View a markdown version of this page

Protezione dei dati in AWS Security Agent - Agente di sicurezza AWS
Crittografia dei dati a riposoCrittografia dei dati in transitoGestione delle chiaviRiservatezza del traffico InternetCross-Region elaborazione dei datiEliminazione dei dati

Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Protezione dei dati in AWS Security Agent

Il modello di responsabilità condivisa di AWS si applica alla protezione dei dati in AWS Security Agent. Come descritto in questo modello, AWS è responsabile della protezione dell'infrastruttura globale che esegue tutto il cloud AWS. L’utente è responsabile del controllo dei contenuti ospitati su questa infrastruttura. Sei anche responsabile delle attività di configurazione e gestione della sicurezza per i servizi AWS che utilizzi. Per informazioni sulla protezione dei dati in Europa, consulta il post sul blog AWS Shared Responsibility Model e GDPR sull'AWS Security Blog. Per scopi di protezione dei dati, consigliamo di proteggere le credenziali dell'account AWS e configurare singoli utenti con AWS IAM Identity Center o AWS Identity and Access Management (IAM). In tal modo, a ogni utente verranno assegnate solo le autorizzazioni necessarie per svolgere i suoi compiti. Suggeriamo, inoltre, di proteggere i dati nei seguenti modi:

  • Utilizza l’autenticazione a più fattori (MFA) con ogni account.

  • SSL/TLS Usalo per comunicare con le risorse AWS. È richiesto TLS 1.2 ed è consigliato TLS 1.3.

  • Configura API e registrazione delle attività degli utenti con AWS CloudTrail. Per informazioni sull'utilizzo dei CloudTrail trail per acquisire le attività di AWS, consulta Working with CloudTrail trails nella AWS CloudTrail User Guide.

  • Utilizza le soluzioni di crittografia AWS, insieme a tutti i controlli di sicurezza predefiniti all'interno dei servizi AWS.

  • Utilizza i servizi di sicurezza gestiti avanzati, come Amazon Macie, che aiutano a individuare e proteggere i dati sensibili archiviati in Amazon S3.

  • Se hai bisogno di moduli crittografici convalidati FIPS 140-3 per accedere ad AWS tramite un'interfaccia a riga di comando o un'API, usa un endpoint FIPS. Per ulteriori informazioni sugli endpoint FIPS disponibili, consulta il Federal Information Processing Standard (FIPS) 140-3.

Ti consigliamo di non inserire mai informazioni riservate o sensibili, ad esempio gli indirizzi e-mail dei clienti, nei tag o nei campi di testo in formato libero, ad esempio nel campo Nome. Ciò include quando lavori con AWS Security Agent o altri servizi AWS utilizzando la console, l'API, l'AWS CLI o gli SDK AWS. I dati inseriti nei tag o nei campi di testo in formato libero utilizzati per i nomi possono essere utilizzati per i la fatturazione o i log di diagnostica. Quando si fornisce un URL a un server esterno, suggeriamo vivamente di non includere informazioni sulle credenziali nell’URL per convalidare la richiesta al server.

Crittografia dei dati a riposo

AWS Security Agent crittografa tutti i dati inattivi utilizzando chiavi di AWS-managed crittografia per impostazione predefinita. Questo include:

  • Documenti e codice di progettazione: tutti i documenti di progettazione, gli archivi di codice e gli artefatti applicativi forniti per le revisioni di sicurezza sono crittografati mediante crittografia. AES-256

  • Risultati di sicurezza: tutti i risultati di sicurezza, i report sulle vulnerabilità e le raccomandazioni per la correzione sono crittografati quando sono inattivi.

  • Dati di configurazione: i requisiti di sicurezza, le politiche personalizzate e le configurazioni dei servizi sono crittografati.

  • Registri di controllo: tutti i registri delle attività di servizio e gli audit trail sono crittografati.

AWS Security Agent utilizza AWS Key Management Service (AWS KMS) per gestire le chiavi di crittografia. Facoltativamente, puoi utilizzare una chiave gestita dal cliente per crittografare i tuoi dati, ottenendo il pieno controllo sulle chiavi di crittografia che proteggono le tue risorse. Per ulteriori informazioni, consulta Chiavi gestite dal cliente per AWS Security Agent.

Crittografia dei dati in transito

AWS Security Agent crittografa tutti i dati in transito utilizzando Transport Layer Security (TLS) 1.2 o versioni successive. Questo approccio si applica a:

  • Comunicazioni API: tutte le chiamate API tra le tue applicazioni e AWS Security Agent utilizzano HTTPS con crittografia TLS.

