As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.
Controles CSPM do Security Hub para Amazon Bedrock AgentCore
Esses AWS Security Hub CSPM controles avaliam o AgentCore serviço e os recursos do Amazon Bedrock. Os controles podem não estar disponíveis em todos Regiões da AWS. Para obter mais informações, consulte Disponibilidade de controles por região.
[BedrockAgentCore.1] Os AgentCore tempos de execução do Bedrock devem ser configurados com o modo de rede VPC
Categoria: Proteger > Gerenciamento de acesso seguro > Recursos não acessíveis ao público
Gravidade: alta
Tipo de recurso: AWS::BedrockAgentCore::Runtime
Regra do AWS Config : bedrockagentcore-runtime-private-network-required
Tipo de programação: acionado por alterações
Parâmetros: nenhum
Esse controle verifica se um tempo de AgentCore execução do Amazon Bedrock está configurado com o modo de rede VPC. O controle falhará se o tempo de execução tiver seu modo de rede definido como PÚBLICO.
O uso do modo de rede pública para AgentCore tempos de execução do Amazon Bedrock expõe o tempo de execução diretamente à Internet, aumentando a superfície de ataque e o risco de acesso não autorizado. A configuração de tempos de execução com o modo de rede VPC garante que o tráfego de tempo de execução fique confinado em sua rede privada, permitindo que você aplique controles de segurança em nível de rede, como grupos de segurança, ACLs de rede e registros de fluxo de VPC.
Correção
Para corrigir essa descoberta, atualize o tempo de AgentCore execução não compatível do Bedrock e configure-o com o modo de rede VPC. Para obter instruções, consulte Configurar o Amazon Bedrock AgentCore Runtime e as ferramentas para VPC no Amazon AgentCore Bedrock Developer Guide.
[BedrockAgentCore.2] Os Bedrock AgentCore Gateways devem exigir autorização para solicitações de entrada
Categoria: Proteger > Gerenciamento de acesso seguro
Gravidade: alta
Tipo de recurso: AWS::BedrockAgentCore::Gateway
Regra do AWS Config : bedrockagentcore-gateway-authorizer-enabled
Tipo de programação: acionado por alterações
Parâmetros: nenhum
Esse controle verifica se um Amazon Bedrock AgentCore Gateway exige autorização para solicitações de entrada. O controle falhará se o Bedrock AgentCore Gateway não tiver a autorização de entrada configurada.
A configuração da autenticação nos AgentCore gateways do Amazon Bedrock garante que somente clientes autorizados possam enviar solicitações aos seus agentes de IA. Sem um autorizador, qualquer entidade com acesso de rede ao endpoint do gateway pode invocar seus agentes, o que pode levar ao acesso não autorizado aos dados, abuso de recursos ou custos inesperados. A autorização de entrada valida os usuários que tentam acessar alvos por meio do seu AgentCore gateway.
Correção
Para configurar a autorização de entrada para um Amazon Bedrock AgentCore Gateway, consulte Configurar autorização de entrada para seu gateway no Amazon Bedrock AgentCore Developer Guide.
[BedrockAgentCore.3] A AgentCore memória Bedrock deve ser criptografada e gerenciada pelo cliente AWS KMS keys
Requisitos relacionados: NIST.800-53.r5 AU-9, NIST.800-53.r5 CA-9 (1), NIST.800-53.r5 CM-3 (6), NIST.800-53.r5 SC-7 (10), NIST.800-53.r5 SC-12 (2), NIST.800-53.r5 SC-13, NIST.800-53.r5 SC-28, NIST.800-53.r5 SC-28 (1), NIST.800-53.r5 SI-7 (6)
Categoria: Proteger > Proteção de dados > Criptografia de dados em repouso
Gravidade: média
Tipo de recurso: AWS::BedrockAgentCore::Memory
Regra do AWS Config : bedrock-agentcore-memory-encryption-enabled
Tipo de programação: acionado por alterações
Parâmetros: nenhum
Esse controle verifica se uma AgentCore memória Amazon Bedrock está criptografada em repouso com uma AWS KMS chave gerenciada pelo cliente. O controle falhará se a AgentCore memória Bedrock não for criptografada com uma chave KMS gerenciada pelo cliente.
O uso de uma chave KMS gerenciada pelo cliente para criptografia da AgentCore memória Amazon Bedrock fornece segurança aprimorada em relação à chave gerenciada de serviço padrão. As chaves KMS gerenciadas pelo cliente oferecem controle total sobre o ciclo de vida da chave de criptografia e as políticas de acesso. Além disso, todo o uso da chave de criptografia pode ser registrado e monitorado AWS CloudTrail para fins de auditoria.
