Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Kontrol CSPM Hub Keamanan untuk AI SageMaker

AWS Security Hub CSPM Kontrol ini mengevaluasi layanan dan sumber daya Amazon SageMaker AI. Kontrol mungkin tidak tersedia di semua Wilayah AWS. Untuk informasi selengkapnya, lihat Ketersediaan kontrol berdasarkan Wilayah.

[SageMaker.1] Inst SageMaker ans notebook Amazon seharusnya tidak memiliki akses internet langsung

Persyaratan terkait: NIST.800-53.r5 AC-21 NIST.800-53.r5 AC-3,, NIST.800-53.r5 AC-3 (7), NIST.800-53.r5 AC-4, NIST.800-53.r5 AC-4 (21), NIST.800-53.r5 AC-6, NIST.800-53.r5 SC-7, NIST.800-53.r5 SC-7 (11), NIST.800-53.r5 SC-7 (16), NIST.800-53.r5 SC-7 (20), NIST.800-53.r5 SC-7 (21), NIST.800-53.r5 SC-7 (3), NIST.800-53.r5 SC-7 (4), NIST.800-53.r5 SC-7 (9), PCI DSS v3.2. 1/1.2.1, PCI DSS v3.2. 1/1.3.1, PCI DSS v3.2. 1/1.3.2, PCI DSS v3.2. 1/1.3.4, PCI DSS v3.2. 1/1.3.6, PCI DSS v4.0. 1/1.4.4

Kategori: L indungi > Konfigurasi jaringan aman

Tingkat keparahan: Tinggi

Jenis sumber daya: AWS::SageMaker::NotebookInstance

AWS Config aturan: sagemaker-notebook-no-direct-internet-access

Jenis jadwal: Ber kala

Parameter: Tidak ada

Kontrol ini memeriksa apakah akses internet langsung dinonaktifkan untuk instance notebook SageMaker AI. Kontrol gagal jika DirectInternetAccess bidang diaktifkan untuk instance notebook.

Jika Anda mengonfigurasi instans SageMaker AI tanpa VPC, maka secara default akses internet langsung diaktifkan pada instans Anda. Anda harus mengonfigurasi instance Anda dengan VPC dan mengubah pengaturan default menjadi Nonaktifkan —Akses internet melalui VPC. Untuk melatih atau meng-host model dari notebook, Anda memerlukan akses internet. Untuk mengaktifkan akses internet, VPC Anda harus memiliki titik akhir antarmuka (AWS PrivateLink) atau gateway NAT dan grup keamanan yang memungkinkan koneksi keluar. Untuk mempelajari selengkapnya tentang cara menghubungkan instance notebook ke sumber daya di VPC, lihat Menyam bungkan instance notebook ke sumber daya di VPC di Panduan Pengembang SageMaker AI Amazon. Anda juga harus memastikan bahwa akses ke konfigurasi SageMaker AI Anda terbatas hanya untuk pengguna yang berwenang. Batasi izin IAM yang memungkinkan pengguna mengubah pengaturan dan sumber daya SageMaker AI.

Remediasi

Anda tidak dapat mengubah pengaturan akses internet setelah membuat instance buku catatan. Sebagai gantinya, Anda dapat menghentikan, menghapus, dan membuat ulang instance dengan akses internet yang diblokir. Untuk menghapus instans buku catatan yang mengizinkan akses internet langsung, lihat Menggunakan instance notebook untuk membuat model: Membersihkan di Panduan Pengembang SageMaker AI Amazon. Untuk membuat ulang instance buku catatan yang menolak akses internet, lihat Membuat instance buku catatan. Untuk Jaringan, Akses internet langsung, pilih Non aktifkan—Akses internet melalui VPC.

[SageMaker.2] instance SageMaker notebook harus diluncurkan dalam VPC khusus

Persyaratan terkait: NIST.800-53.r5 AC-21 NIST.800-53.r5 AC-3,, NIST.800-53.r5 AC-3 (7) NIST.800-53.r5 AC-4,, NIST.800-53.r5 AC-4 (21) NIST.800-53.r5 AC-6, NIST.800-53.r5 SC-7,, NIST.800-53.r5 SC-7 (11), NIST.800-53.r5 SC-7 (16), NIST.800-53.r5 SC-7 (20), NIST.800-53.r5 SC-7 (21), NIST.800-53.r5 SC-7 (3), NIST.800-53.r5 SC-7 (4), NIST.800-53.r5 SC-7 (9)

Kategori: L indungi > Konfigurasi jaringan aman > Sumber daya dalam VPC

Tingkat keparahan: Tinggi

Jenis sumber daya: AWS::SageMaker::NotebookInstance

AWS Config aturan: sagemaker-notebook-instance-inside-vpc

Jenis jadwal: Perubahan dipicu

Parameter: Tidak ada

Kontrol ini memeriksa apakah instance notebook Amazon SageMaker AI diluncurkan dalam cloud pribadi virtual khusus (VPC). Kontrol ini gagal jika instance notebook SageMaker AI tidak diluncurkan dalam VPC khusus atau jika diluncurkan di layanan SageMaker AI VPC.

Subnet adalah rentang alamat IP dalam VPC. Sebaiknya simpan sumber daya Anda di dalam VPC kustom bila memungkinkan untuk memastikan perlindungan jaringan yang aman dari infrastruktur Anda. Amazon VPC adalah jaringan virtual yang didedikasikan untuk Anda Akun AWS. Dengan Amazon VPC, Anda dapat mengontrol akses jaringan dan konektivitas internet SageMaker AI Studio dan instance notebook Anda.

