Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

Gestión de reglas de detección personalizadas en entornos con varias cuentas

En una organización, la cuenta de GuardDuty administrador delegado administra las reglas de detección personalizadas para las cuentas de los miembros de forma centralizada mediante las configuraciones de la organización. El administrador declara la intención de cada regla y la GuardDuty aplica automáticamente a las cuentas de los miembros, incluidas las cuentas que se unen posteriormente.

Configuraciones organizativas

Una cuenta de miembro no puede habilitar, deshabilitar ni cambiar una regla de detección personalizada por sí misma. Si intentas llamar a las operaciones de la asociación de cuentas únicas desde la cuenta de un miembro, GuardDuty aparecerá un AccessDeniedException error. El administrador gestiona la regla en nombre del miembro. Para obtener más información sobre el administrador delegado y las cuentas de los miembros, consulte Administrar varias cuentas en GuardDuty.

La configuración de una organización vincula una sola regla a un conjunto de cuentas de miembros. Registra el modo, activo o simulado, en el que funciona la regla para esas cuentas. GuardDuty a continuación, crea una asociación individual para la regla en cada cuenta de miembro objetivo. Puede configurar reglas para todos los miembros o para cuentas específicas mediante las listas de inclusión y exclusión.

Console

Para configurar una regla de detección personalizada para la organización

1. Abra la GuardDuty consola en https://console.aws.amazon.com/guardduty/.

2. En el panel de navegación, elija Reglas de detección personalizadas.

3. Elija un nombre de regla para abrir los detalles de la regla y, a continuación, elija la pestaña Cuentas.

4. Elija Configurar junto a Configuración de la organización.

5. Seleccione el modo (en vivo o en prueba) y elija qué cuentas desea incluir o excluir.

API/CLI

Cree una configuración de organización

Ejecute CreateCustomDetectionRuleOrgConfigurationpara crear una configuración de reglas para las cuentas de los miembros.

Actualice la configuración de una organización

Ejecute UpdateCustomDetectionRuleOrgConfigurationpara modificar el modo o el ámbito de la cuenta.

Elimine la configuración de una organización

Ejecute DeleteCustomDetectionRuleOrgConfigurationpara eliminar la configuración de la organización. Como una regla puede contener una configuración por modo, mode selecciona cuál desea eliminar; la otra se deja en su lugar.

nota

Al eliminar la configuración de una organización, no se eliminan en cascada las asociaciones de cuentas de miembros existentes. La regla permanece habilitada en las cuentas de los miembros en las que GuardDuty ya se aplicó.

Ejecutar ambos modos para la misma regla

Una regla contiene como máximo una configuración de organización por modo, por lo que una regla puede ejecutarse en modo activo y en modo simultaneo al mismo tiempo solo con la siguiente condición: ambas configuraciones deben nombrar sus cuentas de destino con una lista de inclusión explícita.

Una configuración en la que se afirme que toda la organización es una regla única. Una configuración reclama a toda la organización cuando no nombra ninguna cuenta o cuando nombra las cuentas que se van a excluir. Ninguna configuración del otro modo puede coexistir con él y, al intentar crear una, vuelve ConflictException a aparecer. Para mover una configuración de toda la organización a un modo diferente, actualice la configuración existente en lugar de crear una segunda.

Ejemplo: aplique una regla en modo de prueba a todas las cuentas de los miembros

El siguiente comando AWS CLI crea una configuración de organización que se dirige a todas las cuentas de los miembros, incluidas las cuentas que se unen más adelante. Si se omiten ambas--include-account-ids, se --exclude-account-ids dirige a toda la organización.

aws guardduty create-custom-detection-rule-org-configuration \
    --rule-id "EXAMPLE_RULE_ID" \
    --mode DRY_RUN

Para pasar la regla a la detección en tiempo real, actualice la configuración existente con UpdateCustomDetectionRuleOrgConfiguration.

Aplicar todas las reglas en una organización

La consola configura una regla a la vez. Para aplicar el mismo modo a todas las reglas disponibles en la organización, recorra el catálogo de reglas con la AWS CLI. Si se omiten ambas, se --include-account-ids --exclude-account-ids destinará a todas las cuentas de los miembros, incluidas las cuentas que se unan posteriormente.

for RULE in $(aws guardduty list-custom-detection-rules \
    --query 'Rules[].RuleId' --output text); do
    aws guardduty create-custom-detection-rule-org-configuration \
        --rule-id "$RULE" \
        --mode DRY_RUN
done

Este bucle permite medir --mode DRY_RUN el volumen de la señal antes de que cualquier regla genere resultados. Como el bucle no nombra ninguna cuenta, cada configuración se hace cargo de toda la organización y su regla se basa en una sola opción. Cuando esté listo, pase cada regla a la detección activa actualizando la configuración existente con UpdateCustomDetectionRuleOrgConfiguration. Vuelva a ejecutar el ciclo con --mode LIVE retornosConflictException, porque ya existe la configuración de ejecución en seco para toda la organización.