Correção
Para criptografar sua AgentCore memória Amazon Bedrock com uma chave KMS gerenciada pelo cliente, consulte Criptografar sua AgentCore memória Amazon Bedrock no Guia do desenvolvedor do Amazon Bedrock. AgentCore
[BedrockAgentCore.4] O Bedrock AgentCore Gateway deve ser criptografado com gerenciamento de clientes AWS KMS keys
Requisitos relacionados: NIST.800-53.r5 AU-9, NIST.800-53.r5 CA-9 (1), NIST.800-53.r5 CM-3 (6), NIST.800-53.r5 SC-7 (10), NIST.800-53.r5 SC-12 (2), NIST.800-53.r5 SC-13, NIST.800-53.r5 SC-28, NIST.800-53.r5 SC-28 (1), NIST.800-53.r5 SI-7 (6)
Categoria: Proteger > Proteção de dados > Criptografia de dados em repouso
Gravidade: média
Tipo de recurso: AWS::BedrockAgentCore::Gateway
Regra do AWS Config : bedrockagentcore-gateway-encryption-enabled
Tipo de programação: acionado por alterações
Parâmetros: nenhum
Esse controle verifica se um Amazon Bedrock AgentCore Gateway está criptografado em repouso com uma AWS KMS chave gerenciada pelo cliente. O controle falhará se o Bedrock AgentCore Gateway não estiver criptografado com uma chave KMS gerenciada pelo cliente.
Por padrão, o Amazon Bedrock AgentCore criptografa os dados do gateway com chaves AWS gerenciadas. O uso de uma chave KMS gerenciada pelo cliente oferece controle total sobre o ciclo de vida da chave de criptografia, incluindo rotação, políticas de acesso e auditoria. AWS CloudTrail Isso ajuda a atender aos requisitos de conformidade que exigem criptografia controlada pelo cliente para cargas de trabalho confidenciais de IA.
Correção
Para criptografar seu Bedrock AgentCore Gateway com uma chave KMS gerenciada pelo cliente, consulte Criptografar seu AgentCore gateway com uma chave KMS gerenciada pelo cliente no Amazon Bedrock Developer Guide. AgentCore
[BedrockAgentCore.5] Os navegadores AgentCore personalizados Bedrock não devem usar o modo de rede pública
Categoria: Proteger > Configuração de rede segura > Recursos na VPC
Gravidade: alta
Tipo de recurso: AWS::BedrockAgentCore::BrowserCustom
Regra do AWS Config : bedrockagentcore-browsercustom-network-mode-not-public
Tipo de programação: acionado por alterações
Parâmetros: nenhum
Esse controle verifica se um navegador AgentCore personalizado Amazon Bedrock está configurado com o modo de rede pública. O controle falhará se o modo de rede estiver definido como público.
O uso do modo de rede PÚBLICA para navegadores AgentCore personalizados do Amazon Bedrock expõe as sessões do navegador diretamente à Internet, aumentando a superfície de ataque e o risco de acesso não autorizado. A configuração de navegadores com o modo de rede VPC garante que o tráfego do navegador fique confinado à sua rede privada, permitindo que você aplique controles de segurança em nível de rede, como grupos de segurança, ACLs de rede e registros de fluxo de VPC.
Correção
Para corrigir essa descoberta, exclua o navegador AgentCore personalizado Bedrock não compatível e recrie-o com o modo de rede VPC. Para obter instruções, consulte Configurar o Amazon Bedrock AgentCore Runtime e as ferramentas para VPC no Amazon AgentCore Bedrock Developer Guide.
[BedrockAgentCore.6] Os navegadores AgentCore personalizados do Bedrock devem ter a gravação de sessão ativada
Categoria: Identificar > Registro em log
Gravidade: média
Tipo de recurso: AWS::BedrockAgentCore::BrowserCustom
Regra do AWS Config : bedrockagentcore-browsercustom-recording-enabled
Tipo de programação: acionado por alterações
Parâmetros: nenhum
Esse controle verifica se um navegador AgentCore personalizado do Amazon Bedrock tem a gravação de sessão habilitada com um destino S3 configurado. O controle falhará se um navegador personalizado não tiver a gravação ativada ou não tiver um local do S3 configurado para armazenar gravações.
A gravação de sessão para navegadores AgentCore personalizados da Bedrock garante total auditabilidade das interações do navegador, permitindo a detecção de acesso não autorizado, exfiltração de dados ou atividades maliciosas durante sessões de navegação automatizadas.
Correção
Para obter instruções sobre como habilitar a gravação da sessão do navegador, consulte Gravação e repetição da sessão no Amazon Bedrock AgentCore Developer Guide.