Remediasi

Anda tidak dapat mengubah setelan VPC setelah membuat instance buku catatan. Sebagai gantinya, Anda dapat menghentikan, menghapus, dan membuat ulang instance. Untuk petunjuk, lihat Menggunakan instance notebook untuk membuat model: Membersihkan di Panduan Pengembang SageMaker AI Amazon.

[SageMaker.3] Pengguna tidak boleh memiliki akses root ke instance SageMaker notebook

Persyaratan terkait: NIST.800-53.r5 AC-2 (1), NIST.800-53.r5 AC-3 (15), NIST.800-53.r5 AC-3 (7), NIST.800-53.r5 AC-6, NIST.800-53.r5 AC-6 (10), NIST.800-53.r5 AC-6 (2)

Kategori: Lindungi > Manajemen akses aman > Pembatasan akses pengguna root

Tingkat keparahan: Tinggi

Jenis sumber daya: AWS::SageMaker::NotebookInstance

AWS Config aturan: sagemaker-notebook-instance-root-access-check

Jenis jadwal: Perubahan dipicu

Parameter: Tidak ada

Kontrol ini memeriksa apakah akses root diaktifkan untuk instance notebook Amazon SageMaker AI. Kontrol gagal jika akses root diaktifkan untuk instance notebook SageMaker AI.

Sesuai dengan prinsip hak istimewa terendah, praktik terbaik keamanan yang disarankan adalah membatasi akses root ke sumber daya instans untuk menghindari izin penyediaan berlebihan secara tidak sengaja.

Remediasi

Untuk membatasi akses root ke instans notebook SageMaker AI, lihat Mengontrol akses root ke instance notebook SageMaker AI di Panduan Pengembang SageMaker AI Amazon.

[SageMaker.4] SageMaker varian produksi titik akhir harus memiliki jumlah instance awal lebih besar dari 1

Persyaratan terkait: NIST.800-53.r5 CP-10, NIST.800-53.r5 SC-5, NIST.800-53.r5 SC-36, NIST.800-53.r5 SA-13

Kategori: Pu lihkan > Ketahanan > Ketersediaan tinggi

Tingkat keparahan: Sedang

Jenis sumber daya: AWS::SageMaker::EndpointConfig

AWS Config aturan: sagemaker-endpoint-config-prod-instance-count

Jenis jadwal: Ber kala

Parameter: Tidak ada

Kontrol ini memeriksa apakah varian produksi dari titik akhir Amazon SageMaker AI memiliki jumlah instans awal lebih besar dari 1. Kontrol gagal jika varian produksi titik akhir hanya memiliki 1 instance awal.

Varian produksi yang berjalan dengan jumlah instans lebih besar dari 1 memungkinkan redundansi instans multi-AZ yang dikelola oleh SageMaker AI. Menyebarkan sumber daya di beberapa Zona Ketersediaan adalah praktik AWS terbaik untuk memberikan ketersediaan tinggi dalam arsitektur Anda. Ketersediaan tinggi membantu Anda pulih dari insiden keamanan.

Remediasi

Untuk informasi selengkapnya tentang parameter konfigurasi titik akhir, lihat Membuat konfigurasi titik akhir di Panduan Pengembang SageMaker AI Amazon.

[SageMaker.5] SageMaker model harus mengaktifkan isolasi jaringan

Kategori: L indungi > Konfigurasi jaringan aman > Sumber daya tidak dapat diakses publik

Tingkat keparahan: Sedang

Jenis sumber daya: AWS::SageMaker::Model

AWS Config aturan: sagemaker-model-isolation-enabled

Jenis jadwal: Perubahan dipicu

Parameter: Tidak ada

Kontrol ini memeriksa apakah model yang dihosting Amazon SageMaker AI mengaktifkan isolasi jaringan. Kontrol gagal jika EnableNetworkIsolation parameter untuk model yang dihosting diatur keFalse.

SageMaker Pelatihan AI dan wadah inferensi yang digunakan diaktifkan internet secara default. Jika Anda tidak ingin SageMaker AI menyediakan akses jaringan eksternal ke wadah pelatihan atau inferensi Anda, Anda dapat mengaktifkan isolasi jaringan. Jika Anda mengaktifkan isolasi jaringan, tidak ada panggilan jaringan masuk atau keluar yang dapat dilakukan ke atau dari wadah model, termasuk panggilan ke atau dari yang lain. Layanan AWS Selain itu, tidak ada AWS kredenSIAL yang tersedia untuk lingkungan runtime kontainer. Mengaktifkan isolasi jaringan membantu mencegah akses yang tidak diinginkan ke sumber daya SageMaker AI Anda dari internet.

Remediasi

Untuk informasi selengkapnya tentang isolasi jaringan untuk model SageMaker AI, lihat Menjalankan wadah pelatihan dan inferensi dalam mode bebas internet di Panduan Pengembang SageMaker AI Amazon. Saat Anda membuat model, Anda dapat mengaktifkan isolasi jaringan dengan mengatur nilai EnableNetworkIsolation parameter keTrue.

