Azure 인프라(IaaS)의 AI 워크로드에 대한 보안 권장 사항
이 문서에서는 IaaS(Azure 인프라)에서 AI 워크로드를 실행하는 조직에 대한 보안 권장 사항을 제공합니다. Azure 인프라의 AI 보안에는 AI 워크로드를 지원하는 데이터, 컴퓨팅 및 네트워킹 리소스 보호가 포함됩니다. 이러한 구성 요소를 보호하면 중요한 정보가 안전하게 유지되고 잠재적 위협에 대한 노출이 최소화되며 AI 모델 및 애플리케이션에 대한 안정적인 운영 환경이 보장됩니다.
Azure 서비스 보호
Azure 서비스 보안을 사용하려면 AI 아키텍처에 사용되는 각 Azure 서비스를 구성하여 특정 보안 표준 및 벤치마크를 충족해야 합니다.
Azure 서비스를 강화합니다. Azure 서비스에 보안 구성을 적용하려면 아키텍처의 각 서비스에 대한 Azure 보안 기준을 사용합니다. Azure 인프라의 AI 워크로드에 있는 일반적인 Azure 서비스에는 Windows 가상 머신, Linux 가상 머신, Azure CycleCloud 및 Key Vault가 포함됩니다.
보안 컴퓨팅 옵션을 고려합니다. 신뢰할 수 있는 시작사용하여 VM의 부팅 프로세스 및 무결성을 보호합니다. 업계 및 사용 사례에 따라 기밀 AI를 사용하는 것이 좋습니다. 기밀 AI 학습, 미세 조정 및 추론 중에 AI 데이터 및 모델에 대해 암호화적으로 확인할 수 있는 보호를 위한 것입니다.
네트워크 보호
네트워크 보안에는 프라이빗 엔드포인트, NSG(네트워크 보안 그룹) 및 방화벽을 설정하여 Azure 내에서 데이터 흐름을 관리하고 제어하는 작업이 포함됩니다. 이 단계는 외부 위협에 대한 노출을 제한하고 Azure 인프라 내의 서비스 간에 이동할 때 중요한 데이터를 보호합니다.
프라이빗 엔드포인트를 사용합니다. 스토리지 또는 파일 시스템 같은 아키텍처의 모든 PaaS 솔루션에 대해 Azure Private Link 에서 사용할 수 있는 프라이빗 엔드포인트를 사용합니다.
Azure 간 연결에 암호화된 가상 네트워크 연결을 사용합니다. 동일하거나 피어링된 가상 네트워크의 가상 머신 또는 가상 머신 확장 집합 간의 암호화된 연결은 무단 액세스 및 도청을 방지합니다. 가상 머신 통신을 위해 Azure Virtual Network에서 암호화 옵션을 구성하여 이러한 보안 연결을 설정합니다.
NSG(네트워크 보안 그룹)를 구현합니다. NSG는 복잡할 수 있습니다. AI 워크로드에 대한 Azure 인프라를 설정할 때 NSG 규칙 및 해당 의미를 명확하게 이해해야 합니다.
애플리케이션 보안 그룹을 사용합니다. 가상 네트워크가 제공하는 것보다 더 세분성으로 트래픽에 레이블을 지정해야 하는 경우 애플리케이션 보안 그룹을 사용하는 것이 좋습니다.
NSG 우선 순위 지정 규칙을 이해합니다. NSG 규칙에는 우선 순위가 있습니다. 충돌을 방지하고 AI 워크로드의 원활한 실행을 보장하기 위해 이 순서를 이해합니다.
네트워크 방화벽을 사용합니다. 허브-스포크 토폴로지를 사용하는 경우 네트워크 방화벽을 배포하여 스포크 간의 네트워크 트래픽을 검사하고 필터링합니다.
사용되지 않는 포트를 닫습니다. 외부 연결 사용 사례용 서비스만 노출하고 다른 서비스에 대한 프라이빗 연결을 사용하여 인터넷 노출을 제한합니다.
