Mengaktifkan GuardDuty di Seluruh Organisasi

Mengaktifkan GuardDuty di satu akun memang mudah, tetapi lingkungan nyata memiliki banyak akun. Mengaktifkan dan mengelola deteksi di seluruh akun secara manual rentan terhadap kesalahan dan dapat menimbulkan celah. AWS mengatasi hal ini dengan model administrator yang didelegasikan yang terhubung ke AWS Organizations.

AWS Organizations memungkinkan Anda mengelompokkan beberapa akun di bawah satu akun manajemen, yang disusun dalam Unit Organisasi (OU). Layanan ini menjadi dasar tata kelola banyak akun. Banyak layanan keamanan, termasuk GuardDuty, terintegrasi dengan Organizations untuk beroperasi secara terpusat di semua akun anggota.

Alih-alih menjalankan keamanan dari akun manajemen yang memiliki wewenang besar, Anda menetapkan akun administrator yang didelegasikan terpisah untuk GuardDuty, biasanya akun keamanan khusus. Akun ini mengonfigurasi dan melihat GuardDuty untuk seluruh organisasi, mengikuti praktik terbaik untuk tidak menggunakan akun manajemen dalam operasi sehari-hari.

Akun manajemen Organizations sangat sensitif, sehingga AWS merekomendasikan agar akun tersebut hanya digunakan untuk penagihan dan pengelolaan akun. Mendelegasikan administrasi keamanan ke akun terpisah membatasi dampak kerusakan dan menerapkan pemisahan tugas, yaitu praktik terbaik Well-Architected yang diutamakan dalam ujian.

Setelah delegasi ditetapkan, administrator dapat mengaktifkan GuardDuty di setiap akun anggota yang sudah ada dan melihat temuannya dalam satu konsol. Anggota tidak dapat menonaktifkan layanan jika layanan tersebut dikelola oleh administrator, sehingga cakupan tetap konsisten dan tidak dapat dimatikan secara tidak sengaja oleh tim individual.

Fitur pentingnya adalah aktivasi otomatis: setiap akun baru yang ditambahkan ke organisasi akan otomatis mengaktifkan GuardDuty. Hal ini menutup celah umum ketika akun yang baru dibuat tidak dipantau. Ujian menganggap fitur ini penting karena menjamin cakupan deteksi seiring pertumbuhan organisasi.

Administrator yang didelegasikan dapat melihat semua temuan dari semua akun dalam satu tampilan. Tampilan terpusat ini penting bagi tim operasi keamanan seluruh organisasi untuk melakukan triase dan merespons tanpa harus masuk ke puluhan akun. Tampilan ini juga memasok penggabungan terpusat Security Hub.

GuardDuty bersifat regional, jadi pengaktifannya di seluruh organisasi harus dilakukan per Wilayah. Kesalahan yang umum terjadi adalah mengaktifkannya di satu Wilayah lalu menganggap cakupannya sudah global. Untuk mencakup semua aktivitas, aktifkan layanan ini di setiap Wilayah yang Anda gunakan, termasuk Wilayah yang menurut perkiraan Anda tidak akan memiliki sumber daya.

Penyiapan ini mengharuskan Anda mengaktifkan akses tepercaya untuk GuardDuty di Organizations, lalu mendaftarkan administrator yang didelegasikan. Setelah itu, administrator mengelola keanggotaan dan konfigurasi secara terpusat. Ini adalah penyiapan satu kali yang manfaatnya terasa ketika organisasi berkembang.

Selain tampilan konsol terpusat, organisasi sering merutekan temuan dari setiap akun ke akun keamanan terpusat melalui agregasi Security Hub atau dengan mengekspornya ke bucket S3 bersama dan bus EventBridge. Dengan demikian, tim operasi keamanan memiliki satu catatan yang tahan lama dan mencakup semua akun. Merancang alur terpusat ini merupakan tema ujian multi-akun yang sering muncul.

Sebelum integrasi Organizations, akun ditautkan melalui undangan: administrator mengundang setiap anggota, lalu anggota tersebut harus menerima undangan. Metode ini masih berfungsi, tetapi tidak dapat diskalakan dan tidak mengaktifkan akun baru secara otomatis. Metode Organizations dengan administrator yang didelegasikan lebih disukai karena mengelola keanggotaan secara terpusat dan mengaktifkan akun baru secara otomatis, yang dianggap ujian sebagai praktik terbaik modern.

Terapkan deteksi di seluruh organisasi.

Skalakan GuardDuty dengan AWS Organizations dan administrator yang didelegasikan (akun keamanan khusus, bukan akun manajemen). Administrator mengaktifkan GuardDuty di seluruh akun anggota, menggunakan pengaktifan otomatis untuk akun baru, dan melihat semua temuan secara terpusat. Ingat bahwa GuardDuty bersifat regional, jadi aktifkan layanan ini per Wilayah untuk mendapatkan cakupan penuh.