[SageMaker.6] konfigurasi gambar SageMaker aplikasi harus diberi tag

Kategori: Identifikasi > Inventaris > Penandaan

Tingkat keparahan: Rendah

Jenis sumber daya: AWS::SageMaker::AppImageConfig

AWS Config aturan: sagemaker-app-image-config-tagged

Jenis jadwal: Perubahan dipicu

Parameter:

Kontrol ini memeriksa apakah konfigurasi gambar aplikasi Amazon SageMaker AI (AppImageConfig) memiliki kunci tag yang ditentukan oleh requiredKeyTags parameter. Kontrol gagal jika konfigurasi gambar aplikasi tidak memiliki kunci tag, atau tidak memiliki semua kunci yang ditentukan oleh requiredKeyTags parameter. Jika Anda tidak menentukan nilai apa pun untuk requiredKeyTags parameter, kontrol hanya akan memeriksa keberadaan kunci tag dan gagal jika konfigurasi gambar aplikasi tidak memiliki kunci tag. Kontrol mengabaikan tag sistem, yang diterapkan secara otomatis dan memiliki aws: awalan.

Tag adalah label yang Anda buat dan tetapkan ke AWS sumber daya. Setiap tanda terdiri dari kunci tanda yang diperlukan dan nilai tanda opsional. Anda dapat menggunakan tag untuk mengategorikan sumber daya berdasarkan tujuan, pemilik, lingkungan, atau kriteria lainnya. Mereka dapat membantu Anda mengidentifikasi, mengatur, mencari, dan memfilter sumber daya. Mereka juga dapat membantu Anda melacak pemilik sumber daya untuk tindakan dan pemberitahuan. Anda juga dapat menggunakan tag untuk menerapkan kontrol akses berbasis atribut (ABAC) sebagai strategi otorisasi. Untuk informasi selengkapnya tentang strategi ABAC, lihat Mendefinisikan izin berdasarkan atribut dengan otorisasi ABAC di Panduan Pengguna IAM. Untuk informasi selengkapnya tentang tag, lihat Panduan Pengguna Sumber AWS Daya Tagging dan Editor Tag.

Remediasi

Untuk menambahkan tag ke konfigurasi gambar aplikasi Amazon SageMaker AI (AppImageConfig), Anda dapat menggunakan pen AddTags goperasian API SageMaker AI atau, jika Anda menggunakan AWS CLI, jalankan perintah add-tags.

[SageMaker.7] SageMaker gambar harus diberi tag

Kategori: Identifikasi > Inventaris > Penandaan

Tingkat keparahan: Rendah

Jenis sumber daya: AWS::SageMaker::Image

AWS Config aturan: sagemaker-image-tagged

Jenis jadwal: Perubahan dipicu

Parameter:

Kontrol ini memeriksa apakah gambar Amazon SageMaker AI memiliki kunci tag yang ditentukan oleh requiredKeyTags parameter. Kontrol gagal jika gambar tidak memiliki kunci tag, atau tidak memiliki semua kunci yang ditentukan oleh requiredKeyTags parameter. Jika Anda tidak menentukan nilai apa pun untuk requiredKeyTags parameter, kontrol hanya memeriksa keberadaan kunci tag dan gagal jika gambar tidak memiliki kunci tag. Kontrol mengabaikan tag sistem, yang diterapkan secara otomatis dan memiliki aws: awalan.

Tag adalah label yang Anda buat dan tetapkan ke AWS sumber daya. Setiap tanda terdiri dari kunci tanda yang diperlukan dan nilai tanda opsional. Anda dapat menggunakan tag untuk mengategorikan sumber daya berdasarkan tujuan, pemilik, lingkungan, atau kriteria lainnya. Mereka dapat membantu Anda mengidentifikasi, mengatur, mencari, dan memfilter sumber daya. Mereka juga dapat membantu Anda melacak pemilik sumber daya untuk tindakan dan pemberitahuan. Anda juga dapat menggunakan tag untuk menerapkan kontrol akses berbasis atribut (ABAC) sebagai strategi otorisasi. Untuk informasi selengkapnya tentang strategi ABAC, lihat Mendefinisikan izin berdasarkan atribut dengan otorisasi ABAC di Panduan Pengguna IAM. Untuk informasi selengkapnya tentang tag, lihat Panduan Pengguna Sumber AWS Daya Tagging dan Editor Tag.

Remediasi

Untuk menambahkan tag ke gambar Amazon SageMaker AI, Anda dapat menggunakan pen AddTags goperasian API SageMaker AI atau, jika Anda menggunakan AWS CLI, jalankan perintah add-tags.

[SageMaker.8] instance SageMaker notebook harus berjalan pada platform yang didukung

Kategori: Deteksi > Kerentanan, patch, dan manajemen versi

Tingkat keparahan: Sedang

Jenis sumber daya: AWS::SageMaker::NotebookInstance

AWS Config aturan: sagemaker-notebook-instance-platform-version

Jenis jadwal: Ber kala

Parameter:

Kontrol ini memeriksa apakah instance notebook Amazon SageMaker AI dikonfigurasi untuk berjalan pada platform yang didukung, berdasarkan pengidentifikasi platform yang ditentukan untuk instance notebook. Kontrol gagal jika instance notebook dikonfigurasi untuk berjalan pada platform yang tidak lagi didukung.

