Utilizar una VPC compartida con agentes de seguridad automatizados

Si GuardDuty decide administrar el agente de seguridad automáticamente, Runtime Monitoring admite el uso de una VPC compartida para las Cuentas de AWS que pertenecen a la misma organización. AWS Organizations En su nombre, GuardDuty puede configurar la política de puntos de conexión de Amazon VPC en función de los detalles asociados a la VPC compartida de su organización.

Funcionamiento

Cuando la cuenta de propietario de la VPC compartida habilita la supervisión del tiempo de ejecución y la configuración automática de los agentes para cualquiera de los recursos ( AWS Fargate Amazon EKS o (solo Amazon ECS)), todos los recursos compartidos VPCs pueden instalarse automáticamente en la cuenta de propietario de la VPC compartida. GuardDuty recupera el ID de la organización que está asociado a la Amazon VPC compartida.

Ahora, las Cuentas de AWS que pertenezcan a la misma organización que la cuenta de propietario de Amazon VPC compartida también pueden compartir el mismo punto de enlace de Amazon VPC. GuardDuty crea un punto de enlace de Amazon VPC cuando la cuenta del propietario de la VPC compartida o la cuenta participante lo necesitan. Algunos ejemplos de la necesidad de un punto de conexión de Amazon VPC incluyen la activación GuardDuty, la supervisión del tiempo de ejecución, la supervisión del tiempo de ejecución de EKS o el lanzamiento de una nueva tarea de Amazon ECS-Fargate. Cuando estas cuentas habilitan Runtime Monitoring y la configuración automática de agentes para cualquier tipo de recurso, GuardDuty crea un punto de enlace de Amazon VPC y establece la política de puntos de enlace con el mismo ID de organización que el de la cuenta de propietario de la VPC compartida. GuardDuty añade una GuardDutyManaged etiqueta y la establece true para el punto de enlace de Amazon VPC que GuardDuty crea. Si la cuenta de propietario de Amazon VPC compartida no ha habilitado la monitorización del tiempo de ejecución o la configuración automática de agentes para ninguno de los recursos, no GuardDuty establecerá la política de puntos de conexión de Amazon VPC. Para obtener información sobre cómo configurar la Supervisión en tiempo de ejecución y administrar el agente de seguridad automáticamente en la cuenta de propietario de la VPC compartida, consulte Habilitación GuardDuty de la supervisión del tiempo.

Cada una de las cuentas que utilizan la misma política de puntos de conexión de Amazon VPC se denomina AWS cuenta participante de la Amazon VPC compartida asociada.

El siguiente ejemplo muestra la política de punto de conexión de VPC predeterminada de la cuenta de propietario de la VPC compartida y la cuenta participante. aws:PrincipalOrgID mostrará el ID de la organización asociado al recurso de la VPC compartida. El uso de esta política se limita a las cuentas participantes presentes en la organización de la cuenta de propietario.

{
    "Version": "2012-10-17",
    "Statement": [{
            "Action": "*",
            "Resource": "*",
            "Effect": "Allow",
            "Principal": "*"
        },
        {
            "Condition": {
                "StringNotEquals": {
                    "aws:PrincipalOrgID": "o-abcdef0123"
                }
            },
            "Action": "*",
            "Resource": "*",
            "Effect": "Deny",
            "Principal": "*"
        }
    ]
}

Requisitos previos para utilizar una VPC compartida

Runtime Monitoring admite el uso de una VPC compartida cuando se usa un agente GuardDuty automatizado. Como parte de la configuración inicial, lleve a cabo los siguientes pasos en la Cuenta de AWS que desee que sea el propietario de la VPC compartida:

Requisitos previos específicos de la supervisión del GuardDuty tiempo de ejecución

La siguiente lista proporciona los requisitos previos específicos de: GuardDuty