Seguridad centralizada y modelado de amenazas

Con una cuenta, abres la consola de GuardDuty y miras. Con 80 cuentas en cuatro regiones, eso son 320 consolas. La seguridad de una organización necesita tres cosas centralizadas: quién administra los servicios de seguridad, dónde llegan los hallazgos y dónde se guardan los registros. Y necesita un método para anticipar ataques antes de construir.

Esta lección parte de Detectar amenazas y de CloudTrail y Config, donde se explica qué hace cada servicio.

Cuentas dedicadas y administradores delegados

La arquitectura de referencia de seguridad de AWS (AWS SRA) separa dos cuentas en una OU de seguridad. La cuenta de herramientas de seguridad (Control Tower la llama Audit) administra los servicios. La cuenta de archivo de registros (Log Archive) guarda los logs en buckets protegidos.

En Organizations, la cuenta de administración designa a la cuenta de herramientas como administrador delegado de cada servicio: GuardDuty, Inspector, Macie, Security Hub, Security Lake, Detective, IAM Access Analyzer, Config y Firewall Manager, entre otros. Así nadie trabaja a diario en la cuenta de administración, que además no está limitada por las SCP.

1. 1

   Designa el administrador delegado

   Desde la cuenta de administración, en cada servicio y, para los servicios regionales, en cada región que uses.
2. 2

   Activa en toda la organización

   GuardDuty, Inspector y Macie permiten activar automáticamente las cuentas existentes y las nuevas. Una cuenta creada mañana queda protegida sin que nadie lo recuerde.
3. 3

   Centraliza la configuración

   Security Hub CSPM tiene configuración central: políticas que activan estándares y controles por OU desde una región de origen.
4. 4

   Agrega regiones

   Elige una región de agregación en Security Hub y regiones de consolidación (rollup) en Security Lake.
5. 5

   Protege con SCP

   Niega desactivar GuardDuty, borrar el trail de la organización o salir de la organización, para que un atacante con permisos en una cuenta no apague la vigilancia.

Security Hub: hallazgos de toda la organización

En diciembre de 2025, la nueva AWS Security Hub quedó disponible de forma general. Correlaciona señales de GuardDuty, Inspector, Macie y Security Hub CSPM para crear hallazgos de exposición: una instancia alcanzable desde internet, con una vulnerabilidad explotable y un rol con demasiados permisos aparece como un solo riesgo, no como tres alertas sueltas. Normaliza esos hallazgos en el formato abierto OCSF y abre tickets en Jira o ServiceNow.

El servicio anterior sigue como AWS Security Hub CSPM: revisa la configuración contra estándares (AWS Foundational Security Best Practices, CIS, PCI DSS, NIST), usa el formato ASFF y depende de AWS Config para la mayoría de los controles. Ambos admiten administrador delegado y agregación entre regiones.

Security Lake y el registro centralizado

Amazon Security Lake arma un lago de datos de seguridad en buckets de S3 de tu cuenta: los datos son tuyos. Recoge registros de cuentas y regiones, los convierte a Apache Parquet y al esquema abierto OCSF (Open Cybersecurity Schema Framework), y administra su retención.

• Fuentes de AWS nativas: eventos de administración y de datos de CloudTrail, VPC Flow Logs, consultas de Route 53 Resolver, logs de auditoría de EKS, logs de AWS WAF y hallazgos de Security Hub CSPM.
• Fuentes personalizadas: firewalls, sistemas locales, SaaS o cualquier herramienta que escriba en OCSF.
• Suscriptores: con acceso a datos, reciben aviso de cada objeto nuevo y leen de S3 (un SIEM); con acceso de consulta, consultan las tablas con Athena u otros motores vía Lake Formation.

Criterio	Security Hub	Security Lake	Trail de la organización	Agregador de Config
Guarda	Hallazgos y exposiciones priorizadas	Registros crudos normalizados en OCSF	Llamadas a la API de todas las cuentas	Configuración y cumplimiento de recursos
Pregunta que responde	¿Qué arreglo primero?	¿Qué pasó exactamente, en todas partes, hace 9 meses?	¿Quién hizo qué y cuándo?	¿Qué recursos no cumplen, en qué cuentas?
Dónde vive	Cuenta de herramientas de seguridad	Cuenta de herramientas o de registros (administrador delegado)	Bucket en la cuenta de archivo de registros	Cuenta de herramientas de seguridad

El trail de la organización se crea desde la cuenta de administración (o el administrador delegado de CloudTrail) y registra todas las cuentas; las cuentas miembro lo ven pero no lo pueden cambiar ni borrar. El agregador de organización de AWS Config junta, en solo lectura, la configuración y el cumplimiento de todas las cuentas y regiones.

Respuesta automática con EventBridge

GuardDuty y Security Hub publican sus hallazgos como eventos en Amazon EventBridge, también en la cuenta del administrador delegado para los hallazgos de las cuentas miembro. Una regla filtra por tipo y severidad y dispara la respuesta:

• Notificar al equipo de guardia por SNS o en un canal de chat.
• Aislar una instancia comprometida: una función Lambda o un runbook de Systems Manager Automation cambia su Security Group por uno sin reglas y toma un snapshot para la investigación.
• Desactivar una llave de acceso filtrada y revocar las sesiones activas del rol.
• Orquestar pasos con aprobación humana en Step Functions.

Empieza con notificaciones y automatiza la contención solo para hallazgos de alta confianza. Más sobre el patrón en EventBridge y en Runbooks y simulacros.

Modelado de amenazas con STRIDE

Los servicios anteriores detectan problemas cuando ya existen. El modelado de amenazas los busca en el diseño, cuando arreglarlos cuesta una conversación. El enfoque de las cuatro preguntas, que AWS usa en su guía y en su herramienta Threat Composer, ordena el ejercicio:

1. 1

   ¿Qué estamos construyendo?

   Un diagrama de flujo de datos: componentes, datos que se mueven y límites de confianza (internet → borde → VPC → base de datos).
2. 2

   ¿Qué puede salir mal?

   Recorre cada flujo y cada límite con STRIDE y escribe amenazas concretas.
3. 3

   ¿Qué vamos a hacer al respecto?

   Para cada amenaza: mitigar, eliminar, transferir o aceptar, con un responsable.
4. 4

   ¿Hicimos un buen trabajo?

   Revisa que las mitigaciones existan de verdad, que las pruebas las cubran, y repite cuando cambie el diseño.

Ejemplo: una tienda en línea con CloudFront delante de un ALB, contenedores en ECS, Cognito para los clientes, una base Aurora y un bucket de S3 donde los clientes suben fotos.