보안 데이터
데이터 보안에는 키 및 암호와 같은 중요한 정보 보호와 함께 미사용 및 전송 중인 데이터 암호화가 포함됩니다. 이러한 조치는 데이터가 비공개로 유지되고 권한이 없는 사용자에게 액세스할 수 없도록 하여 데이터 침해의 위험과 중요한 정보에 대한 무단 액세스의 위험을 줄입니다.
데이터 암호화: 아키텍처의 각 서비스 간에 강력한 암호화 기술을 사용하여 미사용 데이터와 전송 중인 데이터를 암호화합니다.
비밀 보호: 비밀을 키 자격 증명 모음 또는 하드웨어 보안 모듈에 저장하여 보호하고 정기적으로 순환합니다.
보안 액세스
액세스를 보호한다는 것은 엄격한 액세스 권한을 적용하고 사용자 ID를 확인하도록 인증 및 액세스 제어 메커니즘을 구성하는 것을 의미합니다. 조직은 역할, 정책 및 다단계 인증에 따라 액세스를 제한하여 무단 액세스에 대한 노출을 제한하고 중요한 AI 리소스를 보호할 수 있습니다.
인증 구성: MFA(다단계 인증)를 사용하도록 설정하고 중요한 계정에 보조 관리 계정 또는 Just-In-Time 액세스를 선호합니다. Azure Bastion과 같은 서비스를 프라이빗 네트워크에 대한 보안 진입점으로 사용하여 제어 평면 액세스를 제한합니다.
조건부 액세스 정책을 사용합니다. 보안을 강화하기 위해 중요한 AI 리소스에 액세스하려면 MFA가 필요합니다. 지리적 위치 또는 신뢰할 수 있는 IP 범위에 따라 AI 인프라에 대한 액세스를 제한합니다. 규정 준수 디바이스(보안 요구 사항을 충족하는 디바이스)만 AI 리소스에 액세스할 수 있는지 확인합니다. 비정상적인 로그인 활동 또는 의심스러운 동작에 대응하는 위험 기반 조건부 액세스 정책을 구현합니다. 사용자 위치, 디바이스 상태 및 로그인 동작과 같은 신호를 사용하여 추가 확인 단계를 트리거합니다.
최소 권한 액세스를 구성합니다. RBAC(역할 기반 액세스 제어)를 구현하여 최소 권한 액세스를 구성하여 데이터 및 서비스에 대한 액세스를 최소화합니다. 책임에 따라 사용자 및 그룹에 역할을 할당합니다. Azure RBAC를 사용하여 가상 머신 및 스토리지 계정과 같은 특정 리소스에 대한 액세스 제어를 미세 조정합니다. 사용자가 작업을 수행하는 데 필요한 최소 액세스 수준만 있는지 확인합니다. 권한 크리프 방지를 위해 정기적으로 사용 권한을 검토하고 조정합니다.
인시던트 대응 준비
인시던트 대응을 준비하려면 로그를 수집하고 SIEM(보안 정보 및 이벤트 관리) 시스템과 통합해야 합니다. 이러한 사전 예방적 접근 방식을 통해 조직은 보안 인시던트 검색 및 대응을 신속하게 수행하고 잠재적인 손상을 줄이고 AI 시스템의 가동 중지 시간을 최소화할 수 있습니다.
보안 운영 체제
운영 체제를 보호하려면 최신 패치를 사용하여 가상 머신 및 컨테이너 이미지를 최신 상태로 유지하고 맬웨어 방지 소프트웨어를 실행해야 합니다. 이러한 사례는 취약성, 맬웨어 및 기타 보안 위협으로부터 AI 인프라를 보호합니다. AI 작업을 위한 안전하고 안정적인 환경을 유지하는 데 도움이 됩니다.
가상 머신 게스트를 패치합니다. 가상 머신 및 컨테이너 이미지에 패치를 정기적으로 적용합니다. 가상 머신 및 확장 집합에 대해 자동 게스트 패치를 사용하도록 설정하는 것이 좋습니다.
맬웨어 방지 프로그램을 사용합니다. 가상 머신에서 Azure용 Microsoft 맬웨어 방지 프로그램을 사용하여 악성 파일, adware 및 기타 위협으로부터 보호합니다.