Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Best practice di sicurezza per AWS Security Agent

AWS Security Agent offre una serie di funzionalità di sicurezza da prendere in considerazione durante lo sviluppo e l'implementazione delle proprie politiche di sicurezza. Le seguenti best practice sono linee guida generali e non rappresentano una soluzione di sicurezza completa. Poiché queste best practice potrebbero non essere appropriate o sufficienti per l’ambiente, sono da considerare come considerazioni utili anziché prescrizioni.

Utilizza ambienti non di produzione per i test di penetrazione

AWS Security Agent utilizza una suite completa di strumenti di test di penetrazione della distribuzione Kali Linux. Questi strumenti sono progettati per identificare le vulnerabilità di sicurezza e possono eseguire azioni che modificano lo stato dell'applicazione, i dati o le configurazioni del sistema.

Procedura ottimale: esegui test di penetrazione su ambienti non di produzione che rispecchiano la configurazione di produzione. Questi ambienti di test dovrebbero:

I test in ambienti di produzione possono comportare:

Convalida AI-generated i risultati di sicurezza

AWS Security Agent esegue analisi di sicurezza utilizzando agenti AI. A causa della natura non deterministica dei sistemi di intelligenza artificiale, i test di penetrazione possono produrre risultati diversi a seconda delle diverse esecuzioni.

Best practice: convalida i risultati di sicurezza prima di intraprendere azioni correttive:

Non tutti i problemi identificati possono rappresentare vulnerabilità sfruttabili nel contesto di implementazione specifico.

Rivedi e testa il codice di correzione generato

AWS Security Agent può generare correzioni di codice e miglioramenti della sicurezza per le vulnerabilità identificate. Queste AI-generated correzioni richiedono una verifica prima della distribuzione.

Procedura ottimale: esamina tutte le modifiche al codice generate:

Accesso al repository di codice

AWS Security Agent può fornire indicazioni di sicurezza sulle modifiche al codice tramite commenti pull request e integrazione di revisione del codice. Per proteggere le informazioni di sicurezza sensibili, questa funzionalità opera in base a vincoli specifici.

Limitazione: le linee guida sulla sicurezza del codice sono limitate ai soli archivi privati. Ciò garantisce che:

AWS Security Agent non fornisce linee guida sulla sicurezza del codice per gli archivi pubblici. Non rilascerà commenti su repository pubblici o progetti open source in cui i risultati di sicurezza sarebbero visibili pubblicamente.

I test di penetrazione di AWS Security Agent possono esaminare e correggere gli archivi privati e pubblici configurati per il pentest. Se il repository è pubblico, il codice di correzione verrà fornito come file diff scaricabile anziché come pull request.

URL accessibili

Gli URL accessibili specificano endpoint aggiuntivi a cui l'ambiente di test di penetrazione può accedere durante il test. Questi sono necessari quando l'applicazione dipende da servizi esterni come provider di autenticazione o CDN di terze parti. Tutte le dipendenze di rete richieste per il test devono essere specificate come URL di destinazione o URL accessibili. La rete blocca l'accesso a qualsiasi endpoint non specificato.

Implicazioni sulla sicurezza: AWS Security Agent non è incaricato di eseguire test di sicurezza su URL accessibili. Specificando gli URL accessibili, si indica la fiducia in queste dipendenze. I dati dei test di penetrazione, comprese le credenziali, possono essere trasmessi a questi endpoint URL accessibili durante il test.

Inferenza interregionale

AWS Security Agent seleziona automaticamente la regione ottimale per elaborare le richieste di inferenza. Ciò massimizza le risorse di elaborazione disponibili, la disponibilità dei modelli e offre la migliore esperienza del cliente. I dati rimangono archiviati solo nella regione in cui ha avuto origine la richiesta; tuttavia, le richieste di input e i risultati di output potrebbero essere elaborati al di fuori di tale regione. Trasmettiamo tutti i dati crittografati attraverso la rete AWS.

AWS Security Agent utilizza due tipi di inferenza tra regioni a seconda della regione:

Per le regioni che utilizzano l'inferenza globale tra regioni, i prompt di input e i risultati di output potrebbero essere elaborati in qualsiasi regione AWS commerciale. Tutti i dati trasmessi durante le operazioni interregionali rimangono sulla rete AWS e non attraversano la rete Internet pubblica. Crittografiamo i dati in transito tra le regioni AWS.

La tabella seguente descrive dove vengono elaborate le richieste di inferenza in base alla regione da cui proviene la richiesta e alla funzionalità utilizzata.

Cross-Region l'inferenza è sempre abilitata e non può essere disattivata. Cross-Region l'inferenza non è influenzata dalle politiche dei clienti nelle Service Control Policies (SCP) o AWS Control Tower che limitano i contenuti dei clienti a regioni specifiche. Per ulteriori informazioni su come AWS Security Agent protegge i dati durante l'elaborazione tra regioni, consulta elaborazione Cross-Region dei dati.