Habilitación de GuardDuty en una organización

Activar GuardDuty en una cuenta es fácil, pero los entornos reales tienen muchas cuentas. Habilitar y administrar la detección manualmente en todas ellas es propenso a errores y deja brechas. AWS resuelve este problema mediante el modelo de administrador delegado vinculado a AWS Organizations.

AWS Organizations permite agrupar varias cuentas bajo una cuenta de administración, organizadas en unidades organizativas (OU). Es la base de la gobernanza con varias cuentas. Muchos servicios de seguridad, incluido GuardDuty, se integran con Organizations para operar de forma centralizada en todas las cuentas miembro.

En lugar de gestionar la seguridad desde la potente cuenta de administración, se designa una cuenta independiente de administrador delegado para GuardDuty, normalmente una cuenta de seguridad dedicada. Esta cuenta configura y consulta GuardDuty para toda la organización, siguiendo la práctica recomendada de no utilizar la cuenta de administración para las operaciones diarias.

La cuenta de administración de Organizations es extremadamente confidencial, por lo que AWS recomienda reservarla únicamente para la facturación y la administración de cuentas. Delegar la administración de la seguridad en una cuenta independiente limita el radio de impacto y aplica la separación de funciones, una práctica recomendada de Well-Architected que el examen considera favorablemente.

Una vez configurada la delegación, el administrador puede habilitar GuardDuty en todas las cuentas miembro existentes y consultar sus resultados desde una única consola. Los miembros no pueden deshabilitar el servicio si el administrador lo gestiona, lo que garantiza una cobertura uniforme que los equipos individuales no pueden desactivar accidentalmente.

Una función clave es auto-enable: cualquier cuenta nueva añadida a la organización activa GuardDuty automáticamente. Esto elimina la brecha habitual en la que una cuenta recién creada queda sin supervisión. El examen valora esta función porque garantiza la cobertura de detección a medida que crece la organización.

El administrador delegado ve todos los resultados de todas las cuentas en un único panel. Esta vista central es esencial para que un equipo de operaciones de seguridad de toda la organización clasifique y responda sin iniciar sesión en docenas de cuentas. También alimenta la agregación centralizada de Security Hub.

GuardDuty es regional, por lo que para habilitarlo en toda la organización debe hacerlo por región. Un error común consiste en habilitarlo en una región y asumir que la cobertura es global. Para cubrir toda la actividad, debe habilitarlo en cada región que utilice, incluidas aquellas en las que no espera tener recursos.

Para configurarlo, primero debe habilitar el acceso de confianza de GuardDuty en Organizations y, después, registrar al administrador delegado. A partir de ese momento, el administrador gestiona de forma centralizada la pertenencia y la configuración. Es una configuración única que resulta rentable a medida que la organización crece.

Además de la vista de la consola central, las organizaciones suelen dirigir los hallazgos de todas las cuentas a una cuenta de seguridad central mediante la agregación de Security Hub o exportándolos a un bucket de S3 y un bus de EventBridge compartidos. Esto proporciona al equipo de operaciones de seguridad un único registro duradero que abarca todas las cuentas. Diseñar este flujo central es un tema recurrente en los exámenes sobre entornos con varias cuentas.

Antes de la integración con Organizations, las cuentas se vinculaban mediante una invitación: un administrador invitaba a cada miembro y este debía aceptarla. Sigue funcionando, pero no escala ni habilita automáticamente las cuentas nuevas. Se prefiere el método de Organizations con un administrador delegado porque gestiona la pertenencia de forma centralizada y habilita automáticamente a los nuevos miembros, lo que el examen considera la práctica recomendada moderna.

Aplique la detección en toda la organización.

Escale GuardDuty con AWS Organizations y un administrador delegado (una cuenta de seguridad dedicada, no la cuenta de administración). El administrador habilita GuardDuty en las cuentas miembro, utiliza auto-enable para las cuentas nuevas y consulta todos los hallazgos de forma centralizada. Recuerde que GuardDuty es regional, por lo que debe habilitarlo por región para obtener una cobertura completa.