AWS hat Continuum zur Behebung von Code-Schwachstellen allgemein verfügbar gemacht. Der Dienst soll Sicherheitsteams dabei helfen, Schwachstellen im Code zu finden, ihre Ausnutzbarkeit zu prüfen, sie nach ihren geschäftlichen Auswirkungen zu priorisieren und Korrekturen als Pull Requests in Entwickler-Workflows vorzuschlagen.
Laut AWS erstellt Continuum einen Kontextgraphen einer AWS-Umgebung, der zeigt, wie Ressourcen, Identitäten und Netzwerkverbindungen zusammenhängen. Der Dienst kann vorhandene Schwachstellenbefunde einlesen und Code scannen. Anschließend testet er die Befunde in einer isolierten Sandbox, um festzustellen, welche sich ausnutzen lassen. Die vorgeschlagenen Pull Requests enthalten einen Nachweis der Ausnutzbarkeit und eine Einschätzung des potenziellen Schadensradius – also, wie weit sich ein Problem ausbreiten könnte.
Automatisierung mit menschlicher Prüfung
Continuum wählt laut AWS für jede Aufgabe ein KI-Modell aus. Zunächst läuft der Dienst im Learn-Modus und schlägt Korrekturen vor, die eine Person freigeben muss. Sobald Kunden der Präzision des Dienstes vertrauen, können sie laut AWS zum Enforce-Modus wechseln. Dann kann Continuum innerhalb der von ihnen festgelegten Leitplanken autonom handeln. Die Ankündigung nennt weder einen Schwellenwert für die Präzision noch erläutert sie, welche Leitplanken verfügbar sind.
Laut AWS funktioniert Continuum mit Amazon GuardDuty und AWS Security Hub zusammen. In der Ankündigung wird auf eine Tabelle zur regionalen Verfügbarkeit verwiesen, die verfügbaren Regionen sind in den vorliegenden Angaben jedoch nicht aufgeführt. Auch zu Preisen, unterstützten Programmiersprachen oder unabhängigen Leistungstests macht AWS keine Angaben.
Warum es wichtig ist
Für Teams, die bereits AWS-Sicherheitsdienste nutzen, könnte Continuum vorgeschlagene Code-Korrekturen in Entwickler-Workflows einbringen und ihnen ermöglichen, Änderungen zu prüfen, bevor sie mehr Automatisierung aktivieren. Da AWS in der Ankündigung weder Regionen noch Preise oder unterstützte Programmiersprachen nennt, lässt sich daraus allein nicht erkennen, ob der Dienst verfügbar oder für die eigene Umgebung geeignet ist.
