Włączanie GuardDuty w całej organizacji

Włączenie GuardDuty na jednym koncie jest łatwe, ale rzeczywiste środowiska obejmują wiele kont. Ręczne włączanie i zarządzanie wykrywaniem na wszystkich kontach jest podatne na błędy i prowadzi do luk. AWS rozwiązuje ten problem za pomocą modelu administratora delegowanego powiązanego z AWS Organizations.

AWS Organizations umożliwia grupowanie wielu kont pod jednym kontem zarządzającym, zorganizowanych w jednostki organizacyjne (OU). Jest to podstawa zarządzania środowiskiem obejmującym wiele kont. Wiele usług bezpieczeństwa, w tym GuardDuty, integruje się z Organizations, aby centralnie działać na wszystkich kontach członkowskich.

Zamiast prowadzić działania związane z bezpieczeństwem z uprzywilejowanego konta zarządzającego, wyznacza się osobne konto administratora delegowanego dla GuardDuty, zwykle dedykowane konto bezpieczeństwa. To konto konfiguruje GuardDuty i wyświetla jego dane dla całej organizacji, zgodnie z dobrą praktyką polegającą na nieużywaniu konta zarządzającego do codziennych operacji.

Konto zarządzające Organizations jest niezwykle wrażliwe, dlatego AWS zaleca używanie go wyłącznie do rozliczeń i zarządzania kontami. Delegowanie administracji bezpieczeństwem do osobnego konta ogranicza zakres potencjalnych szkód i zapewnia rozdzielenie obowiązków — dobrą praktykę Well-Architected preferowaną na egzaminie.

Po skonfigurowaniu delegowania administrator może włączyć GuardDuty na każdym istniejącym koncie członkowskim i wyświetlać jego wykrycia w jednej konsoli. Członkowie nie mogą wyłączyć usługi, jeśli zarządza nią administrator, co zapewnia spójny zakres ochrony i uniemożliwia zespołom przypadkowe jej wyłączenie.

Kluczową funkcją jest automatyczne włączanie: każde nowe konto dodane do organizacji automatycznie otrzymuje włączoną usługę GuardDuty. Eliminuje to częstą lukę, w której nowo utworzone konto pozostaje niemonitorowane. Na egzaminie funkcja ta ma znaczenie, ponieważ gwarantuje zakres wykrywania wraz z rozwojem organizacji.

Administrator delegowany widzi wszystkie wykrycia ze wszystkich kont w jednym miejscu. Taki centralny widok jest niezbędny dla zespołu operacji bezpieczeństwa działającego w skali całej organizacji, ponieważ umożliwia wstępną analizę i reagowanie bez logowania się do dziesiątek kont. Zasila również centralną agregację w Security Hub.

GuardDuty działa na poziomie regionu, dlatego włączenie go w całej organizacji musi odbywać się w każdym regionie osobno. Częstym błędem jest włączenie go w jednym regionie i założenie, że zapewnia ochronę globalną. Aby objąć monitorowaniem całą aktywność, należy włączyć usługę w każdym używanym regionie, także w tych, w których nie spodziewają się Państwo zasobów.

Konfiguracja wymaga włączenia zaufanego dostępu dla GuardDuty w Organizations, a następnie zarejestrowania administratora delegowanego. Od tego momentu administrator centralnie zarządza członkostwem i konfiguracją. Jest to jednorazowa konfiguracja, która przynosi korzyści wraz ze skalowaniem organizacji.

Poza centralnym widokiem konsoli organizacje często kierują ustalenia ze wszystkich kont do centralnego konta bezpieczeństwa za pośrednictwem agregacji w Security Hub albo eksportują je do współdzielonego zasobnika S3 i magistrali EventBridge. Dzięki temu zespół ds. operacji bezpieczeństwa ma jeden trwały rejestr obejmujący wszystkie konta. Projektowanie takiego centralnego przepływu to powtarzający się temat na egzaminach dotyczących wielu kont.

Przed integracją z Organizations konta łączono za pomocą zaproszenia: administrator zapraszał każdego członka, który musiał je zaakceptować. Ta metoda nadal działa, ale nie skaluje się i nie włącza automatycznie nowych kont. Preferowana jest metoda Organizations z administratorem delegowanym, ponieważ centralnie zarządza członkostwem i automatycznie włącza nowe konta. Na egzaminie jest ona traktowana jako współczesna najlepsza praktyka.

Zastosuj wykrywanie w całej organizacji.

Skaluj GuardDuty za pomocą AWS Organizations i administratora delegowanego (dedykowanego konta bezpieczeństwa, a nie konta zarządzającego). Administrator włącza GuardDuty na kontach członkowskich, korzysta z funkcji automatycznego włączania dla nowych kont i centralnie wyświetla wszystkie ustalenia. Należy pamiętać, że GuardDuty działa na poziomie regionu, dlatego w celu zapewnienia pełnego pokrycia trzeba włączyć go osobno w każdym regionie.