GuardDuty in een organisatie inschakelen

GuardDuty inschakelen in één account is eenvoudig, maar echte omgevingen hebben veel accounts. Detectie in al deze accounts handmatig inschakelen en beheren is foutgevoelig en laat gaten ontstaan. AWS lost dit op met het model van de gedelegeerde beheerder, gekoppeld aan AWS Organizations.

Met AWS Organizations kun je meerdere accounts groeperen onder één beheeraccount, ingedeeld in organisatorische eenheden (OU's). Het vormt de basis voor governance van meerdere accounts. Veel beveiligingsservices, waaronder GuardDuty, integreren met Organizations om centraal in elk lidaccount te werken.

In plaats van beveiliging vanuit het krachtige beheeraccount uit te voeren, wijs je voor GuardDuty een afzonderlijk account aan als gedelegeerde beheerder, meestal een speciaal beveiligingsaccount. Dit account configureert en bekijkt GuardDuty voor de hele organisatie, volgens de best practice om het beheeraccount niet voor dagelijkse werkzaamheden te gebruiken.

Het beheeraccount van Organizations is uiterst gevoelig. Daarom raadt AWS aan dit alleen voor facturering en accountbeheer te gebruiken. Door beveiligingsbeheer aan een afzonderlijk account te delegeren, beperk je de impact van een incident en pas je functiescheiding toe, een best practice uit het Well-Architected Framework die de voorkeur heeft in het examen.

Zodra de delegatie is ingesteld, kan de beheerder GuardDuty in elk bestaand lidaccount inschakelen en de bevindingen in één console bekijken. Leden kunnen de service niet uitschakelen als de beheerder deze beheert. Zo blijft de dekking consistent en kunnen afzonderlijke teams deze niet per ongeluk uitschakelen.

Een belangrijke functie is automatisch inschakelen: elk nieuw account dat aan de organisatie wordt toegevoegd, krijgt GuardDuty automatisch ingeschakeld. Hiermee voorkom je de veelvoorkomende situatie waarin een pas aangemaakt account onbewaakt blijft. Het examen hecht hier waarde aan, omdat zo detectiedekking wordt gegarandeerd terwijl de organisatie groeit.

De gedelegeerde beheerder ziet alle bevindingen van alle accounts in één overzicht. Deze centrale weergave is essentieel voor een organisatiebreed beveiligingsteam om triage uit te voeren en te reageren zonder zich bij tientallen accounts aan te melden. De weergave levert ook gegevens aan voor centrale aggregatie in Security Hub.

GuardDuty is regionaal, dus je moet het organisatiebreed per regio inschakelen. Een veelgemaakte fout is GuardDuty in één regio inschakelen en ervan uitgaan dat je wereldwijde dekking hebt. Voor volledige dekking schakel je het in elke regio in die je gebruikt, ook in regio's waarin je geen resources verwacht.

Om dit in te stellen moet je eerst vertrouwde toegang voor GuardDuty in Organizations inschakelen en daarna de gedelegeerde beheerder registreren. Vervolgens beheert de beheerder het lidmaatschap en de configuratie centraal. Dit is een eenmalige configuratie die zich terugbetaalt naarmate de organisatie groeit.

Naast de centrale consoleweergave sturen organisaties de bevindingen van elk account vaak naar een centraal beveiligingsaccount via aggregatie in Security Hub, of door ze te exporteren naar een gedeelde S3-bucket en EventBridge-bus. Zo beschikt het beveiligingsteam over één duurzaam overzicht voor alle accounts. Het ontwerpen van deze centrale gegevensstroom is een terugkerend examenthema rond meerdere accounts.

Vóór de integratie met Organizations werden accounts gekoppeld via een uitnodiging: een beheerder nodigde elk account uit en het lid moest die uitnodiging accepteren. Dit werkt nog steeds, maar schaalt niet mee en schakelt nieuwe accounts niet automatisch in. De methode met Organizations en een gedelegeerde beheerder heeft de voorkeur, omdat hiermee het lidmaatschap centraal wordt beheerd en nieuwe accounts automatisch worden ingeschakeld. Het examen beschouwt dit als de moderne aanbevolen werkwijze.

Schaal GuardDuty met AWS Organizations en een gedelegeerde beheerder (een speciaal beveiligingsaccount, niet het beheeraccount). De beheerder schakelt GuardDuty in voor alle ledenaccounts, gebruikt automatisch inschakelen voor nieuwe accounts en bekijkt alle bevindingen centraal. Onthoud dat GuardDuty regionaal is: schakel het daarom per regio in voor volledige dekking.