Jika platform untuk instance notebook Amazon SageMaker AI tidak lagi didukung, platform tersebut mungkin tidak menerima tambalan keamanan, perbaikan bug, atau jenis pembaruan lainnya. Instans notebook mungkin terus berfungsi, tetapi tidak akan menerima pembaruan keamanan SageMaker AI atau perbaikan bug penting. Anda menanggung risiko yang terkait dengan penggunaan platform yang tidak didukung. Untuk informasi selengkapnya, lihat JupyterLab pembuatan versi di Panduan Pengembang SageMaker AI Amazon.

Remediasi

Untuk informasi tentang platform yang saat ini didukung Amazon SageMaker AI dan cara bermigrasi ke platform tersebut, lihat instance notebook Amazon Linux 2 di Panduan Pengembang Amazon SageMaker AI.

[SageMaker.9] definisi pekerjaan kualitas SageMaker data harus mengaktifkan enkripsi lalu lintas antar kontainer

Kategori: Mel indungi > Perlindungan Data > Enkripsi data dalam transit

Tingkat keparahan: Sedang

Jenis sumber daya: AWS::SageMaker::DataQualityJobDefinition

AWS Config aturan: sagemaker-data-quality-job-encrypt-in-transit

Jenis jadwal: Perubahan dipicu

Parameter: Tidak ada

Kontrol ini memeriksa apakah definisi pekerjaan kualitas data Amazon SageMaker AI mengaktifkan enkripsi untuk lalu lintas antar kontainer. Kontrol gagal jika definisi untuk pekerjaan yang memantau kualitas dan penyimpangan data tidak mengaktifkan enkripsi untuk lalu lintas antar kontainer.

Mengaktifkan enkripsi lalu lintas antar kontainer melindungi data ML sensitif selama pemrosesan terdistribusi untuk analisis kualitas data.

Remediasi

Untuk informasi selengkapnya tentang enkripsi lalu lintas antar kontainer untuk Amazon SageMaker AI, lihat Mel indungi Komunikasi Antara Instans Komputasi ML dalam Pekerjaan Pelatihan Terdistribusi di Panduan Pengembang SageMaker AI Amazon. Saat Anda membuat definisi pekerjaan kualitas data, Anda dapat mengaktifkan enkripsi lalu lintas antar kontainer dengan menyetel nilai EnableInterContainerTrafficEncryption parameter keTrue.

[SageMaker.10] definisi pekerjaan penjelasan SageMaker model harus mengaktifkan enkripsi lalu lintas antar kontainer

Kategori: Mel indungi > Perlindungan Data > Enkripsi data dalam transit

Tingkat keparahan: Sedang

Jenis sumber daya: AWS::SageMaker::ModelExplainabilityJobDefinition

AWS Config aturan: sagemaker-model-explainability-job-encrypt-in-transit

Jenis jadwal: Perubahan dipicu

Parameter: Tidak ada

Kontrol ini memeriksa apakah definisi pekerjaan penjelasan SageMaker model Amazon mengaktifkan enkripsi lalu lintas antar kontainer. Kontrol gagal jika definisi pekerjaan penjelasan model tidak mengaktifkan enkripsi lalu lintas antar kontainer.

Mengaktifkan enkripsi lalu lintas antar kontainer melindungi data ML sensitif seperti data model, kumpulan data pelatihan, hasil pemrosesan menengah, parameter, dan bobot model selama pemrosesan terdistribusi untuk analisis keterjelasan.

Remediasi

Untuk definisi pekerjaan penjelasan SageMaker model yang ada, enkripsi lalu lintas antar kontainer tidak dapat diperbarui di tempat. Untuk membuat definisi pekerjaan penjelasan SageMaker model baru dengan enkripsi lalu lintas antar kontainer diaktifkan, gunakan API atau CLI atau CloudFormation dan setel ke. EnableInterContainerTrafficEncryption True

[SageMaker.11] definisi pekerjaan kualitas SageMaker data harus mengaktifkan isolasi jaringan

Kategori: L indungi > Konfigurasi jaringan aman

Tingkat keparahan: Sedang

Jenis sumber daya: AWS::SageMaker::DataQualityJobDefinition

AWS Config aturan: sagemaker-data-quality-job-isolation

Jenis jadwal: Perubahan dipicu

Parameter: Tidak ada

Kontrol ini memeriksa apakah definisi pekerjaan pemantauan kualitas data Amazon SageMaker AI mengaktifkan isolasi jaringan. Kontrol gagal jika definisi untuk pekerjaan yang memantau kualitas data dan penyimpangan memiliki isolasi jaringan dinonaktifkan.

Isolasi jaringan mengurangi permukaan serangan dan mencegah akses eksternal sehingga melindungi terhadap akses eksternal yang tidak sah, paparan data yang tidak disengaja, dan potensi eksfiltrasi data.

Remediasi

Untuk informasi selengkapnya tentang isolasi jaringan untuk SageMaker AI, lihat Menjalankan wadah pelatihan dan inferensi dalam mode bebas internet di Panduan Pengembang SageMaker AI Amazon. Saat Anda membuat definisi pekerjaan kualitas data, Anda dapat mengaktifkan isolasi jaringan dengan menyetel nilai EnableNetworkIsolation parameter keTrue.

[SageMaker.12] definisi pekerjaan bias SageMaker model harus mengaktifkan isolasi jaringan

Kategori: L indungi > Konfigurasi jaringan aman > Konfigurasi kebijakan sumber daya

Tingkat keparahan: Sedang

Jenis sumber daya: AWS::SageMaker::ModelBiasJobDefinition

AWS Config aturan: sagemaker-model-bias-job-isolation

Jenis jadwal: Perubahan dipicu

Parameter: Tidak ada

Kontrol ini memeriksa apakah definisi pekerjaan bias SageMaker model mengaktifkan isolasi jaringan. Kontrol gagal jika definisi pekerjaan bias model tidak mengaktifkan isolasi jaringan.

