Amazon GuardDuty ofrece detección de amenazas inteligente mediante la recopilación, el análisis y la correlación de miles de millones de eventos de AWS CloudTrail, registros de flujo de Amazon VPC y registros de DNS a través de todas sus cuentas asociadas de AWS. Las detecciones de GuardDuty son aún más precisas al incorporar inteligencia de amenazas (como listas de direcciones de IP maliciosas conocidas proporcionadas por AWS Security y socios de inteligencia de amenazas). GuardDuty también utiliza machine learning para detectar actividades anómalas de cuentas y redes. Por ejemplo, GuardDuty le alertará si detecta llamadas al API remotas desde una dirección IP maliciosa, que indicaría el riesgo potencial de las credenciales de AWS. GuardDuty también detecta amenazas directas a su entorno de AWS y le indica qué instancias están afectadas, como puede ser una instancia de Amazon EC2 que envíe datos codificados dentro de las consultas de DNS.

Muchas organizaciones utilizan múltiples cuentas de AWS para ofrecer una asignación de costos adecuada, agilidad y seguridad. Con solo unos clics en la Consola de administración de AWS, podrá centralizar la detección de amenazas al activar Amazon GuardDuty a través de cualquiera de sus cuentas de AWS. Con GuardDuty, no hay necesidad de instalar ninguna infraestructura ni software de seguridad adicional para analizar los datos de actividad de las cargas de trabajos y las cuentas. El equipo del centro de operaciones de seguridad podrá administrar y evaluar las amenazas fácilmente desde una única vista de consola y automatizar las respuestas de seguridad mediante una única cuenta de seguridad.

Además de detectar amenazas, con Amazon GuardDuty también resulta sencillo automatizar las respuestas a dichas amenazas, lo que reduce los tiempos de reparación y recuperación. Es posible configurar los comandos de reparación o las funciones de AWS Lambda para que se activen según los hallazgos de GuardDuty. Los hallazgos de seguridad de GuardDuty incluyen detalles sobre los recursos afectados, como etiquetas, grupos de seguridad o credenciales. Los hallazgos de GuardDuty también incluyen información sobre el atacante, como la dirección IP y su geolocalización. Esto hace que sean informativos y prácticos. Por ejemplo, detectar rápidamente una cuenta en riesgo puede ser difícil si no se está monitorizando continuamente su actividad en tiempo real. Con GuardDuty, si se sospecha que se han robado datos de una instancia, el servicio le alerta para que pueda crear automáticamente una entrada de control de acceso que restringa el acceso saliente de dicha instancia.