조직 전체에서 GuardDuty 활성화

한 계정에서 GuardDuty를 켜는 일은 쉽지만 실제 환경에는 많은 계정이 있습니다. 모든 계정에서 탐지를 수동으로 활성화하고 관리하면 오류가 발생하기 쉽고 빈틈이 생깁니다. AWS는 AWS Organizations와 연결된 위임된 관리자 모델을 통해 이 문제를 해결합니다.

AWS Organizations를 사용하면 여러 계정을 하나의 관리 계정 아래에 그룹화하고 조직 단위(OU)로 구성할 수 있습니다. 이는 여러 계정에 대한 거버넌스의 기반입니다. GuardDuty를 비롯한 여러 보안 서비스가 Organizations와 통합되어 모든 구성원 계정에서 중앙 집중식으로 작동합니다.

강력한 관리 계정에서 보안을 운영하는 대신, 일반적으로 별도의 보안 전용 계정인 위임된 관리자 계정을 GuardDuty용으로 지정합니다. 이 계정은 일상적인 작업에 관리 계정을 사용하지 않는 모범 사례에 따라 전체 조직의 GuardDuty를 구성하고 확인합니다.

Organizations 관리 계정은 매우 민감하므로 AWS는 결제와 계정 관리에만 사용할 것을 권장합니다. 보안 관리를 별도 계정에 위임하면 피해 범위를 제한하고 직무 분리를 적용할 수 있습니다. 이는 시험에서도 중요하게 다루는 Well-Architected 모범 사례입니다.

위임이 설정되면 관리자는 기존의 모든 구성원 계정에서 GuardDuty를 활성화하고 하나의 콘솔에서 해당 계정의 결과를 확인할 수 있습니다. 관리자가 서비스를 관리하는 경우 구성원은 서비스를 비활성화할 수 없으므로 개별 팀이 실수로 끌 수 없는 일관된 적용 범위가 보장됩니다.

핵심 기능은 자동 활성화입니다. 조직에 추가되는 모든 새 계정에서 GuardDuty가 자동으로 켜집니다. 이를 통해 새로 생성된 계정이 모니터링되지 않는 일반적인 공백을 막을 수 있습니다. 조직이 성장해도 탐지 범위가 보장되므로 시험에서도 중요하게 다룹니다.

위임된 관리자는 하나의 화면에서 모든 계정의 모든 결과를 확인할 수 있습니다. 이 중앙 보기는 조직 전체의 보안 운영 팀이 수십 개 계정에 각각 로그인하지 않고도 분류 및 대응을 수행하는 데 필수적입니다. 또한 중앙 Security Hub 집계로 결과를 전달합니다.

GuardDuty는 리전별로 작동하므로 조직 전체에서 활성화할 때는 각 리전별로 수행해야 합니다. 흔히 하는 실수는 한 리전에서 활성화한 뒤 전역적으로 적용되었다고 생각하는 것입니다. 모든 활동을 포괄하려면 리소스가 있을 것으로 예상하지 않는 리전을 포함해 사용하는 모든 리전에서 활성화해야 합니다.

이 기능을 설정하려면 먼저 Organizations에서 GuardDuty에 대한 신뢰할 수 있는 액세스를 활성화한 다음 위임된 관리자를 등록해야 합니다. 그런 다음 관리자가 멤버십과 구성을 중앙에서 관리합니다. 이는 한 번만 수행하면 되며 조직이 확장될수록 효과가 커집니다.

중앙 콘솔 보기 외에도 조직에서는 모든 계정의 조사 결과를 Security Hub 집계 기능을 통해 또는 공유 S3 버킷과 EventBridge 버스로 내보내 중앙 보안 계정에 전달하는 경우가 많습니다. 이를 통해 보안 운영 팀이 계정 전체를 아우르는 내구성 있는 단일 기록을 확보할 수 있습니다. 이러한 중앙 흐름을 설계하는 것은 여러 계정과 관련된 시험에서 반복적으로 다뤄지는 주제입니다.

Organizations와 통합하기 전에는 초대를 통해 계정을 연결했습니다. 관리자가 각 멤버를 초대하면 멤버가 이를 수락해야 했습니다. 이 방식은 여전히 작동하지만 확장성이 떨어지고 새 계정을 자동으로 활성화하지 않습니다. 위임된 관리자를 사용하는 Organizations 방식이 멤버십을 중앙에서 관리하고 새 계정을 자동으로 활성화하므로 선호됩니다. 시험에서는 이를 현대적인 모범 사례로 간주합니다.

조직 전체에 탐지를 적용해 보십시오.

AWS Organizations와 위임된 관리자(관리 계정이 아닌 전용 보안 계정)를 사용해 GuardDuty를 확장하십시오. 관리자는 멤버 계정 전체에서 GuardDuty를 활성화하고, 새 계정에는 자동 활성화를 사용하며, 모든 조사 결과를 중앙에서 확인합니다. GuardDuty는 리전별로 작동하므로 전체를 포괄하려면 각 리전별로 활성화해야 한다는 점을 기억하십시오.