Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.
Security Hub CSPM-Steuerelemente für Amazon Bedrock AgentCore
Diese AWS Security Hub CSPM Kontrollen bewerten den AgentCore Service und die Ressourcen von Amazon Bedrock. Die Steuerelemente sind möglicherweise nicht in allen AWS-Regionen verfügbar. Weitere Informationen finden Sie unter Verfügbarkeit von Kontrollen nach Regionen.
[BedrockAgentCore.1] AgentCore Bedrock-Laufzeiten sollten mit dem VPC-Netzwerkmodus konfiguriert werden
Kategorie: Schützen > Sichere Zugriffsverwaltung > Ressource nicht öffentlich zugänglich
Schweregrad: Hoch
Art der Ressource: AWS::BedrockAgentCore::Runtime
AWS Config -Regel: bedrockagentcore-runtime-private-network-required
Art des Zeitplans: Änderung wurde ausgelöst
Parameter: Keine
Dieses Steuerelement prüft, ob eine Amazon AgentCore Bedrock-Laufzeit mit dem VPC-Netzwerkmodus konfiguriert ist. Die Steuerung schlägt fehl, wenn der Netzwerkmodus der Laufzeit auf PUBLIC gesetzt ist.
Durch die Verwendung des öffentlichen Netzwerkmodus für Amazon AgentCore Bedrock-Laufzeiten wird die Laufzeit direkt dem Internet ausgesetzt, wodurch die Angriffsfläche und das Risiko eines unbefugten Zugriffs erhöht werden. Durch die Konfiguration von Laufzeiten im VPC-Netzwerkmodus wird sichergestellt, dass der Laufzeitdatenverkehr auf Ihr privates Netzwerk beschränkt wird, sodass Sie Sicherheitskontrollen auf Netzwerkebene wie Sicherheitsgruppen, Netzwerk-ACLs und VPC-Flussprotokolle anwenden können.
Abhilfe
Um dieses Problem zu beheben, aktualisieren Sie die nicht konforme AgentCore Bedrock-Laufzeit und konfigurieren Sie sie mit dem VPC-Netzwerkmodus. Anweisungen finden Sie unter Amazon Bedrock AgentCore Runtime und Tools für VPC konfigurieren im Amazon Bedrock AgentCore Developer Guide.
[BedrockAgentCore.2] Bedrock AgentCore Gateways sollten eine Autorisierung für eingehende Anfragen benötigen
Kategorie: Schutz > Sichere Zugriffsverwaltung
Schweregrad: Hoch
Art der Ressource: AWS::BedrockAgentCore::Gateway
AWS Config -Regel: bedrockagentcore-gateway-authorizer-enabled
Art des Zeitplans: Änderung wurde ausgelöst
Parameter: Keine
Diese Kontrolle prüft, ob ein Amazon Bedrock AgentCore Gateway eine Autorisierung für eingehende Anfragen benötigt. Die Kontrolle schlägt fehl, wenn für das Bedrock AgentCore Gateway keine eingehende Autorisierung eingerichtet ist.
Durch die Konfiguration der Authentifizierung auf Amazon Bedrock AgentCore Gateways wird sichergestellt, dass nur autorisierte Kunden Anfragen an Ihre KI-Agenten senden können. Ohne einen Autorisierer kann jede Entität mit Netzwerkzugriff auf den Gateway-Endpunkt Ihre Agenten aufrufen, was möglicherweise zu unbefugtem Datenzugriff, Ressourcenmissbrauch oder unerwarteten Kosten führen kann. Bei der eingehenden Autorisierung werden Benutzer validiert, die versuchen, über Ihr Gateway auf Ziele zuzugreifen. AgentCore
Abhilfe
Informationen zum Einrichten der eingehenden Autorisierung für ein Amazon Bedrock AgentCore Gateway finden Sie unter Einrichten der eingehenden Autorisierung für Ihr Gateway im Amazon AgentCore Bedrock Developer Guide.
