Una empresa tiene cientos de cuentas de AWS en una configuración de AWS Organizations de una sola región. Una cuenta dedicada a herramientas de seguridad es el administrador delegado tanto para Amazon GuardDuty como para AWS Security Hub. GuardDuty y Security Hub se habilitan automáticamente para todas las cuentas existentes y nuevas. Durante las pruebas de control, el equipo lanzó una instancia EC2 y emitió consultas DNS a example.com para activar un hallazgo de DNS de GuardDuty, pero no apareció ningún hallazgo en la cuenta de administrador delegado de Security Hub. ¿Cuál es la razón más probable por la que no se creó el hallazgo?

La razón más probable es que el conjunto de opciones de DHCP de la VPC apunta a un resolvedor OpenDNS personalizado. GuardDuty utiliza los registros de DNS para detectar actividades maliciosas. Si las consultas DNS se dirigen a un resolvedor externo no gestionado por AWS (como OpenDNS), GuardDuty no puede inspeccionar esos registros y, por lo tanto, no generará hallazgos basados en ellos. VPC Flow Logs no son un requisito directo para que GuardDuty detecte hallazgos de DNS; GuardDuty tiene sus propias fuentes de datos, incluyendo la actividad de DNS de AWS. La integración de GuardDuty con Security Hub se gestiona a nivel de administrador delegado, y la configuración automática para todas las cuentas implica que esta integración debería estar activa. La agregación entre regiones no es relevante aquí, ya que el problema ocurre en una configuración de una sola región.