Raccomandazioni sulla sicurezza per i carichi di lavoro di intelligenza artificiale nell'infrastruttura di Azure (IaaS)
Questo articolo fornisce raccomandazioni sulla sicurezza per le organizzazioni che eseguono carichi di lavoro di intelligenza artificiale nell'infrastruttura di Azure (IaaS). La sicurezza per l'intelligenza artificiale nell'infrastruttura di Azure prevede la protezione di dati, calcolo e risorse di rete che supportano i carichi di lavoro di intelligenza artificiale. La protezione di questi componenti garantisce che le informazioni riservate rimangano sicure, riducono al minimo l'esposizione a potenziali minacce e garantiscono un ambiente operativo stabile per i modelli e le applicazioni di intelligenza artificiale.
Proteggere i servizi di Azure
La sicurezza del servizio di Azure richiede la configurazione di ogni servizio di Azure usato in un'architettura di intelligenza artificiale per soddisfare standard e benchmark di sicurezza specifici. Per applicare configurazioni sicure ai servizi di Azure, usare le baseline di sicurezza di Azure per ogni servizio nell'architettura. I servizi comuni di Azure nei carichi di lavoro di intelligenza artificiale nell'infrastruttura di Azure includono: macchine virtuali Windows, macchine virtuali Linux, Azure CycleCloud e Key Vault.
Reti sicure
La protezione delle reti comporta la configurazione di endpoint privati, gruppi di sicurezza di rete e firewall per gestire e controllare il flusso di dati in Azure. Questo passaggio limita l'esposizione alle minacce esterne e protegge i dati sensibili man mano che si spostano tra i servizi all'interno dell'infrastruttura di Azure.
Usare endpoint privati. Usare gli endpoint privati disponibili in collegamento privato di Azure per qualsiasi soluzione PaaS nell'architettura, ad esempio l'archiviazione o il file system.
Usare connessioni di rete virtuale crittografate per la connettività di Azure ad Azure. Le connessioni crittografate tra macchine virtuali o set di scalabilità di macchine virtuali nelle stesse reti virtuali o con peering impediscono l'accesso non autorizzato e l'intercettazione. Stabilire queste connessioni sicure configurando le opzioni di crittografia in Azure Rete virtuale per la comunicazione delle macchine virtuali.
Implementare gruppi di sicurezza di rete.Implement Network Security Groups (NSG). I gruppi di sicurezza di rete possono essere complessi. Assicurarsi di avere una conoscenza chiara delle regole del gruppo di sicurezza di rete e delle relative implicazioni durante la configurazione dell'infrastruttura di Azure per i carichi di lavoro di intelligenza artificiale.
Usare i gruppi di sicurezza delle applicazioni. Se è necessario etichettare il traffico con una granularità maggiore rispetto a quella specificata dalle reti virtuali, è consigliabile usare i gruppi di sicurezza delle applicazioni.
Informazioni sulle regole di definizione delle priorità dei gruppi di sicurezza di rete. Le regole del gruppo di sicurezza di rete hanno un ordine di priorità. Comprendere questo ordine per evitare conflitti e garantire l'esecuzione uniforme dei carichi di lavoro di intelligenza artificiale.
Usare un firewall di rete. Se si usa una topologia hub-spoke, distribuire un firewall di rete per esaminare e filtrare il traffico di rete tra gli spoke.
Chiudere le porte inutilizzate. Limitare l'esposizione a Internet esponendo solo i servizi destinati a casi d'uso esterni e usando la connettività privata per altri servizi.
Proteggere i dati
La protezione dei dati include la crittografia dei dati inattivi e in transito, insieme alla protezione di informazioni riservate, ad esempio chiavi e password. Queste misure assicurano che i dati rimangano privati e inaccessibili agli utenti non autorizzati, riducendo il rischio di violazioni dei dati e l'accesso non autorizzato alle informazioni riservate.
Crittografare i dati: crittografare i dati inattivi e in transito usando tecnologie di crittografia avanzata tra ogni servizio nell'architettura.
Proteggere i segreti: proteggere i segreti archiviandoli in un insieme di credenziali delle chiavi o in un modulo di sicurezza hardware e ruotandoli regolarmente.
Accesso sicuro
La protezione dell'accesso significa configurare meccanismi di autenticazione e controllo di accesso per applicare autorizzazioni di accesso rigorose e verificare le identità utente. Limitando l'accesso in base a ruoli, criteri e autenticazione a più fattori, le organizzazioni possono limitare l'esposizione all'accesso non autorizzato e proteggere le risorse di intelligenza artificiale critiche.
Configurare l'autenticazione: abilitare l'autenticazione a più fattori (MFA) e preferire gli account amministrativi secondari o l'accesso JUST-In-Time per gli account sensibili. Limitare l'accesso al piano di controllo usando servizi come Azure Bastion come punti di ingresso sicuri nelle reti private.
Usare i criteri di accesso condizionale. Richiedere l'autenticazione a più fattori per accedere alle risorse di intelligenza artificiale critiche per migliorare la sicurezza. Limitare l'accesso all'infrastruttura di intelligenza artificiale in base a posizioni geografiche o intervalli IP attendibili. Assicurarsi che solo i dispositivi conformi (che soddisfano i requisiti di sicurezza) possano accedere alle risorse di intelligenza artificiale. Implementare criteri di accesso condizionale basati sul rischio che rispondono a un'attività di accesso insolita o a comportamenti sospetti. Usare segnali come posizione utente, stato del dispositivo e comportamento di accesso per attivare passaggi di verifica aggiuntivi.
Configurare l'accesso con privilegi minimi. Configurare l'accesso con privilegi minimi implementando il controllo degli accessi in base al ruolo per fornire l'accesso minimo ai dati e ai servizi. Assegnare ruoli a utenti e gruppi in base alle proprie responsabilità. Usare il controllo degli accessi in base al ruolo di Azure per ottimizzare il controllo di accesso per risorse specifiche, ad esempio macchine virtuali e account di archiviazione. Assicurarsi che gli utenti abbiano solo il livello minimo di accesso necessario per eseguire le attività. Esaminare e regolare regolarmente le autorizzazioni per evitare che i privilegi si verifichino.
Preparare la risposta agli eventi imprevisti
La preparazione per la risposta agli eventi imprevisti comporta la raccolta dei log e l'integrazione con un sistema SIEM (Security Information and Event Management). Questo approccio proattivo consente alle organizzazioni di rilevare e rispondere rapidamente agli eventi imprevisti di sicurezza, riducendo i potenziali danni e riducendo al minimo i tempi di inattività per i sistemi di intelligenza artificiale.
Sistemi operativi sicuri
Per proteggere i sistemi operativi è necessario mantenere aggiornate le macchine virtuali e le immagini dei contenitori con le patch più recenti e l'esecuzione di software antimalware. Queste procedure proteggono l'infrastruttura di intelligenza artificiale da vulnerabilità, malware e altre minacce alla sicurezza. Consentono di mantenere un ambiente sicuro e affidabile per le operazioni di intelligenza artificiale.
Applicare patch agli utenti guest della macchina virtuale. Applicare regolarmente patch alle macchine virtuali e alle immagini del contenitore. Valutare la possibilità di abilitare l'applicazione automatica di patch guest per le macchine virtuali e i set di scalabilità.
Usare l'antimalware. Usare Microsoft Antimalware per Azure nelle macchine virtuali per proteggerli da file dannosi, adware e altre minacce.