Isolasi jaringan mencegah pekerjaan bias SageMaker model berkomunikasi dengan sumber daya eksternal melalui internet. Dengan mengaktifkan isolasi jaringan, Anda memastikan bahwa wadah pekerjaan tidak dapat membuat koneksi keluar, mengurangi permukaan serangan dan melindungi data sensitif dari eksfiltrasi. Ini sangat penting untuk pekerjaan yang memproses data yang diatur atau sensitif.

Remediasi

Untuk mengaktifkan isolasi jaringan, Anda harus membuat definisi pekerjaan bias model baru dengan EnableNetworkIsolation parameter disetel keTrue. Isolasi jaringan tidak dapat dimodifikasi setelah pembuatan definisi pekerjaan. Untuk membuat definisi pekerjaan bias model baru, lihat CreateModelBiasJobDefinition di Panduan Pengembang SageMaker AI Amazon.

[SageMaker.13] definisi pekerjaan kualitas SageMaker model harus mengaktifkan enkripsi lalu lintas antar kontainer

Kategori: Mel indungi > Perlindungan Data > Enkripsi data dalam transit

Tingkat keparahan: Sedang

Jenis sumber daya: AWS::SageMaker::ModelQualityJobDefinition

AWS Config aturan: ssagemaker-model-quality-job-encrypt-in-transit

Jenis jadwal: Perubahan dipicu

Parameter: Tidak ada

Kontrol ini memeriksa apakah definisi pekerjaan kualitas SageMaker model Amazon mengaktifkan enkripsi dalam transit untuk lalu lintas antar kontainer. Kontrol gagal jika definisi pekerjaan kualitas model tidak mengaktifkan enkripsi lalu lintas antar kontainer.

Inter-container enkripsi lalu lintas melindungi data yang dikirimkan antar kontainer selama pekerjaan pemantauan kualitas model terdistribusi. Secara default, lalu lintas antar kontainer tidak dienkripsi. Mengaktifkan enkripsi membantu menjaga kerahasiaan data selama pemrosesan dan mendukung kepatuhan terhadap persyaratan peraturan untuk perlindungan data dalam transit.

Remediasi

Untuk mengaktifkan enkripsi lalu lintas antar kontainer untuk definisi pekerjaan kualitas SageMaker model Amazon Anda, Anda harus membuat ulang definisi pekerjaan dengan konfigurasi enkripsi dalam transit yang sesuai. Untuk membuat definisi pekerjaan berkualitas model, lihat CreateModelQualityJobDefinition di Panduan Pengembang SageMaker AI Amazon.

[SageMaker.14] jadwal SageMaker pemantauan harus mengaktifkan isolasi jaringan

Kategori: L indungi > Konfigurasi jaringan aman

Tingkat keparahan: Sedang

Jenis sumber daya: AWS::SageMaker::MonitoringSchedule

AWS Config aturan: sagemaker-monitoring-schedule-isolation

Jenis jadwal: Perubahan dipicu

Parameter: Tidak ada

Kontrol ini memeriksa apakah jadwal SageMaker pemantauan Amazon mengaktifkan isolasi jaringan. Kontrol gagal jika jadwal pemantauan telah diset EnableNetworkIsolation el ke false atau tidak dikonfigurasi

Isolasi jaringan mencegah pekerjaan pemantauan dari melakukan panggilan jaringan keluar, mengurangi permukaan serangan dengan menghilangkan akses internet dari kontainer.

Remediasi

Untuk informasi tentang mengonfigurasi isolasi jaringan dalam NetworkConfig parameter saat membuat atau memperbarui jadwal pemantauan, lihat CreateMonitoringSchedule atau UpdateMonitoringSchedule di Panduan Pengembang Amazon SageMaker AI.

[SageMaker.15] definisi pekerjaan bias SageMaker model harus mengaktifkan enkripsi lalu lintas antar kontainer

Kategori: Mel indungi > Perlindungan Data > Enkripsi data dalam transit

Tingkat keparahan: Sedang

Jenis sumber daya: AWS::SageMaker::ModelBiasJobDefinition

AWS Config aturan: sagemaker-model-bias-job-encrypt-in-transit

Jenis jadwal: Perubahan dipicu

Parameter: Tidak ada

Kontrol ini memeriksa apakah definisi pekerjaan bias SageMaker model Amazon mengaktifkan enkripsi lalu lintas antar kontainer saat menggunakan beberapa instans komputasi. Kontrol gagal jika EnableInterContainerTrafficEncryption disetel ke false atau tidak dikonfigurasi untuk definisi pekerjaan dengan jumlah instance 2 atau lebih besar.

Inter-container enkripsi lalu lintas melindungi data yang ditransmisikan antara instance komputasi selama pekerjaan pemantauan bias model terdistribusi. Enkripsi mencegah akses tidak sah ke informasi terkait model seperti bobot yang ditransmisikan antar instans.

