AWS سرویس Continuum را برای شناسایی آسیب‌پذیری کد عرضه کرد

AWS چهار ماه پس از اعلام پیش‌نمایش محدود، سرویس Continuum برای آسیب‌پذیری‌های کد را در مناطق US East (N. Virginia) و US West (Oregon) به‌طور عمومی عرضه کرده است. این سرویس یافته‌های مربوط به آسیب‌پذیری را با توجه به کد و محیط اجرا بررسی می‌کند و سپس راه‌حلی را به شکل وصله یا درخواست ادغام در یک مخزن متصل پیشنهاد می‌دهد. پیش از انتشار هر راه‌حل، یک نفر باید آن را بررسی و تأیید کند.

به گفته AWS، این سرویس برای کمک به تیم‌ها در مدیریت انبوه هشدارهای اسکنرها طراحی شده است. مدیران این شرکت می‌گویند مجموعه‌های بزرگ نرم‌افزاری ممکن است روزانه هزاران یافته تولید کنند که بسیاری از آن‌ها قابل‌دسترسی یا بهره‌برداری نیستند، یا کنترل‌های موجود جلویشان را گرفته است. Continuum به‌جای اتکا به یک امتیاز شدت خطر، می‌کوشد نشان دهد کدام مشکل قابل بهره‌برداری است و حمله چه اثری بر سامانه‌های متصل می‌گذارد.

Continuum چطور یک یافته را اعتبارسنجی می‌کند؟

این سرویس با استفاده از مخازن کد و اطلاعات محیط AWS، یک گراف زمینه‌ای می‌سازد. تیم‌ها می‌توانند کد را از طریق GitHub یا یک مخزن Amazon S3 متصل کنند. همچنین می‌توانند یک گردآورنده AWS راه‌اندازی کنند تا جزئیات منابع و شبکه را از حساب و منطقه‌ای که کد در آن اجرا می‌شود ارائه دهد؛ این اطلاعات به Continuum کمک می‌کند تشخیص دهد آیا مهاجم می‌تواند به مسیر آسیب‌پذیر دسترسی پیدا کند و چه سامانه‌های دیگری ممکن است در معرض خطر باشند.

برای یافته‌هایی که می‌تواند بازتولید کند، Continuum یک اکسپلویت را در محیطی ایزوله اجرا می‌کند و کد اثبات مفهوم و مراحل بازتولید را به آن پیوست می‌کند. همچنین تحلیل پشتیبان کد، مسیر حمله و ارزیابی گستره احتمالی آسیب را ارائه می‌دهد. AWS می‌گوید این سرویس می‌تواند بررسی کند که آیا دفاع‌های موجود مسیر اعتبارسنجی‌شده را شناسایی و متوقف می‌کنند یا نه.

Continuum وصله‌های کد، ارتقای وابستگی‌ها یا تغییرات پیکربندی تولید می‌کند و می‌تواند آن‌ها را به شکل درخواست ادغام ثبت کند. کنسول هشدار می‌دهد که تولید یک وصله به معنی رفع آسیب‌پذیری نیست؛ همچنان لازم است کسی آن را بررسی و ادغام کند. AWS می‌گوید قصد دارد به مشتریان اجازه دهد دسته‌هایی از اصلاحات را پس از بررسی میزان اطمینان، به‌طور خودکار اجرا کنند؛ این بررسی‌ها شامل پوشش آزمون، محدودیت دامنه و موفقیت‌های قبلی خواهد بود.

هزینه آن چقدر است؟

بر اساس جزئیات قیمت‌گذاری AWS که InfoQ به آن اشاره کرده، هزینه دو بخش دارد: هزینه ماهانه زمینه که بر مبنای تعداد خطوط کد محافظت‌شده محاسبه می‌شود و هزینه استنتاج، به‌ازای هر واحد استنتاج Continuum هنگام پردازش یافته‌ها، $10. هزینه زمینه از $200 به‌ازای هر یک میلیون خط کد شروع می‌شود و برای بیش از ده میلیارد خط، به $100 به‌ازای هر یک میلیون خط کاهش می‌یابد.

نمونه‌های قیمت‌گذاری AWS نشان می‌دهند که تعداد یافته‌ها چطور می‌تواند هزینه را بالا ببرد. محافظت از یک میلیون خط کد با 100 آسیب‌پذیری، هرکدام با یک واحد، $1,200 هزینه دارد. محافظت از 100 میلیون خط با 10,000 آسیب‌پذیری، هرکدام با دو واحد، $218,200 هزینه دارد که $200,000 آن هزینه استنتاج است. این نمونه‌ها نشان می‌دهند هزینه هر یافته برای تیم‌هایی با انبوه یافته‌های بررسی‌نشده اهمیت دارد، حتی اگر حجم کد آن‌ها چندان زیاد نباشد.