Habilitando o GuardDuty em Toda a Organização

Habilitar o GuardDuty em uma conta é fácil, mas os ambientes reais têm muitas contas. Habilitar e gerenciar a detecção em todas elas manualmente é sujeito a erros e deixa lacunas. A AWS resolve isso com o modelo de administrador delegado vinculado ao AWS Organizations.

O AWS Organizations permite agrupar várias contas sob uma conta de gerenciamento, organizadas em unidades organizacionais (OUs). Ele é a base da governança de várias contas. Muitos serviços de segurança, incluindo o GuardDuty, integram-se ao Organizations para operar centralmente em todas as contas-membro.

Em vez de executar a segurança a partir da poderosa conta de gerenciamento, você designa uma conta separada de administrador delegado para o GuardDuty, normalmente uma conta de segurança dedicada. Essa conta configura e visualiza o GuardDuty para toda a organização, seguindo a prática recomendada de não usar a conta de gerenciamento nas operações diárias.

A conta de gerenciamento do Organizations é extremamente sensível, por isso a AWS recomenda reservá-la apenas para faturamento e gerenciamento de contas. Delegar a administração da segurança a uma conta separada limita o raio de impacto e aplica a separação de responsabilidades, uma prática recomendada do Well-Architected valorizada pela prova.

Depois que a delegação é configurada, o administrador pode habilitar o GuardDuty em todas as contas-membro existentes e visualizar suas descobertas em um único console. Os membros não podem desabilitar o serviço quando ele é gerenciado pelo administrador, garantindo uma cobertura consistente que as equipes individuais não podem desativar acidentalmente.

Um recurso importante é a habilitação automática: qualquer conta nova adicionada à organização recebe automaticamente o GuardDuty habilitado. Isso elimina a lacuna comum em que uma conta recém-criada permanece sem monitoramento. A prova valoriza esse recurso porque ele garante cobertura de detecção à medida que a organização cresce.

O administrador delegado vê todas as descobertas de todas as contas em uma única tela. Essa visão central é essencial para que uma equipe de operações de segurança de toda a organização faça a triagem e responda sem entrar em dezenas de contas. Ela também alimenta a agregação central do Hub de Segurança.

O GuardDuty é regional, portanto habilitá-lo em toda a organização deve ser feito por região. Um erro comum é habilitá-lo em uma região e presumir que haverá cobertura global. Para abranger toda a atividade, habilite-o em todas as regiões que utiliza, inclusive naquelas em que não espera ter recursos.

Para configurar isso, é necessário habilitar o acesso confiável do GuardDuty no Organizations e, em seguida, registrar o administrador delegado. Depois disso, o administrador gerencia a associação e a configuração de forma centralizada. Essa é uma configuração única que compensa à medida que a organização cresce.

Além da visualização no console central, as organizações geralmente encaminham as descobertas de cada conta para uma conta de segurança central por meio da agregação do Security Hub ou exportando-as para um bucket S3 compartilhado e um barramento EventBridge. Isso fornece à equipe de operações de segurança um único registro durável que abrange todas as contas. Projetar esse fluxo central é um tema recorrente em exames sobre múltiplas contas.

Antes da integração com o Organizations, as contas eram vinculadas por convite: um administrador convidava cada membro, que precisava aceitar. Isso ainda funciona, mas não escala nem habilita automaticamente novas contas. O método da organização, com um administrador delegado, é preferível porque gerencia a associação de forma centralizada e habilita automaticamente as novas contas, algo que o exame considera a prática recomendada moderna.

Aplique a detecção em toda a organização.

Escale o GuardDuty com o AWS Organizations e um administrador delegado (uma conta de segurança dedicada, não a conta de gerenciamento). O administrador habilita o GuardDuty em todas as contas-membro, usa a habilitação automática para novas contas e visualiza todas as descobertas de forma centralizada. Lembre-se de que o GuardDuty é regional; portanto, habilite-o por região para obter cobertura completa.