de Security Hub que correlaciona señales de GuardDuty, Inspector y otras fuentes para mostrar las exposiciones más críticas. El servicio anterior siguió disponible con el nombre AWS Security Hub CSPM (cloud security posture management): revisa tu configuración contra estándares como AWS Foundational Security Best Practices, CIS AWS Foundations Benchmark y PCI DSS.

Trusted Advisor y otras fuentes

AWS Trusted Advisor revisa tu cuenta y da recomendaciones en varias categorías, una de ellas seguridad. Algunos chequeos de seguridad están disponibles para todas las cuentas: puertos abiertos sin restricción en Security Groups, permisos de buckets de S3, MFA en el usuario raíz, uso de IAM y snapshots públicos de EBS o RDS. El conjunto completo de chequeos depende de tu plan de soporte; eso se ve en Soporte y recursos.

Estos servicios se apoyan en los registros: CloudTrail anota cada llamada a la API y AWS Config guarda cómo cambia la configuración de cada recurso. Ver CloudTrail y Config.

Si tu empresa ya usa productos de seguridad de terceros (firewalls de nueva generación, antivirus, SIEM, escáneres), muchos se compran y despliegan desde AWS Marketplace, con la facturación en tu cuenta de AWS.

Criterio	GuardDuty	Inspector	Macie	Security Hub
Pregunta que responde	¿Alguien se está portando raro?	¿Qué software vulnerable tengo?	¿Dónde hay datos sensibles?	¿Qué es lo más urgente en todo lo anterior?
Mira	Actividad: CloudTrail, flujos de red, DNS	EC2, imágenes de ECR, Lambda	Objetos en S3	Hallazgos de otros servicios y la configuración de la cuenta
Resultado	Hallazgos de amenazas	Hallazgos de vulnerabilidades con severidad	Hallazgos de datos sensibles	Vista central, priorización y puntaje de cumplimiento