[BedrockAgentCore.3] Bedrock AgentCore Memory sollte verschlüsselt und vom Kunden verwaltet werden AWS KMS keys
Verwandte Anforderungen: NIST.800-53.r5 AU-9, NIST.800-53.r5 CA-9 (1), NIST.800-53.r5 CM-3 (6), NIST.800-53.r5 SC-7 (10), NIST.800-53.r5 SC-12 (2), NIST.800-53.r5 SC-13 NIST.800-53.r5 SC-28, NIST.800-53.r5 SC-28 (1), NIST.800-53.r5 SI-7 (6)
Kategorie: Schutz > Datenschutz > Verschlüsselung von Daten im Ruhezustand
Schweregrad: Mittel
Art der Ressource: AWS::BedrockAgentCore::Memory
AWS Config -Regel: bedrock-agentcore-memory-encryption-enabled
Art des Zeitplans: Änderung wurde ausgelöst
Parameter: Keine
Diese Kontrolle prüft, ob ein Amazon Bedrock AgentCore Memory im Ruhezustand mit einem vom Kunden verwalteten AWS KMS Schlüssel verschlüsselt ist. Die Kontrolle schlägt fehl, wenn der Bedrock AgentCore Memory nicht mit einem vom Kunden verwalteten KMS-Schlüssel verschlüsselt ist.
Die Verwendung eines vom Kunden verwalteten KMS-Schlüssels für die Verschlüsselung des Amazon AgentCore Bedrock-Speichers bietet mehr Sicherheit als der vom Service verwaltete Standardschlüssel. Mit vom Kunden verwalteten KMS-Schlüsseln haben Sie die volle Kontrolle über den Lebenszyklus und die Zugriffsrichtlinien der Verschlüsselungsschlüssel. Darüber hinaus kann die gesamte Verwendung von Verschlüsselungsschlüsseln protokolliert und aus AWS CloudTrail Gründen der Überprüfbarkeit überwacht werden.
Abhilfe
Informationen zur Verschlüsselung Ihres Amazon Bedrock AgentCore Memory mit einem vom Kunden verwalteten KMS-Schlüssel finden Sie unter Verschlüsseln Ihres Amazon Bedrock AgentCore Memory im Amazon Bedrock Developer Guide. AgentCore
[BedrockAgentCore.4] Bedrock AgentCore Gateway sollte verschlüsselt und vom Kunden verwaltet werden AWS KMS keys
Verwandte Anforderungen: NIST.800-53.r5 AU-9, NIST.800-53.r5 CA-9 (1), NIST.800-53.r5 CM-3 (6), NIST.800-53.r5 SC-7 (10), NIST.800-53.r5 SC-12 (2), NIST.800-53.r5 SC-13 NIST.800-53.r5 SC-28, NIST.800-53.r5 SC-28 (1), NIST.800-53.r5 SI-7 (6)
Kategorie: Schutz > Datenschutz > Verschlüsselung von Daten im Ruhezustand
Schweregrad: Mittel
Art der Ressource: AWS::BedrockAgentCore::Gateway
AWS Config -Regel: bedrockagentcore-gateway-encryption-enabled
Art des Zeitplans: Änderung wurde ausgelöst
Parameter: Keine
Diese Kontrolle prüft, ob ein Amazon Bedrock AgentCore Gateway im Ruhezustand mit einem vom Kunden verwalteten AWS KMS Schlüssel verschlüsselt ist. Die Kontrolle schlägt fehl, wenn das Bedrock AgentCore Gateway nicht mit einem vom Kunden verwalteten KMS-Schlüssel verschlüsselt ist.
Standardmäßig AgentCore verschlüsselt Amazon Bedrock Gateway-Daten mit AWS verwalteten Schlüsseln. Durch die Verwendung eines vom Kunden verwalteten KMS-Schlüssels haben Sie die volle Kontrolle über den Lebenszyklus des Verschlüsselungsschlüssels, einschließlich Rotation, Zugriffsrichtlinien und Überprüfung. AWS CloudTrail Dies trägt dazu bei, die Compliance-Anforderungen zu erfüllen, die eine vom Kunden kontrollierte Verschlüsselung für sensible KI-Workloads vorschreiben.