Remediasi

Untuk mengaktifkan enkripsi lalu lintas antar kontainer untuk definisi pekerjaan bias SageMaker model, setel EnableInterContainerTrafficEncryption parameter ke True saat definisi pekerjaan menggunakan beberapa instance komputasi. Untuk informasi tentang melindungi komunikasi antara instans komputasi ML, lihat Mel indungi Komunikasi Antara Instans Komputasi ML dalam Pekerjaan Pelatihan Terdistribusi di Panduan Pengembang SageMaker AI Amazon.

[SageMaker.16] SageMaker model harus menggunakan registri pribadi di VPC untuk wadah utama

Kategori: L indungi > Konfigurasi jaringan aman > Sumber daya dalam VPC

Tingkat keparahan: Sedang

Jenis sumber daya: AWS::SageMaker::Model

AWS Config aturan: sagemaker-model-private-registry-required

Jenis jadwal: Perubahan dipicu

Parameter: Tidak ada

Kontrol ini memeriksa apakah model Amazon SageMaker AI menarik gambar kontainer dari registri pribadi di VPC untuk wadah utama. Kontrol gagal jika gambar tidak dikonfigurasi atau mode akses repositori tidakPlatform.

Menggunakan registri Docker pribadi di VPC untuk wadah SageMaker model memastikan gambar kontainer ditarik dari sumber tepercaya dan terkontrol dalam VPC Anda. Selain itu, ini memastikan gambar kontainer diakses melalui titik akhir VPC, tanpa melintasi internet publik.

Remediasi

Untuk mengonfigurasi registri docker pribadi untuk wadah inferensi real-time SageMaker AI, lihat Menggunakan Registry Docker Pribadi untuk Kontainer Real-Time Inferensi di Panduan Pengembang Amazon AI. SageMaker

[SageMaker.17] toko offline grup SageMaker fitur harus dienkripsi dengan AWS KMS keys

Kategori: Mel indungi > Perlindungan Data > Enkripsi data-at-rest

Tingkat keparahan: Sedang

Jenis sumber daya: AWS::SageMaker::FeatureGroup

AWS Config aturan: sagemaker-featuregroup-encryption-at-rest

Jenis jadwal: Perubahan dipicu

Parameter: Tidak ada

Kontrol ini memeriksa apakah toko SageMaker offline Amazon untuk grup fitur dienkripsi saat diam dengan AWS KMS kunci. Kontrol gagal jika penyimpanan S3 penyimpanan offline untuk grup fitur tidak dienkripsi dengan kunci KMS.

Menggunakan pengelolaan pelanggan AWS KMS keys untuk enkripsi di toko offline grup SageMaker fitur lainnya memberikan keamanan yang ditingkatkan. Customer-managed Kunci KMS memberi Anda kontrol penuh atas siklus hidup kunci enkripsi dan kebijakan kunci. Selain itu, semua penggunaan kunci enkripsi dapat dicatat dan dipantau AWS CloudTrail untuk auditabilitas.

Remediasi

Untuk informasi tentang mengaktifkan enkripsi saat diam untuk toko offline Fe SageMaker ature Store menggunakan AWS KMS kunci yang dikelola pelanggan, lihat Keamanan dan kontrol akses di Panduan Pengembang Amazon SageMaker AI.

[SageMaker.18] toko online grup SageMaker fitur dengan penyimpanan standar harus dienkripsi dengan AWS KMS keys

Persyaratan terkait: NIST.800-53.r5 AU-9, NIST.800-53.r5 CA-9 (1), NIST.800-53.r5 CM-3 (6), NIST.800-53.r5 SC-7 (10), NIST.800-53.r5 SC-12 (2), NIST.800-53.r5 SC-13, NIST.800-53.r5 SC-28, NIST.800-53.r5 SC-28 (1), NIST.800-53.r5 SI-7 (6)

Kategori: Melindungi > Perlindungan data > Enkripsi data saat diam

Tingkat keparahan: Sedang

Jenis sumber daya: AWS::SageMaker::FeatureGroup

AWS Config aturan: sagemaker-featuregroup-online-store-encryption

Jenis jadwal: Perubahan dipicu

Parameter: Tidak ada

Kontrol ini memeriksa apakah toko SageMaker online Amazon untuk grup fitur dengan penyimpanan standar dienkripsi saat diam dengan AWS KMS kunci. Kontrol gagal jika enkripsi kunci KMS tidak dikonfigurasi untuk toko online.

Menggunakan pengelolaan pelanggan AWS KMS keys untuk enkripsi di toko online grup SageMaker fitur lainnya memberikan keamanan yang ditingkatkan. Customer-managed Kunci KMS memberi Anda kontrol penuh atas siklus hidup kunci enkripsi dan kebijakan kunci. Selain itu, semua penggunaan kunci enkripsi dapat dicatat dan dipantau AWS CloudTrail untuk auditabilitas.

Remediasi

Untuk informasi tentang mengaktifkan enkripsi saat diam untuk toko online Fe SageMaker ature Store menggunakan AWS KMS kunci yang dikelola pelanggan, lihat Keamanan dan kontrol akses di Panduan Pengembang Amazon SageMaker AI.

[SageMaker.19] SageMaker model harus menggunakan registri pribadi di VPC untuk saluran inferensi multi-kontainer

Kategori: L indungi > Konfigurasi jaringan aman > Sumber daya dalam VPC

Tingkat keparahan: Sedang

Jenis sumber daya: AWS::SageMaker::Model

AWS Config aturan: sagemaker-model-multicontainer-private-registry

Jenis jadwal: Perubahan dipicu

Parameter: Tidak ada

Kontrol ini memeriksa apakah model Amazon SageMaker AI dengan pipeline inferensi multi-kontainer menarik gambar kontainer dari registri Docker pribadi di VPC. Kontrol gagal jika definisi wadah apa pun tidak memiliki konfigurasi gambar atau memiliki mode akses repositori diatur ke platform.

