Este pacote de conformidade detecta e gerencia possíveis riscos de segurança, estabilidade e conformidade no Alibaba Cloud Model Studio, Platform for AI (PAI) e suas dependências principais, incluindo ACS, Container Registry (ACR), OSS, NAS, Key Management Service (KMS), Simple Log Service (SLS) e MaxCompute.
|
Nome da regra |
Descrição da regra |
|
Ative a proteção de segurança contra ataques de prompt para conteúdo de entrada no Model Studio |
O recurso está em conformidade quando a proteção de segurança contra ataques de prompt para conteúdo de entrada no Model Studio está ativada. |
|
Ative a proteção de segurança para conteúdo de entrada no Model Studio |
O recurso está em conformidade quando a proteção de segurança para conteúdo de entrada no Model Studio está ativada e há pelo menos uma chamada nos últimos 7 dias. |
|
Ative a proteção de segurança contra ataques de prompt para conteúdo de saída no Model Studio |
O recurso está em conformidade quando a proteção de segurança contra ataques de prompt para conteúdo de saída no Model Studio está ativada. |
|
Ative a proteção de segurança para conteúdo de saída no Model Studio |
O recurso está em conformidade quando a proteção de segurança para conteúdo de saída no Model Studio está ativada e há pelo menos uma chamada nos últimos 7 dias. |
|
Ative a proteção de segurança contra URLs maliciosas para conteúdo de saída no Model Studio |
O recurso está em conformidade quando a proteção de segurança contra URLs maliciosas para conteúdo de saída no Model Studio está ativada. |
|
O recurso está em conformidade quando há pelo menos uma regra de alerta definida para o Elastic Algorithm Service (EAS) no CloudMonitor. |
|
|
O recurso está em conformidade quando há pelo menos uma regra de alerta definida para Deep Learning Containers (DLC) no CloudMonitor. |
|
|
O recurso está em conformidade quando utiliza uma edição do Security Center superior à Basic Edition ou a edição de pagamento conforme o uso está ativada. |
|
|
Um cluster ACK está em conformidade se não tiver um endpoint público configurado ou se o listener do SLB associado tiver uma lista de controle de acesso (ACL) ativada. |
|
|
Instale o agente do CloudMonitor em nós em execução de um cluster ACK |
Um cluster ACK está em conformidade quando o agente do CloudMonitor está instalado em todos os nós em execução e o status de monitoramento é Normal. |
|
O recurso está em conformidade quando o componente interno de auditoria de operações de contêineres está instalado em um cluster ACK. Esse componente auxilia na auditoria dos comandos executados por membros da organização ou aplicações após o acesso a um contêiner. |
|
|
Ative o recurso de auditoria do API Server para clusters ACK |
O recurso está em conformidade quando a auditoria do API Server está ativada para um cluster ACK. Esse recurso permite que administradores do cluster registrem ou rastreiem as operações diárias de diferentes usuários. |
|
O recurso está em conformidade quando utiliza um cluster ACK regional com nós distribuídos por três ou mais zonas. |
|
|
O recurso está em conformidade quando o RRSA está ativado para um cluster ACK. O RRSA fornece isolamento de permissões OpenAPI no nível de pod dentro do cluster, permitindo isolamento refinado das permissões de acesso a recursos de nuvem e reduzindo riscos de segurança. |
|
|
Configure criptografia em repouso para Secrets em clusters ACK |
O recurso está em conformidade quando a criptografia em repouso para Secrets está configurada em um cluster ACK. Esta regra não se aplica a clusters básicos do ACK. |
|
Ative e configure uma política de segurança de contêineres para clusters ACK |
O recurso está em conformidade quando uma política de segurança de contêineres está ativada e configurada para um cluster ACK. |
|
Ative a coleta de logs para componentes do plano de controle em clusters ACK |
O recurso está em conformidade quando a coleta de logs para componentes do plano de controle está ativada em um cluster gerenciado ACK. Esta regra não se aplica a clusters não gerenciados. |
|
Instâncias do Container Registry não têm acesso à rede pública ativado |
Uma instância do Container Registry está em conformidade se o acesso à rede pública não estiver ativado. Esta regra aplica-se a instâncias Enterprise Edition. |
|
Instâncias do Container Registry estão associadas a buckets OSS redundantes entre zonas |
Uma instância do Container Registry está em conformidade quando associada a um bucket OSS redundante entre zonas. |
|
Defina versões de imagem no Container Registry como imutáveis |
O recurso está em conformidade quando as versões de imagem no Container Registry são definidas como imutáveis. |
|
Um disco de dados ECS está em conformidade quando a criptografia está ativada. |
|
|
Configure uma política de snapshot automático para discos ECS |
Um disco ECS está em conformidade quando possui uma política de snapshot automático configurada. Esta regra não se aplica a discos fora de uso, discos incompatíveis com políticas de snapshot automático ou discos montados em clusters ACK para uso não persistente. Após a ativação de uma política de snapshot automático, a Alibaba Cloud cria snapshots automaticamente para o disco em pontos e intervalos especificados, permitindo recuperação rápida de eventos de segurança, como invasões de vírus ou ataques de ransomware. |
