Aktivere GuardDuty i en organisasjon

Det er enkelt å aktivere GuardDuty i én konto, men virkelige miljøer har mange kontoer. Å aktivere og administrere deteksjon på tvers av alle kontoene manuelt er feilutsatt og skaper hull. AWS løser dette med modellen for delegert administrator, knyttet til AWS Organizations.

AWS Organizations lar Dem samle flere kontoer under én administrasjonskonto, organisert i organisatoriske enheter (OU-er). Dette er grunnlaget for styring av miljøer med flere kontoer. Mange sikkerhetstjenester, inkludert GuardDuty, integreres med Organizations for å fungere sentralt på tvers av alle medlemskontoene.

I stedet for å drive sikkerhetsarbeidet fra den privilegerte administrasjonskontoen utpeker De en separat delegert administratorkonto for GuardDuty, vanligvis en dedikert sikkerhetskonto. Denne kontoen konfigurerer og viser GuardDuty for hele organisasjonen, i tråd med anbefalingen om ikke å bruke administrasjonskontoen til daglig drift.

Administrasjonskontoen i Organizations er svært sensitiv, så AWS anbefaler at den bare brukes til fakturering og kontoadministrasjon. Når sikkerhetsadministrasjonen delegeres til en separat konto, begrenses konsekvensene av et eventuelt kompromiss, og ansvarsdeling ivaretas. Dette er en anbefalt praksis i Well-Architected som eksamen legger vekt på.

Når delegeringen er konfigurert, kan administratoren aktivere GuardDuty i alle eksisterende medlemskontoer og vise funnene deres i én konsoll. Medlemmene kan ikke deaktivere tjenesten når administratoren administrerer den, noe som sikrer jevn dekning og hindrer at enkeltteam slår den av ved et uhell.

En viktig funksjon er automatisk aktivering: Alle nye kontoer som legges til i organisasjonen, får automatisk GuardDuty aktivert. Dette lukker det vanlige hullet der en nyopprettet konto blir stående uten overvåking. Til eksamen er dette viktig fordi det garanterer deteksjonsdekning når organisasjonen vokser.

Den delegerte administratoren ser alle funn fra alle kontoer i én samlet visning. Denne sentrale oversikten er avgjørende for et sikkerhetsoperasjonsteam som skal prioritere og reagere på hendelser i hele organisasjonen uten å logge inn på flere titalls kontoer. Den leverer også data til sentral sammenstilling i Security Hub.

GuardDuty er regional, så når tjenesten aktiveres for hele organisasjonen, må det gjøres per region. En vanlig feil er å aktivere den i én region og anta at hele miljøet er dekket. For å dekke all aktivitet aktiverer De den i alle regionene De bruker, også regioner der De ikke forventer å ha ressurser.

For å sette dette opp må De først aktivere tilgang som er klarert for GuardDuty i Organizations og deretter registrere den delegerte administratoren. Etter dette administrerer administratoren medlemskap og konfigurasjon sentralt. Dette er et engangsoppsett som gir stor gevinst når organisasjonen vokser.

I tillegg til visningen i den sentrale konsollen sender organisasjoner ofte alle funn fra kontoene til en sentral sikkerhetskonto gjennom aggregering i Security Hub eller ved å eksportere dem til en delt S3-bøtte og EventBridge-buss. Dette gir sikkerhetsoperasjonsteamet én varig oversikt som omfatter alle kontoene. Utforming av denne sentrale flyten er et tilbakevendende tema på eksamener om miljøer med flere kontoer.

Før integrasjonen med Organizations ble kontoer koblet sammen med en invitasjon: En administrator inviterte hvert medlem, som måtte godta invitasjonen. Dette fungerer fortsatt, men skalerer dårlig og aktiverer ikke nye kontoer automatisk. Organisasjonsmetoden med en delegert administrator foretrekkes fordi den administrerer medlemskap sentralt og aktiverer nye kontoer automatisk. På eksamen regnes dette som den moderne anbefalte fremgangsmåten.

Skaler GuardDuty med AWS Organizations og en delegert administrator (en dedikert sikkerhetskonto, ikke administrasjonskontoen). Administratoren aktiverer GuardDuty for medlemskontoene, bruker automatisk aktivering for nye kontoer og viser alle funn sentralt. Husk at GuardDuty er regional, så aktiver tjenesten per region for full dekning.