Het bedrijf draait applicaties in AWS-accounts die lid zijn van een AWS Organizations-organisatie. Die applicaties gebruiken Amazon EC2 en Amazon S3. Het bedrijf wil gecompromitteerde EC2-instances, verdacht netwerkgedrag en ongebruikelijke API-aanroepen detecteren in huidige en toekomstige accounts. Wanneer dergelijke gebeurtenissen worden gedetecteerd, wil het bedrijf een melding publiceren naar een bestaand Amazon SNS-onderwerp dat wordt gebruikt door het operationele team. Welke aanpak voldoet aan deze vereisten en volgt de best practices van AWS?

De correcte optie is de beste aanpak omdat het Amazon GuardDuty centraal beheert voor alle accounts binnen de AWS Organization. Door een GuardDuty-beheerdersaccount aan te wijzen, kunnen alle GuardDuty-bevindingen van lidaccounts worden geconsolideerd en beheerd vanuit één centrale locatie. De EventBridge-regel in het beheerdersaccount zorgt ervoor dat alle relevante GuardDuty-bevindingen, inclusief die van toekomstige accounts, automatisch worden doorgestuurd naar het SNS-onderwerp voor meldingen, wat voldoet aan de vereisten voor gecompromitteerde EC2-instances, verdacht netwerkgedrag en ongebruikelijke API-aanroepen. De andere opties zijn minder optimaal: De tweede optie vereist CloudFormation StackSets om GuardDuty-uitnodigingen te accepteren en EventBridge-regels te maken in elk account, wat complexer is en mogelijk niet alle toekomstige accounts automatisch afhandelt zonder verdere configuratie. De derde en vierde opties richten zich op CloudTrail, VPC Flow Logs en Security Hub. Hoewel deze diensten nuttig zijn voor beveiliging, detecteren ze niet specifiek de bedreigingen die GuardDuty wel detecteert (zoals gecompromitteerde EC2-instances en ongebruikelijke API-aanroepen) op de meest directe manier. GuardDuty is specifiek ontworpen voor deze detecties.