|
Ative rotação automática para chaves mestras no Key Management Service |
O recurso está em conformidade quando a rotação automática para uma chave mestra do cliente (CMK) no Key Management Service (KMS) está ativada. Esta regra não se aplica a chaves de serviço ou chaves importadas usando Bring Your Own Key (BYOK). |
|
O recurso está em conformidade quando a proteção contra exclusão para uma chave mestra do KMS está ativada. Esta regra não se aplica a chaves desativadas ou chaves de serviço, pois estas últimas não podem ser excluídas. |
|
|
Ative rotação automática para credenciais no Key Management Service |
O recurso está em conformidade quando a rotação automática para credenciais no Key Management Service está ativada. Esta regra não se aplica a secrets genéricos. |
|
Usar uma arquitetura de recuperação de desastres entre zonas para projetos MaxCompute |
O recurso está em conformidade quando utiliza uma arquitetura de recuperação de desastres entre zonas para um projeto MaxCompute. |
|
O recurso está em conformidade quando a criptografia para um projeto MaxCompute está ativada. Esta regra não se aplica a projetos congelados. |
|
|
Ative uma lista de permissões de IP para projetos MaxCompute |
O recurso está em conformidade quando uma lista de permissões de IP para um projeto MaxCompute está ativada. |
|
O grupo de permissões usado por um sistema de arquivos NAS não está aberto a todas as origens |
Um sistema de arquivos NAS está em conformidade se seu grupo de permissões não permitir acesso de todas as origens. Esta regra não se aplica se o sistema de arquivos não tiver pontos de montagem ou se o grupo de permissões associado não tiver regras. |
|
O recurso está em conformidade quando há um plano de backup criado para um sistema de arquivos NAS. |
|
|
Ative uma política RAM para pontos de acesso de armazenamento de arquivos NAS |
O recurso está em conformidade quando uma política RAM para um ponto de acesso de armazenamento de arquivos NAS está ativada. |
|
O recurso está em conformidade quando a criptografia para um sistema de arquivos NAS está configurada. |
|
|
Não conceder permissões de leitura e gravação públicas a buckets OSS usando ACLs |
Um bucket OSS está em conformidade se sua lista de controle de acesso (ACL) não conceder permissões de leitura e gravação públicas. Se um bucket OSS tiver permissões de leitura e gravação públicas, qualquer visitante poderá gravar dados nele, expondo o bucket ao risco de injeção maliciosa de dados. |
|
O recurso está em conformidade quando o armazenamento redundante entre zonas para um bucket OSS está ativado. Sem o armazenamento redundante entre zonas, o OSS não consegue garantir disponibilidade e durabilidade quando um data center fica indisponível, o que pode afetar seus objetivos de restauração de dados. |
|
|
O recurso está em conformidade quando a criptografia KMS no lado do servidor para um bucket OSS está ativada. |
|
|
Um bucket OSS está em conformidade se o TLS estiver ativado e a versão TLS utilizada for uma das versões especificadas nos parâmetros. As versões TLS padrão são TLS 1.2 e TLS 1.3. |
|
|
O recurso está em conformidade quando a replicação entre regiões para um bucket OSS está ativada. Esta regra depende dos resultados de detecção do Backup Disaster Recovery (BDRC). Se o BDRC não estiver ativado ou não houver resultados de detecção disponíveis, esta regra não se aplica. |
|
|
Configure acesso seguro na política de permissões de um bucket OSS |
Um bucket OSS está em conformidade se sua política de permissões especificar que as operações de leitura e gravação devem usar HTTPS ou que o acesso via HTTP seja negado. Esta regra não se aplica a buckets OSS com política de permissões vazia. |
|
Distribuir instâncias do PAI Elastic Algorithm Service em várias zonas |
Instâncias do PAI Elastic Algorithm Service (EAS) estão em conformidade quando distribuídas em várias zonas. |
|
Ative verificações de integridade de poder computacional para treinamento distribuído PAI |
O recurso está em conformidade quando as verificações de integridade de poder computacional para PAI Deep Learning Containers (DLC) estão ativadas. Esta regra não se aplica quando nenhuma tarefa de treinamento está em execução. |
|
Ative monitoramento de tolerância a falhas baseado em AIMaster para treinamento distribuído PAI |
O recurso está em conformidade quando o monitoramento de tolerância a falhas baseado em AIMaster para PAI Deep Learning Containers (DLC) está ativado. Esta regra não se aplica quando nenhuma tarefa de treinamento está em execução. |
|
O recurso está em conformidade quando várias zonas estão configuradas para um serviço de endpoint. |
|
|
Configure criptografia de dados para um Logstore do Simple Log Service |
O recurso está em conformidade quando a criptografia de dados para um Logstore do Simple Log Service está configurada. |