Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.
Niveles de gravedad de los hallazgos GuardDuty
Cada GuardDuty hallazgo tiene un nivel de gravedad y un valor asignados que reflejan el riesgo potencial que el hallazgo podría suponer para su entorno, según lo determinen nuestros ingenieros de seguridad. El valor de la gravedad puede estar comprendido entre 1,0 y 10,0, y los valores más altos indican un mayor riesgo de seguridad. Para ayudarle a determinar la respuesta a un posible problema de seguridad que se refleje en un hallazgo, GuardDuty divida este rango en los niveles de gravedad crítico, alto, medio y bajo.
Un hallazgo de un tipo concreto puede tener una gravedad diferente en función del contexto específico del hallazgo. Para ver una lista consolidada de los niveles de gravedad predeterminados para todos los tipos de GuardDuty hallazgos, consulteGuardDuty tipos de búsqueda activos.
En las siguientes secciones se explican los niveles de gravedad definidos para los GuardDuty hallazgos.
Gravedad crítica
Rango de valores: 9,0 - 10,0
Descripción: Un nivel de gravedad crítico indica que una secuencia de ataque puede estar en curso o haber ocurrido recientemente. Uno o más AWS recursos, como las credenciales de inicio de sesión de los IAM usuarios y el bucket de Amazon S3, pueden estar en peligro o ya lo están.
Recomendación: GuardDuty recomienda priorizar la clasificación y la corrección de todos los hallazgos de gravedad crítica, ya que estos problemas pueden ser parte de un ataque de ransomware y agravarse en cualquier momento. Consulte los detalles sobre los recursos involucrados y comience a abordar los problemas de seguridad. Para obtener más información, consulte Corrección de resultados.
Gravedad alta
Rango de valores: 7,0 - 8,9
Descripción: Un nivel de gravedad alto indica que el recurso en cuestión (una EC2 instancia de Amazon o un conjunto de credenciales de inicio de sesión de IAM usuario) está comprometido y se está utilizando activamente para fines no autorizados.
Recomendación: le GuardDuty recomienda que dé prioridad a cualquier problema de seguridad relacionado con la detección de problemas de alta gravedad y que tome medidas correctivas inmediatas para evitar un mayor uso no autorizado de sus recursos. Por ejemplo, limpia tu EC2 instancia de Amazon, ciérrala o rota las IAM credenciales. Siga los pasos que se indican Corrección de resultados a continuación para corregir el hallazgo.
Gravedad media
Rango de valores: 4,0 - 6,9
Descripción: Un nivel de gravedad medio indica una actividad sospechosa que se desvía del comportamiento habitual y, según el caso de uso, puede indicar que los recursos están comprometidos.
Recomendación: GuardDuty recomienda investigar el recurso potencialmente afectado lo antes posible. Los pasos de remediación variarán según el recurso y la búsqueda de un familiar. Un enfoque establecido consiste en confirmar que la actividad está autorizada y es coherente con su caso de uso. Si no puede identificar la causa o confirmar que la actividad se autorizó, debe considerar que el recurso está en peligro. Siga los pasos que se indican Corrección de resultados a continuación para corregir el hallazgo.
Estos son algunos aspectos que se deben tener en cuenta al revisar un hallazgo de nivel medio:
-
Compruebe si un usuario autorizado ha instalado nuevo software que haya cambiado el comportamiento de un recurso (por ejemplo, permitir un tráfico superior al normal o habilitar la comunicación en un nuevo puerto).
-
Verifique si un usuario autorizado cambió la configuración del plano de control; por ejemplo, si modificó la configuración de un grupo de seguridad.
-
Ejecute un examen antivirus en el recurso implicado para detectar software no autorizado.
-
Verifique los permisos asociados al rol, usuario, grupo o conjunto de credenciales de IAM implicado. Tal vez sea necesario cambiarlos o moverlos.
Gravedad baja
Rango de valores: 1,0 - 3,9
Descripción: Un nivel de gravedad bajo indica un intento de actividad sospechosa que no puso en peligro su entorno, por ejemplo, un escaneo de puertos o un intento de intrusión fallido.
Recomendación: No se recomienda ninguna acción inmediata, pero vale la pena tomar nota de esta información, ya que puede indicar que alguien está buscando puntos débiles en su entorno.
