Checklist de seguridad en AWS

• Cuenta raíz con MFA, sin llaves de acceso y usada solo para tareas que la requieren.
• Accesos de personas con IAM Identity Center (SSO) y MFA, no con usuarios IAM con llaves permanentes.
• Mínimo privilegio: revisa políticas con "*" y usa IAM Access Analyzer para encontrar accesos externos o no usados.
• Rota o elimina llaves de acceso antiguas; prefiere roles para aplicaciones.
• Varias cuentas con AWS Organizations para separar producción, pruebas y registros.

• CloudTrail activo en todas las regiones, enviando a un bucket protegido.
• GuardDuty activado para detectar actividad sospechosa.
• Security Hub con el estándar Foundational Security Best Practices para ver brechas de configuración.
• Alertas por correo o chat ante eventos críticos (inicio de sesión de root, cambios de IAM).

• S3 Block Public Access activado a nivel de cuenta.
• Cifrado en reposo en S3, EBS y RDS (KMS).
• Respaldos con AWS Backup y prueba periódica de restauración; copia en otra cuenta o región para resistir un ransomware.

• Grupos de seguridad sin SSH (22) ni RDP (3389) abiertos a 0.0.0.0/0; usa Systems Manager Session Manager.
• Bases de datos en subredes privadas.
• Instancias con IMDSv2 obligatorio.
• Parches automatizados con Systems Manager.

Configura AWS Budgets con alertas: un gasto que se dispara puede ser minería de criptomonedas con credenciales robadas.