AWS a rendu Continuum for code vulnerabilities généralement disponible. Ce service vise à aider les équipes de sécurité à détecter les vulnérabilités du code, à vérifier si elles sont exploitables, à les classer selon leur impact sur l’activité et à proposer des correctifs sous forme de pull requests intégrées aux processus de développement.
Selon AWS, Continuum crée un graphe contextuel de l’environnement AWS, qui montre les liens entre les ressources, les identités et les connexions réseau. Il peut importer des résultats d’analyse de vulnérabilités existants et analyser le code, puis tester ces résultats dans un environnement isolé afin de déterminer lesquels sont exploitables. Les pull requests proposées comprennent des preuves d’exploitabilité et une évaluation du rayon d’impact potentiel, c’est-à-dire de l’étendue qu’un problème pourrait prendre.
Une automatisation qui commence par la validation
Selon AWS, Continuum sélectionne un modèle d’IA pour chaque tâche. Il démarre en mode Learn, où il propose des correctifs qu’une personne doit approuver. AWS indique que les clients peuvent passer en mode Enforce lorsqu’ils ont confiance dans la précision du service, qui peut alors agir de façon autonome dans les limites de garde-fous qu’ils définissent. L’annonce ne précise pas de seuil de précision ni les garde-fous disponibles.
AWS indique que Continuum fonctionne avec Amazon GuardDuty et AWS Security Hub. L’annonce renvoie à un tableau des disponibilités par région, mais les informations fournies ne précisent pas les régions concernées. Elle ne donne pas non plus de tarifs, de détails sur les langages de programmation pris en charge ni de résultats de performance indépendants.
Pourquoi c'est important
Pour les équipes qui utilisent déjà les services de sécurité AWS, Continuum pourrait intégrer des propositions de correctifs au code dans leurs processus de développement et leur permettre de les examiner avant d’automatiser davantage. Comme l’annonce ne précise ni les régions, ni les tarifs, ni les langages pris en charge, les équipes ne peuvent pas savoir à partir de ces seules informations si le service est disponible ou adapté à leur environnement.
