Ciberseguridad y seguridad de la información

Investigación de credenciales de AWS sospechosas con CloudTrail y GuardDuty

6 min de lecturaPublicado: 5 de agosto de 2026

Ilustración visual profesional sobre la investigación de credenciales de AWS en el campo de la seguridad en la nube y la respuesta a incidentes

Respuesta rápida

La investigación de credenciales de AWS requiere conectar la identidad, los registros de auditoría, las acciones de la API, los recursos, las regiones y las sesiones. Se comienza conservando la evidencia y construyendo una línea de tiempo, y solo después se realiza una contención documentada.

La investigación en la nube requiere conectar identidades, plano de control, recursos, claves, sesiones y servicios de seguridad. Dado que la actividad se distribuye entre servicios y regiones, una línea de tiempo y la comprensión de los permisos son cruciales. Este artículo se centra en la investigación de credenciales de AWS y está dirigido a analistas de la nube y SOC. El objetivo es proporcionar una metodología que se pueda aplicar en la práctica, en una entrevista profesional y en un entorno de trabajo, sin limitarse a una definición de diccionario.

El desafío principal es que los datos son casi siempre parciales. CloudTrail, GuardDuty, IAM principal pueden indicar una dirección, pero su significado depende del tiempo, el activo, el usuario y la actividad esperada. Por lo tanto, construiremos la investigación en torno a una pregunta de investigación, la evidencia requerida y un criterio claro para su finalización.

El escenario práctico en el artículo es: investigar llamadas a la API simuladas desde una ubicación anómala. Todos los ejemplos son datos de laboratorio o descripciones de procesos. Cuando se trata de Penetration Testing, Web o Cloud, solo se debe trabajar con aprobación explícita, un alcance definido y la capacidad de detener la prueba.

Fuentes de telemetría

En esta etapa se define qué evidencia se necesita para responder a la pregunta de investigación. Para la investigación de credenciales de AWS, los puntos básicos son Principal y sesión, acción de la API, recurso y región, IP de origen y agente de usuario. Para cada fuente, se documentan el propietario, el período de retención, la zona horaria, el retraso de ingesta y los campos que pueden faltar.

La calidad de la recolección no se mide por la 'llegada' del registro. Se debe verificar la completitud, la latencia, el análisis, los eventos duplicados y la sincronización horaria. Una prueba canario o un evento de laboratorio conocido permite verificar que la acción apareció en la fuente, pasó por el Pipeline y se puede buscar en los campos correctos.

Principal y clave de acceso

El tema 'Principal y clave de acceso' es una parte central del trabajo sobre la investigación de credenciales de AWS. Se recomienda dividirlo en tres preguntas: ¿cuál es la entrada, qué decisión se desea tomar y qué evidencia es suficiente para justificarla? Estas preguntas evitan el uso automático de una herramienta sin comprender el propósito.

En la práctica, registre CloudTrail, GuardDuty, IAM principal, access key, AssumeRole, compare con el comportamiento esperado y defina al menos un Pivot. El resultado debe ser verificable por otro analista, incluyendo limitaciones y próximos pasos.

Línea de tiempo de CloudTrail

La línea de tiempo es la columna vertebral de la investigación de credenciales de AWS. Se normalizan los tiempos a UTC o se especifica explícitamente la zona horaria, se guardan tanto el tiempo del evento como el tiempo de ingesta, y se conectan los eventos mediante identificadores estables. La fila debe incluir hora, fuente, entidad, acción, resultado y confiabilidad.

Una brecha o contradicción no es un error en el documento sino un hallazgo. La deriva del reloj, el retraso de la ingesta, NAT, la reutilización de PID o una sesión continua pueden cambiar el orden. Por lo tanto, se especifican rangos de incertidumbre y se mantiene un enlace de regreso a la evidencia bruta.

GuardDuty y Scoping

El tema 'GuardDuty y Scoping' es una parte central del trabajo sobre la investigación de credenciales de AWS. Se recomienda dividirlo en tres preguntas: ¿cuál es la entrada, qué decisión se desea tomar y qué evidencia es suficiente para justificarla? Estas preguntas evitan el uso automático de una herramienta sin comprender el propósito.

Contención, rotación y lecciones aprendidas

La respuesta a la investigación de credenciales de AWS debe reducir el riesgo sin borrar la evidencia que aún se necesita. Se comienza con una acción reversible y enfocada, se confirma la propiedad y la autoridad, y se documenta el tiempo, el ejecutante y el resultado.

La corrección a largo plazo aborda la causa raíz: permisos, configuración, validación, telemetría, proceso o capacitación. Después de la implementación, se realiza una nueva prueba y se monitorean las señales de recurrencia, en lugar de conformarse con cerrar el ticket.

Puntos de prueba únicos

En este tema se recomienda construir un mapa de evidencia enfocado de antemano. Los puntos de prueba centrales son: CloudTrail, GuardDuty, IAM principal, access key, AssumeRole, region, S3/Lambda/EC2. La lista no es una lista de verificación automática; cada elemento se elige porque puede vincular una entidad, una acción y un tiempo o explicar un comportamiento legítimo.

