Activer GuardDuty dans toute une organisation

Activer GuardDuty dans un seul compte est simple, mais les environnements réels comportent de nombreux comptes. Activer et gérer la détection manuellement dans chacun d’eux est source d’erreurs et laisse des lacunes. AWS résout ce problème grâce au modèle d’administrateur délégué associé à AWS Organizations.

AWS Organizations vous permet de regrouper plusieurs comptes sous un compte de gestion, organisés en unités organisationnelles (OU). Il constitue la base de la gouvernance multi-compte. De nombreux services de sécurité, dont GuardDuty, s’intègrent à Organizations pour fonctionner de manière centralisée dans tous les comptes membres.

Au lieu de gérer la sécurité depuis le puissant compte de gestion, vous désignez pour GuardDuty un compte d’administrateur délégué distinct, généralement un compte de sécurité dédié. Ce compte configure et consulte GuardDuty pour l’ensemble de l’organisation, conformément à la bonne pratique qui consiste à ne pas utiliser le compte de gestion pour les opérations quotidiennes.

Le compte de gestion d’Organizations est extrêmement sensible. AWS recommande donc de le réserver à la facturation et à la gestion des comptes. Déléguer l’administration de la sécurité à un compte distinct limite l’étendue d’un incident et applique la séparation des responsabilités, une bonne pratique du cadre Well-Architected appréciée lors de l’examen.

Une fois la délégation configurée, l’administrateur peut activer GuardDuty dans chaque compte membre existant et consulter tous leurs résultats dans une seule console. Les membres ne peuvent pas désactiver le service lorsque l’administrateur le gère, ce qui garantit une couverture cohérente que les équipes individuelles ne peuvent pas interrompre accidentellement.

Une fonctionnalité essentielle est l’activation automatique : tout nouveau compte ajouté à l’organisation bénéficie automatiquement de GuardDuty. Cela comble la lacune courante où un compte fraîchement créé reste sans surveillance. L’examen valorise cette fonctionnalité, car elle garantit la couverture de détection à mesure que l’organisation grandit.

L’administrateur délégué voit tous les résultats de tous les comptes dans un seul écran. Cette vue centrale est essentielle pour qu’une équipe d’opérations de sécurité à l’échelle de l’organisation puisse effectuer le triage et répondre aux incidents sans se connecter à des dizaines de comptes. Elle alimente également l’agrégation centralisée de Security Hub.

GuardDuty est régional : son activation à l’échelle de l’organisation doit donc être effectuée pour chaque région. Une erreur fréquente consiste à l’activer dans une seule région et à supposer que la couverture est globale. Pour couvrir toute l’activité, vous devez l’activer dans chaque région que vous utilisez, y compris celles dans lesquelles vous ne prévoyez pas d’avoir de ressources.

Pour mettre cela en place, vous devez activer l’accès approuvé de GuardDuty dans Organizations, puis enregistrer l’administrateur délégué. Ensuite, l’administrateur gère de manière centralisée les membres et la configuration. Il s’agit d’une configuration unique qui devient particulièrement avantageuse lorsque l’organisation se développe.

Au-delà de la vue de la console centrale, les organisations acheminent souvent les résultats de chaque compte vers un compte de sécurité central, au moyen de l’agrégation de Security Hub ou en les exportant vers un compartiment S3 partagé et un bus EventBridge. L’équipe chargée des opérations de sécurité dispose ainsi d’un enregistrement durable couvrant tous les comptes. La conception de ce flux central constitue un thème récurrent des examens sur les environnements multi-comptes.

Avant l’intégration à Organizations, les comptes étaient liés par invitation : un administrateur invitait chaque membre, qui devait accepter. Cette méthode fonctionne toujours, mais elle ne passe pas à l’échelle et n’active pas automatiquement les nouveaux comptes. La méthode Organizations, avec un administrateur délégué, est privilégiée, car elle gère les membres de manière centralisée et active automatiquement les nouveaux comptes, ce que l’examen considère comme la meilleure pratique moderne.

Appliquez la détection à l’échelle de l’organisation.

Faites évoluer GuardDuty avec AWS Organizations et un administrateur délégué (un compte de sécurité dédié, et non le compte de gestion). L’administrateur active GuardDuty dans les comptes membres, utilise l’activation automatique pour les nouveaux comptes et consulte tous les résultats de manière centralisée. N’oubliez pas que GuardDuty est régional : activez-le donc pour chaque région afin d’obtenir une couverture complète.