AWS تتيح خدمة Continuum لمعالجة ثغرات الشيفرة للجميع

أتاحت AWS خدمة Continuum لمعالجة ثغرات الشيفرة عمومًا في منطقتي US East (N. Virginia) وUS West (Oregon)، بعد أربعة أشهر من إعلان إتاحتها بمعاينة محدودة. تفحص الخدمة نتائج الثغرات في ضوء سياق الشيفرة والبيئة، ثم تقترح إصلاحًا على هيئة تصحيح أو طلب دمج في مستودع متصل. ويجب أن يراجع شخص كل إصلاح ويوافق عليه قبل تطبيقه.

تقول AWS إن الخدمة تهدف إلى مساعدة الفرق على فرز الكم الكبير من تنبيهات أدوات الفحص. ويشير مسؤولوها التنفيذيون إلى أن بيئات التطبيقات الكبيرة قد تنتج آلاف النتائج يوميًا، وقد يتعذر الوصول إلى كثير منها أو استغلالها، أو تكون ضوابط قائمة قد منعت استغلالها بالفعل. وتهدف Continuum إلى توضيح المشكلات القابلة للاستغلال وكيف يمكن للهجوم أن يؤثر في الأنظمة المتصلة، بدلًا من الاعتماد على تصنيف الخطورة وحده.

كيف تتحقق Continuum من النتائج؟

تنشئ الخدمة رسمًا بيانيًا للسياق اعتمادًا على مستودعات الشيفرة ومعلومات بيئة AWS. ويمكن للفرق ربط الشيفرة عبر GitHub أو حاوية Amazon S3. كما يمكنها إعداد أداة تجميع من AWS لتوفير تفاصيل الموارد والشبكة من الحساب والمنطقة اللذين تعمل فيهما الشيفرة؛ ويساعد هذا السياق Continuum على تحديد ما إذا كان بإمكان المهاجم الوصول إلى مسار عرضة للخطر، وما الأنظمة الأخرى التي قد تكون مكشوفة.

بالنسبة إلى النتائج التي يمكنها إعادة إنتاجها، تشغّل Continuum استغلالًا في بيئة اختبار معزولة، وتُرفق به شيفرة إثبات المفهوم وخطوات إعادة الإنتاج. كما توفر تحليلًا داعمًا للشيفرة، ومسار الهجوم، وتقييمًا لنطاق الأضرار المحتملة. وتقول AWS إن الخدمة تستطيع تقييم ما إذا كانت وسائل الدفاع القائمة ستكتشف المسار الذي جرى التحقق منه وتوقفه.

تنشئ Continuum تصحيحات للشيفرة أو ترقيات للتبعيات أو تغييرات في الإعدادات، ويمكنها فتحها في صورة طلبات دمج. وتحذر واجهة التحكم من أن إنشاء تصحيح لا يعني إصلاح الثغرة؛ إذ لا يزال على شخص مراجعته ودمجه. وتقول AWS إنها تعتزم إتاحة تفويض العملاء لفئات من الإصلاحات كي تُنفذ تلقائيًا بعد إجراء فحوصات للثقة، تشمل تغطية الاختبارات وحدود النطاق وسجل النجاحات السابقة.

ما التكلفة؟

يتكون التسعير من جزأين، وفق تفاصيل الأسعار التي أوردها InfoQ عن AWS: رسوم شهرية للسياق تُحتسب بحسب أسطر الشيفرة المحمية، ورسوم للاستدلال تبلغ $10 لكل وحدة استدلال في Continuum عند معالجة النتائج. تبدأ رسوم السياق من $200 لكل مليون سطر، وتنخفض إلى $100 لكل مليون عند تجاوز عشرة مليارات سطر.

توضح أمثلة AWS للأسعار كيف يمكن لعدد النتائج أن يرفع الفاتورة. فتأمين مليون سطر مع 100 ثغرة، بوحدة واحدة لكل منها، يكلف $1,200. أما تأمين 100 مليون سطر مع 10,000 ثغرة، بوحدتين لكل منها، فيكلف $218,200، منها $200,000 رسوم استدلال. وتُبرز هذه الأمثلة أهمية تكلفة كل نتيجة للفرق التي لديها قوائم متراكمة كبيرة، حتى إن لم تكن قاعدة الشيفرة لديها ضخمة على نحو خاص.