Menggunakan registri Docker pribadi di VPC untuk saluran inferensi multi-kontainer SageMaker AI memastikan gambar kontainer ditarik dari sumber tepercaya dan terkontrol dalam VPC Anda. Ini memastikan gambar kontainer diakses melalui titik akhir VPC, tanpa melintasi internet publik, mengurangi risiko serangan rantai pasokan atau gangguan gambar.

Remediasi

Untuk mengonfigurasi registri docker pribadi untuk wadah inferensi real-time SageMaker AI, lihat Menggunakan Registry Docker Pribadi untuk Kontainer Real-Time Inferensi di Panduan Pengembang Amazon AI. SageMaker

[SageMaker.20] definisi pekerjaan penjelasan SageMaker model harus mengaktifkan isolasi jaringan

Kategori: L indungi > Konfigurasi jaringan aman > Sumber daya tidak dapat diakses publik

Tingkat keparahan: Tinggi

Jenis sumber daya: AWS::SageMaker::ModelExplainabilityJobDefinition

AWS Config aturan: sagemaker-model-explainability-job-network-isolation

Jenis jadwal: Perubahan dipicu

Parameter: Tidak ada

Kontrol ini memeriksa apakah definisi pekerjaan penjelasan model SageMaker AI mengaktifkan isolasi jaringan. Kontrol gagal jika definisi pekerjaan tidak mengaktifkan isolasi jaringan.

Isolasi jaringan mencegah wadah pekerjaan penjelasan model melakukan panggilan jaringan keluar, mengurangi risiko eksfiltrasi data dan memberikan pertahanan mendalam untuk model sensitif dan data pelatihan.

Remediasi

Untuk mengaktifkan isolasi jaringan untuk definisi pekerjaan penjelasan model SageMaker AI, setel NetworkConfig.EnableNetworkIsolation ke true saat membuat definisi pekerjaan. Untuk informasi selengkapnya tentang isolasi jaringan untuk SageMaker AI, lihat Menjalankan wadah pelatihan dan inferensi dalam mode bebas internet di Panduan Pengembang SageMaker AI Amazon.

[SageMaker.21] instance SageMaker notebook harus dienkripsi dengan yang dikelola pelanggan AWS KMS keys

Kategori: Melindungi > Perlindungan data > Enkripsi data saat diam

Tingkat keparahan: Sedang

Jenis sumber daya: AWS::SageMaker::NotebookInstance

AWS Config aturan: sagemaker-notebook-instance-storage-vol-kms-encrypted

Jenis jadwal: Perubahan dipicu

Parameter: Tidak ada

Kontrol ini memeriksa apakah instance notebook SageMaker AI dikonfigurasi dengan AWS KMS kunci untuk enkripsi volume penyimpanan. Kontrol gagal jika kunci KMS tidak dikonfigurasi untuk instance notebook.

Enkripsi data diam dengan kunci KMS yang dikelola pelanggan memberikan kontrol akses tambahan atas enkripsi terkel AWS ola default. SageMaker Instans notebook AI menyimpan buku catatan pengguna, kumpulan data, artefak model, dan data pemrosesan sementara pada volume penyimpanan ML. Kunci yang dikelola pelanggan memungkinkan kontrol kebijakan kunci yang halus, pencatatan CloudTrail audit penggunaan kunci, dan kepatuhan terhadap kerangka kerja yang memerlukan enkripsi yang dikendalikan pelanggan.

Remediasi

Untuk mengonfigurasi kunci KMS untuk instance notebook SageMaker AI, lihat Instans Notebook, pekerjaan SageMaker AI, dan Titik Akhir di Panduan Pengembang SageMaker AI Amazon. Perhatikan bahwa hanya KmsKeyId dapat diatur pada waktu pembuatan instance notebook. Untuk memperbaiki, buat instance buku catatan baru dengan kunci KMS yang ditentukan dan migrasikan data Anda dari instance yang ada.

[SageMaker.22] jadwal SageMaker pemantauan harus mengaktifkan enkripsi lalu lintas antar kontainer

Kategori: Melindungi > Perlindungan data > Enkripsi data dalam transit

Tingkat keparahan: Sedang

Jenis sumber daya: AWS::SageMaker::MonitoringSchedule

AWS Config aturan: sagemaker-monitoring-schedule-traffic-encryption

Jenis jadwal: Perubahan dipicu

Parameter: Tidak ada

Kontrol ini memeriksa apakah jadwal pemantauan SageMaker AI Amazon mengaktifkan enkripsi untuk lalu lintas antar kontainer. Kontrol gagal jika definisi pekerjaan pemantauan tidak mengaktifkan enkripsi untuk lalu lintas antar kontainer.

Inter-container enkripsi lalu lintas memastikan bahwa data yang dikirimkan antar kontainer selama pekerjaan pemantauan dienkripsi saat transit. Tanpa enkripsi ini, data sensitif yang diproses selama pemantauan model dapat terkena akses tidak sah di dalam jaringan. Mengaktifkan pengaturan ini membantu memenuhi persyaratan kepatuhan untuk melindungi data dalam perjalanan.

