Abilitare GuardDuty nell'intera organizzazione

Attivare GuardDuty in un singolo account è semplice, ma gli ambienti reali comprendono molti account. Abilitare e gestire manualmente il rilevamento in tutti gli account è soggetto a errori e lascia spazio a lacune. AWS risolve il problema con il modello di amministratore delegato associato ad AWS Organizations.

AWS Organizations consente di raggruppare più account sotto un unico account di gestione, organizzandoli in Organizational Unit (OU). È la base per la governance multi-account. Molti servizi di sicurezza, incluso GuardDuty, si integrano con Organizations per operare centralmente in tutti gli account membri.

Invece di gestire la sicurezza dall'account di gestione, che dispone di ampi privilegi, si designa un account separato come amministratore delegato di GuardDuty, generalmente un account di sicurezza dedicato. Questo account configura e visualizza GuardDuty per l'intera organizzazione, seguendo la best practice di non utilizzare l'account di gestione per le operazioni quotidiane.

L'account di gestione di Organizations è estremamente sensibile, quindi AWS consiglia di riservarlo esclusivamente alla fatturazione e alla gestione degli account. Delegare l'amministrazione della sicurezza a un account separato limita il raggio d'azione di un eventuale incidente e applica la separazione dei compiti, una best practice di Well-Architected sostenuta dall'esame.

Una volta configurata la delega, l'amministratore può abilitare GuardDuty in ogni account membro esistente e visualizzarne i risultati in un'unica console. I membri non possono disabilitare il servizio quando è gestito dall'amministratore, garantendo una copertura coerente che i singoli team non possono disattivare accidentalmente.

Una funzione fondamentale è auto-enable: ogni nuovo account aggiunto all'organizzazione riceve automaticamente GuardDuty attivato. In questo modo si elimina la lacuna comune per cui un account appena creato rimane senza monitoraggio. L'esame attribuisce importanza a questa funzione perché garantisce la copertura del rilevamento durante la crescita dell'organizzazione.

L'amministratore delegato visualizza tutti i risultati di tutti gli account in un'unica schermata. Questa vista centralizzata è essenziale per un team di security operations a livello organizzativo, che può effettuare il triage e rispondere senza accedere a decine di account. Alimenta inoltre l'aggregazione centralizzata di Security Hub.

GuardDuty è regionale, quindi per abilitarlo a livello dell'organizzazione è necessario farlo per ogni Regione. Un errore comune consiste nell'abilitarlo in una sola Regione e presumere di avere una copertura globale. Per coprire tutte le attività, è necessario abilitarlo in ogni Regione utilizzata, comprese quelle in cui non si prevede di avere risorse.

Per configurarlo è necessario abilitare l'accesso affidabile per GuardDuty in Organizations e quindi registrare l'amministratore delegato. Dopodiché, l'amministratore gestisce centralmente l'appartenenza e la configurazione. Si tratta di una configurazione una tantum che offre vantaggi man mano che l'organizzazione cresce.

Oltre alla visualizzazione nella console centrale, spesso le organizzazioni instradano i finding di ogni account verso un account di sicurezza centrale tramite l'aggregazione di Security Hub oppure esportandoli in un bucket S3 condiviso e in un bus EventBridge. In questo modo il team addetto alle operazioni di sicurezza dispone di un unico registro persistente che abbraccia tutti gli account. La progettazione di questo flusso centralizzato è un tema ricorrente negli esami sugli ambienti multi-account.

Prima dell'integrazione con Organizations, gli account venivano collegati tramite invito: un amministratore invitava ogni membro, che doveva accettare. Questo metodo è ancora disponibile, ma non è scalabile e non abilita automaticamente i nuovi account. Il metodo basato su Organizations, con un amministratore delegato, è quello preferito perché gestisce centralmente l'appartenenza e abilita automaticamente i nuovi account, come previsto dalla best practice moderna trattata nell'esame.

Applichi il rilevamento a livello dell'organizzazione.

Porti GuardDuty su larga scala con AWS Organizations e un amministratore delegato (un account di sicurezza dedicato, non l'account di gestione). L'amministratore abilita GuardDuty negli account membri, usa auto-enable per i nuovi account e visualizza centralmente tutti i finding. Ricordi che GuardDuty è regionale, quindi lo abiliti per ogni Regione per ottenere una copertura completa.