Security Hub CSPM의 AI 보안 모범 사례 표준

AI 보안 모범 사례 표준은 배포된 AI 리소스가 보안 모범 사례와 일치하지 않는 경우를 감지하는 자동화된 보안 검사 세트입니다. 보안 전문가가 개발한AWS이 표준은 AI 워크로드가 권장 보안 구성에서 벗어나는 영역을 식별하는 데 도움이 되는 엄선된 제어 세트를 제공합니다.

AWSSecurity Hub CSPM의 AI 보안 모범 사례 표준에는 리소스를 지속적으로 평가하는 제어가 포함되어 있습니다. 제어는 네트워크 격리, 저장 및 전송 중 암호화, VPC 배치, AWS KMS키 사용 및 프라이빗 레지스트리 요구 사항을 포함하되 이에 국한되지 않는 보안 도메인을 다룹니다. 각 제어에는 제어가 적용되는 보안 기능을 반영하는 범주가 할당됩니다. 범주 목록 및 추가 세부 정보는 Security Hub CSPM의 제어 범주 섹션을 참조하세요.

AI 보안 모범 사례 표준의 Amazon 리소스 이름(ARN)은 입니다. arn:aws:securityhub:region::standards/ai-security-best-practices/v/1.0.0여기서 region은 해당의 리전 코드입니다AWS 리전. 또한 Security Hub CSPM API의 GetEnabledStandards 작업을 사용하여 현재 활성화된 표준의 ARN을 검색할 수도 있습니다.

표준에 적용되는 제어

다음 목록은 AI AWS보안 모범 사례 표준(v1.0.0)에 적용되는 Security Hub CSPM 제어를 지정합니다. 제어의 세부 정보를 검토하려면 해당 제어를 선택하세요.

• [Bedrock.1] Amazon Bedrock 데이터 소스는 고객 관리형 AWS KMS키로 암호화해야 합니다.

• [BedrockAgentCore.1] Bedrock AgentCore 런타임은 VPC 네트워크 모드로 구성해야 합니다.

• [BedrockAgentCore.2] Bedrock AgentCore 게이트웨이는 인바운드 요청에 대한 승인이 필요합니다.

• [BedrockAgentCore.3] Bedrock AgentCore 메모리는 고객 관리형 AWS KMS키로 암호화해야 합니다.

• [BedrockAgentCore.4] Bedrock AgentCore Gateway는 고객 관리형 AWS KMS키로 암호화해야 합니다.

• [BedrockAgentCore.5] Bedrock AgentCore 사용자 지정 브라우저는 퍼블릭 네트워크 모드를 사용해서는 안 됩니다.

• [BedrockAgentCore.6] Bedrock AgentCore 사용자 지정 브라우저에는 세션 기록이 활성화되어 있어야 합니다.

• [BedrockAgentCore.7] Bedrock AgentCore 사용자 지정 코드 인터프리터는 프라이빗 네트워크 구성을 사용해야 합니다.

• [SageMaker.1] Amazon SageMaker 노트북 인스턴스는 인터넷에 직접 액세스할 수 없어야 합니다.

• [SageMaker.2] SageMaker 노트북 인스턴스는 사용자 지정 VPC에서 시작해야 합니다.

• [SageMaker.3] 사용자는 SageMaker 노트북 인스턴스에 대한 루트 액세스 권한이 없어야 합니다.

• [SageMaker.4] SageMaker 엔드포인트 프로덕션 변형의 초기 인스턴스 수는 1보다 커야 합니다.

• [SageMaker.5] SageMaker 모델에는 네트워크 격리가 활성화되어 있어야 합니다

• [SageMaker.8] SageMaker 노트북 인스턴스는 지원되는 플랫폼에서 실행되어야 합니다

• [SageMaker.9] SageMaker 데이터 품질 작업 정의에는 컨테이너 간 트래픽 암호화가 활성화되어 있어야 합니다.

• [SageMaker.10] SageMaker 모델 설명 가능성 작업 정의에는 컨테이너 간 트래픽 암호화가 활성화되어 있어야 합니다.

• [SageMaker.11] SageMaker 데이터 품질 작업 정의에는 네트워크 격리가 활성화되어 있어야 합니다.

• [SageMaker.12] SageMaker 모델 편향 작업 정의에는 네트워크 격리가 활성화되어 있어야 합니다.

• [SageMaker.13] SageMaker 모델 품질 작업 정의에는 컨테이너 간 트래픽 암호화가 활성화되어 있어야 합니다.

• [SageMaker.14] SageMaker 모니터링 일정에는 네트워크 격리가 활성화되어 있어야 합니다.

• [SageMaker.15] SageMaker 모델 편향 작업 정의에는 컨테이너 간 트래픽 암호화가 활성화되어 있어야 합니다.

• [SageMaker.16] SageMaker 모델은 기본 컨테이너에 대해 VPC의 프라이빗 레지스트리를 사용해야 합니다.

• [SageMaker.17] SageMaker 특성 그룹 오프라인 저장소는 AWS KMS키로 암호화해야 합니다.

• [SageMaker.18] 표준 스토리지가 있는 SageMaker 특성 그룹 온라인 스토어는 AWS KMS키로 암호화해야 합니다.

• [SageMaker.19] SageMaker 모델은 다중 컨테이너 추론 파이프라인을 위해 VPC의 프라이빗 레지스트리를 사용해야 합니다.

• [SageMaker.20] SageMaker 모델 설명 가능성 작업 정의에는 네트워크 격리가 활성화되어 있어야 합니다.

• [SageMaker.21] SageMaker 노트북 인스턴스는 고객 관리형 AWS KMS키로 암호화해야 합니다.

• [SageMaker.22] SageMaker 모니터링 일정에는 컨테이너 간 트래픽 암호화가 활성화되어 있어야 합니다.

• [SageMaker.23] SageMaker 추론 실험에는 고객 관리형 AWS KMS키로 암호화된 인스턴스 스토리지 볼륨이 있어야 합니다.

• [SageMaker.24] SageMaker 추론 실험에는 고객 관리형 AWS KMS키로 암호화된 데이터 스토리지가 있어야 합니다.

• [SageMaker.25] SageMaker 모델 품질 작업 정의에는 네트워크 격리가 활성화되어 있어야 합니다.