Remediasi

Untuk jadwal pemantauan SageMaker AI yang ada, enkripsi lalu lintas antar kontainer tidak dapat diperbarui di tempat. Untuk membuat jadwal pemantauan SageMaker AI baru dengan enkripsi lalu lintas antar kontainer diaktifkan, gunakan API atau CLI atau CloudFormation dan set EnableInterContainerTrafficEncryption el ke true dalamNetworkConfig. MonitoringJobDefinition

[SageMaker.23] eksperimen SageMaker inferensi harus memiliki volume penyimpanan instance yang dienkripsi dengan yang dikelola pelanggan AWS KMS keys

Kategori: Melindungi > Perlindungan data > Enkripsi data saat diam

Tingkat keparahan: Sedang

Jenis sumber daya: AWS::SageMaker::InferenceExperiment

AWS Config aturan: sagemaker-inf-experiment-instance-storage-kms-encrypted

Jenis jadwal: Perubahan dipicu

Parameter: Tidak ada

Kontrol ini memeriksa apakah eksperimen inferensi SageMaker AI dikonfigurasi dengan AWS KMS kunci misalnya enkripsi volume penyimpanan. Kontrol gagal jika kunci KMS tidak ditentukan misalnya enkripsi volume penyimpanan.

Mengenkripsi volume penyimpanan instans dengan kunci KMS yang dikelola pelanggan menyediakan manajemen kunci terpusat, pencatatan audit, dan kontrol rotasi kunci untuk artefak model dan data inferensi sementara yang disimpan pada instans komputasi ML selama pengujian bayangan.

Remediasi

Untuk mengonfigurasi kunci KMS untuk eksperimen inferensi SageMaker AI, tentukan KmsKey parameter saat memanggil. CreateInferenceExperiment Bisa KmsKey berupa ID kunci KMS, ARN, alias, atau alias ARN. Per SageMaker an eksekusi AI harus memiliki kms:CreateGrant izin pada kunci. Untuk informasi selengkapnya tentang menentukan AWS KMS kunci yang dikelola pelanggan untuk SageMaker AI, lihat Inst ans Notebook, pekerjaan SageMaker AI, dan Titik Ak hir di Panduan Pengembang SageMaker AI Amazon.

[SageMaker.24] eksperimen SageMaker inferensi harus memiliki penyimpanan data yang dienkripsi dengan pengelolaan pelanggan AWS KMS keys

Kategori: Melindungi > Perlindungan data > Enkripsi data saat diam

Tingkat keparahan: Sedang

Jenis sumber daya: AWS::SageMaker::InferenceExperiment

AWS Config aturan: sagemaker-inf-experiment-data-storage-kms-encrypted

Jenis jadwal: Perubahan dipicu

Parameter: Tidak ada

Kontrol ini memeriksa apakah eksperimen inferensi SageMaker AI dengan pengambilan data diaktifkan memiliki kunci KMS yang dikonfigurasi untuk mengenkripsi data yang diambil saat diam. Kontrol gagal jika konfigurasi penyimpanan data tidak menentukan kunci KMS untuk enkripsi.

Mengenkripsi data permintaan inferensi dan respons yang ditangkap dengan kunci KMS yang dikelola pelanggan memastikan bahwa muatan inferensi sensitif yang disimpan di Amazon S3 dilindungi dengan kemampuan manajemen kunci dan audit terpusat.

Remediasi

Untuk mengonfigurasi kunci KMS untuk penyimpanan data dalam eksperimen inferensi SageMaker AI, tentukan KmsKey bidang di dalam DataStorageConfig saat memanggil. CreateInferenceExperiment Men KmsKey genkripsi permintaan inferensi yang ditangkap dan data respons saat diam di bucket Amazon S3 yang ditentukan. Untuk informasi selengkapnya tentang menentukan AWS KMS kunci yang dikelola pelanggan untuk SageMaker AI, lihat Inst ans Notebook, pekerjaan SageMaker AI, dan Titik Ak hir di Panduan Pengembang SageMaker AI Amazon.

[SageMaker.25] definisi pekerjaan kualitas SageMaker model harus mengaktifkan isolasi jaringan

Kategori: L indungi > Konfigurasi jaringan aman > Sumber daya tidak dapat diakses publik

Tingkat keparahan: Tinggi

Jenis sumber daya: AWS::SageMaker::ModelQualityJobDefinition

AWS Config aturan: sagemaker-model-quality-job-definition-isolation

Jenis jadwal: Perubahan dipicu

Parameter: Tidak ada

Kontrol ini memeriksa apakah definisi pekerjaan kualitas model Amazon SageMaker AI mengaktifkan isolasi jaringan. Kontrol gagal jika definisi pekerjaan kualitas model tidak mengaktifkan isolasi jaringan.

Isolasi jaringan mengurangi permukaan serangan dan mencegah akses eksternal, sehingga melindungi terhadap akses eksternal yang tidak sah, paparan data yang tidak disengaja, dan potensi eksfiltrasi data.

Remediasi

Saat Anda membuat definisi pekerjaan kualitas model, Anda dapat mengaktifkan isolasi jaringan dengan menyetel nilai EnableNetworkIsolation parameter keTrue. Untuk informasi selengkapnya tentang isolasi jaringan untuk SageMaker AI, lihat Menjalankan wadah pelatihan dan inferensi dalam mode bebas internet di Panduan Pengembang SageMaker AI Amazon.