CloudTrail: Defina cuál es el valor esperado, qué se consideraría anómalo y qué fuente adicional verificará el hallazgo.
GuardDuty: Defina cuál es el valor esperado, qué se consideraría anómalo y qué fuente adicional verificará el hallazgo.
IAM principal: Defina cuál es el valor esperado, qué se consideraría anómalo y qué fuente adicional verificará el hallazgo.
access key: Defina cuál es el valor esperado, qué se consideraría anómalo y qué fuente adicional verificará el hallazgo.
AssumeRole: Defina cuál es el valor esperado, qué se consideraría anómalo y qué fuente adicional verificará el hallazgo.
region: Defina cuál es el valor esperado, qué se consideraría anómalo y qué fuente adicional verificará el hallazgo.

Cuando uno de los puntos no está disponible, se debe documentar la brecha y elegir una alternativa. Por ejemplo, si el Process identifier no es estable, se puede usar tiempo, Host, User y Parent; si el Payload está cifrado, se usan Metadata, volumen, frecuencia y contexto TLS/DNS.

Proceso de trabajo recomendado

Defina el Scope y una pregunta de trabajo sobre la investigación de credenciales de AWS.
Registre las fuentes de datos y la evidencia necesaria: CloudTrail, GuardDuty, IAM principal, access key.
Cree una línea de base corta de comportamiento normal o resultado esperado.
Realice la prueba mínima en un entorno de laboratorio y guarde el tiempo, la entrada y la salida.
Construya una línea de tiempo o tabla de comparación y separe los hechos de la interpretación.
Realice un Pivot a otra fuente para verificar o refutar la explicación inicial.
Resuma la decisión, las limitaciones, la acción recomendada y el criterio de Retest.

Escenario práctico

El escenario elegido es la investigación de llamadas a la API simuladas desde una ubicación anómala. El objetivo del ejercicio no es probar la capacidad de ataque, sino practicar la recolección, comparación y documentación de forma segura. Antes de comenzar el trabajo, se definen datos simulados, un plazo de tiempo y un resultado esperado.

Al finalizar el ejercicio, se debe entregar un producto que otro analista o evaluador pueda revisar: una captura de pantalla o una exportación de la evidencia, una línea de tiempo corta, una hipótesis inicial, una evidencia de confirmación, una limitación y una recomendación. Cuando no hay suficiente evidencia, la conclusión correcta es que el escenario no ha sido probado.

Etapa	Qué se realiza	Producto
Preparación	Defina el Scope, el tiempo y el objetivo. Registre qué campos o evidencias de CloudTrail, GuardDuty, IAM principal se espera que aparezcan.	Plan de prueba corto
Creación de datos	Realice una acción segura y simulada relacionada con la investigación de credenciales de AWS, sin información real ni impacto en un sistema de producción.	Evento/Solicitud/Flujo controlado
Recolección	Recopile la evidencia bruta y el contexto de otra fuente. Verifique la zona horaria, los identificadores y la integridad.	Dos evidencias vinculadas
Análisis	Escriba qué prueba cada evidencia, qué no prueba y cuál es la posible explicación legítima.	Conclusión provisional
Finalización	Elija cierre, escalada, hallazgo o ajuste; añada recomendación y Retest.	Producto documentado

Lista de verificación práctica

Verifique y documente: Principal y sesión.
Verifique y documente: Acción de la API.
Verifique y documente: Recurso y región.
Verifique y documente: IP de origen y agente de usuario.
Verifique y documente: ID de evento de auditoría.
Verifique y documente: Hallazgo de GuardDuty/Defender/SCC.
Indique la zona horaria, la versión de la herramienta y la hora de recolección.
Guarde los datos brutos antes de filtrar o modificar.
Escriba lo que demuestra el hallazgo y lo que aún se desconoce.
Defina el propietario y la acción de seguimiento con la fecha.

Errores comunes

Centrarse en una sola área.
Rotar una clave antes de conservar la línea de tiempo.
No verificar AssumeRole o Token.
Ignorar el Control Plane.
No mapear permisos efectivos.
Concluir que la ubicación geográfica prueba un ataque.

Resumen y CTA

La investigación de credenciales de AWS sospechosas con CloudTrail y GuardDuty es un tema que conecta el conocimiento técnico con la disciplina laboral. Comience con una pregunta, recopile solo evidencia relevante, conserve el contexto y el tiempo, y elija una acción que pueda justificarse y volver a verificarse.

En el programa Cybersecurity & AI de HPI, estos principios se practican utilizando sistemas, registros y laboratorios. Una continuación natural es pasar a los artículos vinculados, realizar el ejercicio de laboratorio y guardar el producto como parte de un portafolio profesional.

Preguntas frecuentes

¿La investigación de credenciales de AWS por sí sola prueba un ataque o una debilidad?

No. Proporciona una señal o un hallazgo que necesita contexto, verificación y una fuente adicional. Una conclusión profesional se basa en una secuencia de evidencia y en la coincidencia con el comportamiento esperado.

¿Qué se hace cuando faltan algunos datos?

Se documenta lo que falta, se verifica una fuente alternativa y se reduce el nivel de certeza. No se deben completar campos con conjeturas ni presentar "Desconocido" como válido.

¿Cuánto tiempo se debe conservar la evidencia?

El tiempo depende de la política, la regulación, el costo y el tipo de incidente. Es importante definir de antemano la retención, la retención legal y la capacidad de exportar la evidencia en un formato que pueda verificarse.

¿Cómo se practica sin poner en riesgo un sistema real?

Se utilizan máquinas virtuales, datos simulados, CTF o un laboratorio dedicado. En las pruebas autorizadas, se definen el Scope, las condiciones de parada y la copia de seguridad antes de comenzar el trabajo.