Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.
Contrôles Security Hub CSPM pour Amazon Bedrock AgentCore
Ces AWS Security Hub CSPM contrôles évaluent le AgentCore service et les ressources Amazon Bedrock. Il est possible que les commandes ne soient pas toutes disponibles Régions AWS. Pour de plus amples informations, veuillez consulter Disponibilité des contrôles par région.
[BedrockAgentCore.1] Les environnements d' AgentCore exécution de Bedrock doivent être configurés en mode réseau VPC
Catégorie : Protéger > Gestion des accès sécurisés > Ressource non accessible au public
Gravité : Élevée
Type de ressource : AWS::BedrockAgentCore::Runtime
Règle AWS Config : bedrockagentcore-runtime-private-network-required
Type de calendrier : changement déclenché
Paramètres : Aucun
Ce contrôle vérifie si un environnement d' AgentCore exécution Amazon Bedrock est configuré en mode réseau VPC. Le contrôle échoue si le mode réseau du moteur d'exécution est défini sur PUBLIC.
L'utilisation du mode réseau public pour les environnements d' AgentCore exécution d'Amazon Bedrock expose le moteur d'exécution directement à Internet, ce qui augmente la surface d'attaque et le risque d'accès non autorisé. La configuration des environnements d'exécution en mode réseau VPC garantit que le trafic d'exécution est confiné au sein de votre réseau privé, ce qui vous permet d'appliquer des contrôles de sécurité au niveau du réseau tels que les groupes de sécurité, les ACL réseau et les journaux de flux VPC.
Correction
Pour remédier à ce problème, mettez à jour le AgentCore moteur d'exécution Bedrock non conforme et configurez-le en mode réseau VPC. Pour obtenir des instructions, consultez la section Configurer Amazon Bedrock AgentCore Runtime et les outils pour VPC dans le guide du développeur Amazon AgentCore Bedrock.
[BedrockAgentCore.2] Bedrock AgentCore Gateways devrait exiger une autorisation pour les demandes entrantes
Catégorie : Protéger - Gestion de l'accès sécurisé
Gravité : Élevée
Type de ressource : AWS::BedrockAgentCore::Gateway
Règle AWS Config : bedrockagentcore-gateway-authorizer-enabled
Type de calendrier : changement déclenché
Paramètres : Aucun
Ce contrôle vérifie si une AgentCore passerelle Amazon Bedrock nécessite une autorisation pour les demandes entrantes. Le contrôle échoue si l'autorisation entrante n'est pas configurée sur la AgentCore passerelle Bedrock.
La configuration de l'authentification sur les AgentCore passerelles Amazon Bedrock garantit que seuls les clients autorisés peuvent envoyer des demandes à vos agents d'intelligence artificielle. Sans autorisation, toute entité disposant d'un accès réseau au point de terminaison de la passerelle peut appeler vos agents, ce qui peut entraîner un accès non autorisé aux données, une utilisation abusive des ressources ou des coûts imprévus. L'autorisation entrante valide les utilisateurs qui tentent d'accéder à des cibles via votre AgentCore passerelle.
Correction
Pour configurer l'autorisation entrante pour une AgentCore passerelle Amazon Bedrock, consultez la section Configurer l'autorisation entrante pour votre passerelle dans le guide du développeur Amazon AgentCore Bedrock.
[BedrockAgentCore.3] La AgentCore mémoire Bedrock doit être cryptée et gérée par le client AWS KMS clés
Exigences associées : NIST.800-53.r5 AU-9, NIST.800-53.r5 CA-9 (1), NIST.800-53.r5 CM-3 (6), NIST.800-53.r5 SC-7 (10), NIST.800-53.r5 SC-12 (2), NIST.800-53.r5 SC-13, NIST.800-53.r5 SC-28, NIST.800-53.r5 SC-28 (1), NIST.800-53.r5 SI-7 (6)
Catégorie : Protéger - Protection des données - Chiffrement des données au repos
Gravité : Moyenne
Type de ressource : AWS::BedrockAgentCore::Memory
Règle AWS Config : bedrock-agentcore-memory-encryption-enabled
Type de calendrier : changement déclenché
Paramètres : Aucun
Ce contrôle vérifie si une AgentCore mémoire Amazon Bedrock est chiffrée au repos avec une AWS KMS clé gérée par le client. Le contrôle échoue si la AgentCore mémoire Bedrock n'est pas chiffrée avec une clé KMS gérée par le client.
L'utilisation d'une clé KMS gérée par le client pour le chiffrement de la AgentCore mémoire Amazon Bedrock renforce la sécurité par rapport à la clé gérée par le service par défaut. Les clés KMS gérées par le client vous permettent de contrôler totalement le cycle de vie des clés de chiffrement et les politiques d'accès. De plus, toutes les utilisations des clés de chiffrement peuvent être enregistrées et surveillées à des AWS CloudTrail fins d'auditabilité.