Abhilfe
Informationen zur Verschlüsselung Ihres Bedrock AgentCore Gateways mit einem vom Kunden verwalteten KMS-Schlüssel finden Sie unter Verschlüsseln Sie Ihr AgentCore Gateway mit einem vom Kunden verwalteten KMS-Schlüssel im Amazon Bedrock Developer Guide. AgentCore
[BedrockAgentCore.5] AgentCore Benutzerdefinierte Bedrock-Browser sollten den öffentlichen Netzwerkmodus nicht verwenden
Kategorie: Schützen > Sichere Netzwerkkonfiguration > Ressourcen in VPC
Schweregrad: Hoch
Art der Ressource: AWS::BedrockAgentCore::BrowserCustom
AWS Config -Regel: bedrockagentcore-browsercustom-network-mode-not-public
Art des Zeitplans: Änderung wurde ausgelöst
Parameter: Keine
Dieses Steuerelement prüft, ob ein AgentCore benutzerdefinierter Amazon Bedrock-Browser mit dem öffentlichen Netzwerkmodus konfiguriert ist. Die Steuerung schlägt fehl, wenn der Netzwerkmodus auf öffentlich eingestellt ist.
Durch die Verwendung des Netzwerkmodus PUBLIC für AgentCore benutzerdefinierte Browser von Amazon Bedrock werden Browsersitzungen direkt mit dem Internet verbunden, wodurch die Angriffsfläche und das Risiko eines unbefugten Zugriffs erhöht werden. Durch die Konfiguration von Browsern im VPC-Netzwerkmodus wird sichergestellt, dass der Browserverkehr auf Ihr privates Netzwerk beschränkt wird, sodass Sie Sicherheitskontrollen auf Netzwerkebene wie Sicherheitsgruppen, Netzwerk-ACLs und VPC-Flussprotokolle anwenden können.
Abhilfe
Um dieses Problem zu beheben, löschen Sie den nicht kompatiblen AgentCore benutzerdefinierten Bedrock-Browser und erstellen Sie ihn im VPC-Netzwerkmodus neu. Anweisungen finden Sie unter Amazon Bedrock AgentCore Runtime und Tools für VPC konfigurieren im Amazon Bedrock AgentCore Developer Guide.
[BedrockAgentCore.6] Für AgentCore benutzerdefinierte Bedrock-Browser sollte die Sitzungsaufzeichnung aktiviert sein
Kategorie: Identifizieren > Protokollierung
Schweregrad: Mittel
Ressourcentyp: AWS::BedrockAgentCore::BrowserCustom
AWS Config -Regel: bedrockagentcore-browsercustom-recording-enabled
Art des Zeitplans: Änderung wurde ausgelöst
Parameter: Keine
Dieses Steuerelement prüft, ob in einem AgentCore benutzerdefinierten Amazon Bedrock-Browser die Sitzungsaufzeichnung aktiviert ist und ein S3-Ziel konfiguriert ist. Die Steuerung schlägt fehl, wenn in einem benutzerdefinierten Browser die Aufzeichnung nicht aktiviert ist oder kein S3-Standort für das Speichern von Aufzeichnungen konfiguriert ist.
Die Sitzungsaufzeichnung für AgentCore benutzerdefinierte Bedrock-Browser gewährleistet die vollständige Überprüfbarkeit von Browserinteraktionen und ermöglicht die Erkennung von unbefugtem Zugriff, Datenexfiltration oder böswilligen Aktivitäten während automatisierter Browsersitzungen.
Abhilfe
Anweisungen zur Aktivierung der Browser-Sitzungsaufzeichnung finden Sie unter Sitzungsaufzeichnung und -wiedergabe im Amazon Bedrock AgentCore Developer Guide.