  • Accesso alla console: la console di AWS Security Agent è accessibile tramite HTTPS.

  • Connessioni ai repository: le connessioni GitHub e altri repository di codice utilizzano protocolli crittografati.

  • Comunicazioni con agenti: tutte le comunicazioni tra il servizio AWS Security Agent e gli agenti di penetration test utilizzano canali crittografati.

Gestione delle chiavi

AWS Security Agent utilizza AWS Key Management Service (AWS KMS) per gestire le chiavi di crittografia. Per impostazione predefinita, i dati vengono crittografati tramite AWS-managed chiavi. Facoltativamente, puoi specificare una chiave gestita dal cliente durante la creazione di risorse come Agent Spaces e integrazioni. Per ulteriori informazioni, consulta Chiavi gestite dal cliente per AWS Security Agent.

Riservatezza del traffico Internet

AWS Security Agent utilizza la rete Internet pubblica per comunicare con i provider di controllo del codice sorgente ospitati nel cloud (GitHub GitLab, Bitbucket) e Confluence Cloud.

Per i provider con hosting autonomo (GitLab Self-Managed GitHub Enterprise Server), puoi configurare connessioni private utilizzando Amazon VPC Lattice per mantenere tutto il traffico all'interno della rete AWS. Per ulteriori informazioni, consulta Connect al controllo del codice sorgente ospitato privatamente.

Nella configurazione predefinita, AWS Security Agent utilizza la rete Internet pubblica per raggiungere l'app per i test di penetrazione. Facoltativamente, puoi configurare i test di penetrazione per utilizzare un VPC per accedere alla tua applicazione. Per ulteriori informazioni, consulta Connect agent a risorse VPC private.

Cross-Region elaborazione dei dati

AWS Security Agent utilizza l'inferenza tra regioni per ottimizzare le risorse di calcolo disponibili e la disponibilità dei modelli. A seconda della regione in cui ha origine la richiesta, potremmo elaborare le richieste di input e i risultati di output in una regione diversa.

  • Negli Stati Uniti orientali (Virginia settentrionale)us-east-1, Stati Uniti occidentali (Oregon)us-west-2, Asia Pacifico (Sydney)ap-southeast-2, Asia Pacifico (Tokyo)ap-northeast-1, Europa (Francoforte) ed Europa (Irlanda)eu-central-1, eu-west-1 AWS Security Agent utilizza l'inferenza geografica interregionale. Per la maggior parte delle funzionalità, l'elaborazione dei dati rimane entro i confini geografici (ad esempio Stati Uniti, UE, Australia o Giappone) da cui ha avuto origine la richiesta. Per quanto riguarda Code Remediation, le richieste provenienti da Australia e Giappone vengono elaborate nell'Unione Europea. Per i dettagli di routing specifici delle funzionalità, consulta la tabella Cross Region Inference.

  • In Asia Pacifico (Mumbai)ap-south-1, Asia Pacifico (Singapore) e Sud America (San Paolo) ap-southeast-1sa-east-1, AWS Security Agent utilizza l'inferenza globale tra regioni. Potremmo elaborare richieste di input e risultati di output in qualsiasi regione AWS commerciale.

In tutti i casi, i dati rimangono archiviati solo nella regione in cui ha avuto origine la richiesta. Tutti i dati trasmessi durante le operazioni interregionali rimangono sulla rete AWS e non attraversano la rete Internet pubblica. Crittografiamo i dati in transito tra le regioni AWS.

Cross-Region l'inferenza è sempre abilitata e non può essere disattivata. Per informazioni dettagliate su quali regioni elaborano le richieste per ciascuna funzionalità, consulta la sezione Inferenza interregionale in. Best practice di sicurezza per AWS Security Agent

Eliminazione dei dati

Quando elimini dati da AWS Security Agent:

  • I dati sono contrassegnati per l'eliminazione e non sono più accessibili tramite il servizio.

  • I dati vengono eliminati da tutti i sistemi AWS Security Agent entro 30 giorni.

Per eliminare i tuoi dati

  1. Nella console AWS, accedi ad AWS Security Agent.

  2. Scegli i dati che desideri eliminare (revisioni di sicurezza, risultati o requisiti personalizzati).

  3. Scegli Elimina e conferma l'eliminazione.