Correction
Pour chiffrer votre AgentCore mémoire Amazon Bedrock à l'aide d'une clé KMS gérée par le client, consultez la section Chiffrer votre mémoire Amazon Bedrock AgentCore dans le guide du développeur Amazon Bedrock. AgentCore
[BedrockAgentCore.4] La AgentCore passerelle Bedrock doit être cryptée et gérée par le client AWS KMS clés
Exigences associées : NIST.800-53.r5 AU-9, NIST.800-53.r5 CA-9 (1), NIST.800-53.r5 CM-3 (6), NIST.800-53.r5 SC-7 (10), NIST.800-53.r5 SC-12 (2), NIST.800-53.r5 SC-13, NIST.800-53.r5 SC-28, NIST.800-53.r5 SC-28 (1), NIST.800-53.r5 SI-7 (6)
Catégorie : Protéger - Protection des données - Chiffrement des données au repos
Gravité : Moyenne
Type de ressource : AWS::BedrockAgentCore::Gateway
Règle AWS Config : bedrockagentcore-gateway-encryption-enabled
Type de calendrier : changement déclenché
Paramètres : Aucun
Ce contrôle vérifie si une AgentCore passerelle Amazon Bedrock est chiffrée au repos avec une AWS KMS clé gérée par le client. Le contrôle échoue si la AgentCore passerelle Bedrock n'est pas chiffrée avec une clé KMS gérée par le client.
Par défaut, Amazon Bedrock AgentCore chiffre les données de passerelle à l'aide de clés AWS gérées. L'utilisation d'une clé KMS gérée par le client vous permet de contrôler totalement le cycle de vie de la clé de chiffrement, y compris la rotation, les politiques d'accès et les audits complets AWS CloudTrail. Cela permet de répondre aux exigences de conformité qui imposent un chiffrement contrôlé par le client pour les charges de travail sensibles liées à l'IA.
Correction
Pour chiffrer votre AgentCore passerelle Bedrock avec une clé KMS gérée par le client, consultez la section Chiffrer votre AgentCore passerelle avec une clé KMS gérée par le client dans le guide du développeur Amazon Bedrock. AgentCore
[BedrockAgentCore.5] Les navigateurs AgentCore personnalisés de Bedrock ne doivent pas utiliser le mode réseau public
Catégorie : Protection > Configuration réseau sécurisée > Ressources au sein du VPC
Gravité : Élevée
Type de ressource : AWS::BedrockAgentCore::BrowserCustom
Règle AWS Config : bedrockagentcore-browsercustom-network-mode-not-public
Type de calendrier : changement déclenché
Paramètres : Aucun
Ce contrôle vérifie si un navigateur AgentCore personnalisé Amazon Bedrock est configuré en mode réseau public. Le contrôle échoue si le mode réseau est défini sur public.
L'utilisation du mode réseau PUBLIC pour les navigateurs AgentCore personnalisés Amazon Bedrock expose les sessions de navigation directement à Internet, ce qui augmente la surface d'attaque et le risque d'accès non autorisé. La configuration des navigateurs en mode réseau VPC garantit que le trafic du navigateur est confiné au sein de votre réseau privé, ce qui vous permet d'appliquer des contrôles de sécurité au niveau du réseau tels que les groupes de sécurité, les ACL réseau et les journaux de flux VPC.
Correction
Pour remédier à ce problème, supprimez le navigateur AgentCore personnalisé Bedrock non conforme et recréez-le en mode réseau VPC. Pour obtenir des instructions, consultez la section Configurer Amazon Bedrock AgentCore Runtime et les outils pour VPC dans le guide du développeur Amazon AgentCore Bedrock.
[BedrockAgentCore.6] L'enregistrement de session devrait être activé dans les navigateurs AgentCore personnalisés Bedrock
Catégorie : Identifier - Journalisation
Gravité : Moyenne
Type de ressource : AWS::BedrockAgentCore::BrowserCustom
Règle AWS Config : bedrockagentcore-browsercustom-recording-enabled
Type de calendrier : changement déclenché
Paramètres : Aucun
Ce contrôle vérifie si l'enregistrement de session est activé sur un navigateur AgentCore personnalisé Amazon Bedrock avec une destination S3 configurée. Le contrôle échoue si l'enregistrement n'est pas activé dans un navigateur personnalisé ou si aucun emplacement S3 n'est configuré pour le stockage des enregistrements.
L'enregistrement de session pour les navigateurs AgentCore personnalisés de Bedrock garantit une auditabilité complète des interactions du navigateur, permettant de détecter les accès non autorisés, l'exfiltration de données ou les activités malveillantes lors des sessions de navigation automatisées.
Correction
Pour savoir comment activer l'enregistrement de session dans le navigateur, consultez la section Enregistrement et rediffusion de session dans le manuel Amazon Bedrock AgentCore Developer Guide.
