AWS hat Continuum zur Erkennung von Code-Schwachstellen in den Regionen US East (N. Virginia) und US West (Oregon) allgemein verfügbar gemacht – vier Monate nach der Ankündigung einer zugangsbeschränkten Vorschau. Der Dienst prüft Schwachstellenmeldungen anhand des Codes und des jeweiligen Umgebungskontexts und schlägt anschließend eine Lösung als Patch oder Pull Request in einem verbundenen Repository vor. Bevor eine Lösung umgesetzt wird, muss ein Mensch sie prüfen und genehmigen.
AWS zufolge soll der Dienst Teams dabei helfen, die große Zahl von Scanner-Warnungen zu bewältigen. Unternehmensvertreter sagen, dass in großen Anwendungslandschaften täglich Tausende Meldungen eingehen können. Viele davon betreffen jedoch Schwachstellen, die nicht erreichbar oder nicht ausnutzbar sind oder bereits durch vorhandene Schutzmaßnahmen blockiert werden. Continuum soll aufzeigen, welche Probleme sich ausnutzen lassen und wie sich ein Angriff auf verbundene Systeme auswirken könnte – statt sich allein auf einen Schweregrad zu stützen.
Wie überprüft Continuum eine Meldung?
Der Dienst erstellt aus Code-Repositories und Informationen zur AWS-Umgebung einen Kontextgraphen. Teams können Code über GitHub oder einen Amazon S3-Bucket anbinden. Außerdem können sie einen AWS Collector einrichten, der Ressourcen- und Netzwerkdetails aus dem Konto und der Region bereitstellt, in denen der Code ausgeführt wird. Dieser Kontext hilft Continuum einzuschätzen, ob ein Angreifer einen verwundbaren Pfad erreichen kann und welche weiteren Systeme gefährdet sein könnten.
Bei Meldungen, die sich reproduzieren lassen, führt Continuum einen Exploit in einer isolierten Sandbox aus und fügt Proof-of-Concept-Code sowie Schritte zur Reproduktion bei. Außerdem liefert der Dienst ergänzende Codeanalysen, einen Angriffspfad und eine Einschätzung des möglichen Schadensradius. AWS zufolge kann Continuum auch beurteilen, ob vorhandene Schutzmaßnahmen den bestätigten Angriffspfad erkennen und stoppen würden.
Continuum erstellt Code-Patches, aktualisierte Abhängigkeiten oder Konfigurationsänderungen und kann diese als Pull Requests einreichen. Die Konsole weist darauf hin, dass ein generierter Patch nicht bedeutet, dass die Schwachstelle behoben ist: Jemand muss ihn weiterhin prüfen und zusammenführen. AWS plant nach eigenen Angaben, Kunden zu ermöglichen, Kategorien von Korrekturen für eine automatische Ausführung freizugeben – nach Vertrauensprüfungen, darunter Testabdeckung, Umfangsbegrenzungen und bisherige Erfolgsquote.
Was kostet der Dienst?
Laut den von InfoQ zitierten AWS-Preisangaben setzt sich der Preis aus zwei Teilen zusammen: einer monatlichen Gebühr für den Kontext, die von der Zahl der geschützten Codezeilen abhängt, und einer Inferenzgebühr von $10 pro Continuum inference unit, die bei der Verarbeitung von Meldungen anfällt. Die Kontextgebühr beginnt bei $200 pro Million Zeilen und sinkt auf $100 pro Million bei mehr als zehn Milliarden Zeilen.
Die Preisbeispiele von AWS zeigen, wie stark die Zahl der Meldungen die Rechnung beeinflussen kann. Der Schutz von einer Million Zeilen mit 100 Schwachstellen zu je einer Einheit kostet $1,200. Für 100 Millionen Zeilen mit 10,000 Schwachstellen zu je zwei Einheiten fallen $218,200 an, davon $200,000 für Inferenzen. Die Beispiele verdeutlichen, dass die Kosten pro Meldung für Teams mit großen Rückständen entscheidend sein können – selbst wenn ihre Codebasis nicht besonders groß ist.
Warum es wichtig ist
Sicherheitsteams können mit Continuum neben Scanner-Meldungen Belege für die Ausnutzbarkeit und Lösungsvorschläge erhalten. Jede Lösung muss jedoch weiterhin von einem Menschen genehmigt und zusammengeführt werden. Der optionale AWS Collector liefert Kontext zu Netzwerk und Ressourcen; unklar bleibt, wie Continuum mit Meldungen umgeht, die sich nicht belegen lassen.
