GuardDuty en PYMES: tuning de alertas que no ahoga al equipo
Suprimir ruido, retener señales críticas y conectar GuardDuty a un canal que alguien lee.
GuardDuty activado en cuenta AWS de PYME boricua genera 200 alertas la primera semana — CryptoCurrency mining en instancia de dev olvidada, reconnaissance desde IP conocida de scanner, IAM anomalía en root. Sin tuning, equipo de dos personas ignora todo; con tuning, pierden señal real. El AWS Security Blog publica runbooks de finding types — úselos como base, no como spam inbox.
Suppression rules documentadas: findings esperados de vulnerability scanner contratado, actividad known de CI/CD en cuenta dev, partners mainland con IP fija. Cada suppressión con expiry review trimestral — suppress forever es ceguera autoimpuesta. Severity HIGH y CRITICAL nunca suppress sin ticket.
Integración: EventBridge a SNS, Slack, o Jira — canal que alguien revisa diariamente laborables. Para PR sin SOC 24/7, MSSP co-managed puede triage GuardDuty findings en horario extendido. CISA recomienda centralizar alertas cloud con on-prem donde aplique.
Correlación: GuardDuty solo en una cuenta es incomplete picture. Organizations con delegated admin centraliza findings de prod, dev, y logging account. Multi-account landing zone — aunque lite — mejora signal-to-noise separando sandbox ruidoso de prod.
Playbooks por finding type: S3.PublicAccess → verify intentional, revert si no. CredentialExfiltration → rotate keys, review CloudTrail. Entrene IT interno en top 10 findings antes de activar — GuardDuty sin respuesta es log caro. PYMES en San Juan compiten con amenazas globales; GuardDuty tuned es radar affordable.
Escribe sobre ciberseguridad práctica para pymes en Puerto Rico y el Caribe — sin relleno, con lo que realmente hay que hacer.
