AWS puso a disposición general Continuum para detectar vulnerabilidades en el código en US East (N. Virginia) y US West (Oregon), cuatro meses después de anunciar una versión preliminar de acceso limitado. El servicio contrasta los hallazgos de vulnerabilidades con el código y el contexto del entorno, y luego propone una corrección en forma de parche o solicitud de incorporación de cambios en un repositorio conectado. Una persona debe revisar y aprobar cada corrección antes de que se aplique.
AWS afirma que el servicio busca ayudar a los equipos a gestionar el volumen de alertas de los escáneres. Según sus directivos, los grandes conjuntos de aplicaciones pueden generar miles de hallazgos al día, muchos de los cuales quizá no sean accesibles ni explotables, o ya estén bloqueados por controles existentes. Continuum busca determinar qué problemas son explotables y cómo podría afectar un ataque a los sistemas conectados, en vez de basarse únicamente en una puntuación de gravedad.
¿Cómo valida Continuum un hallazgo?
El servicio crea un grafo de contexto a partir de los repositorios de código y la información del entorno de AWS. Los equipos pueden conectar el código mediante GitHub o un bucket de Amazon S3. También pueden configurar un recopilador de AWS para proporcionar detalles de los recursos y la red de la cuenta y la región donde se ejecuta el código. Ese contexto ayuda a Continuum a determinar si un atacante puede acceder a una ruta vulnerable y qué otros sistemas podrían quedar expuestos.
En los hallazgos que puede reproducir, Continuum ejecuta un exploit en un entorno aislado y adjunta código de prueba de concepto e instrucciones para reproducirlo. También proporciona análisis del código como respaldo, una ruta de ataque y una evaluación del posible radio de impacto. AWS afirma que el servicio puede determinar si las defensas existentes detectarían y detendrían la ruta validada.
Continuum genera parches de código, actualizaciones de dependencias o cambios de configuración, y puede presentarlos como solicitudes de incorporación de cambios. La consola advierte que un parche generado no significa que la vulnerabilidad esté corregida: alguien todavía debe revisarlo e incorporarlo. AWS afirma que planea permitir que los clientes autoricen categorías de correcciones para que se apliquen automáticamente tras verificaciones de confianza, que incluyen la cobertura de pruebas, límites de alcance y resultados anteriores.
¿Cuánto cuesta?
Según los detalles de precios de AWS citados por InfoQ, el cobro tiene dos componentes: una tarifa mensual por el contexto, calculada según las líneas de código protegidas, y un cargo de inferencia de $10 por unidad de inferencia de Continuum a medida que se procesan los hallazgos. El costo del contexto parte de $200 por millón de líneas y baja a $100 por millón por encima de los diez mil millones de líneas.
Los ejemplos de precios de AWS muestran cómo el volumen de hallazgos puede elevar la factura. Proteger un millón de líneas con 100 vulnerabilidades a una unidad cada una cuesta $1,200. Proteger 100 millones de líneas con 10,000 vulnerabilidades a dos unidades cada una cuesta $218,200, incluidos $200,000 en cargos de inferencia. Los ejemplos muestran que el costo por hallazgo es importante para los equipos con grandes acumulaciones de problemas, incluso cuando su base de código no es especialmente extensa.
Por qué importa
Los equipos de seguridad pueden usar Continuum para obtener pruebas de explotación y correcciones propuestas junto con los hallazgos de los escáneres, pero una persona todavía debe aprobar e incorporar cada corrección. El recopilador opcional de AWS aporta contexto de red y recursos; no está claro cómo gestiona Continuum los hallazgos que no puede demostrar.
