AWS a lancé Continuum, son service de détection des vulnérabilités du code, en disponibilité générale dans les régions US East (N. Virginia) et US West (Oregon), quatre mois après l’annonce d’une préversion sur invitation. Le service confronte les vulnérabilités détectées au code et au contexte de l’environnement, puis propose un correctif sous forme de patch ou de demande de fusion dans un dépôt connecté. Une personne doit examiner et approuver chaque correctif avant son déploiement.
Selon AWS, le service doit aider les équipes à faire le tri parmi les alertes générées par les scanners. Ses dirigeants estiment que les grands parcs applicatifs peuvent produire des milliers de signalements par jour, dont beaucoup concernent des vulnérabilités inaccessibles, impossibles à exploiter ou déjà bloquées par les protections en place. Continuum cherche à déterminer quels problèmes sont exploitables et comment une attaque pourrait affecter les systèmes connectés, au lieu de s’appuyer uniquement sur un score de gravité.
Comment Continuum vérifie-t-il les vulnérabilités ?
Le service construit un graphe de contexte à partir des dépôts de code et des informations sur l’environnement AWS. Les équipes peuvent connecter leur code via GitHub ou un compartiment Amazon S3. Elles peuvent aussi configurer un collecteur AWS pour transmettre des informations sur les ressources et le réseau du compte et de la région où s’exécute le code. Ce contexte aide Continuum à évaluer si un attaquant peut atteindre un chemin vulnérable et quels autres systèmes pourraient être exposés.
Pour les vulnérabilités qu’il peut reproduire, Continuum exécute une attaque dans un bac à sable isolé et fournit du code de preuve de concept ainsi que les étapes de reproduction. Il présente également des éléments d’analyse du code, un chemin d’attaque et une évaluation de l’étendue potentielle des dégâts. AWS indique que le service peut déterminer si les défenses en place détecteraient et bloqueraient le chemin validé.
Continuum génère des patchs, des mises à niveau de dépendances ou des modifications de configuration, et peut les proposer sous forme de demandes de fusion. La console précise qu’un patch généré ne signifie pas que la vulnérabilité est corrigée : une personne doit encore l’examiner et le fusionner. AWS prévoit de permettre aux clients d’autoriser l’application automatique de certaines catégories de correctifs après des contrôles de confiance, portant notamment sur la couverture des tests, les limites de portée et les résultats obtenus par le passé.
Combien coûte le service ?
Selon les tarifs AWS cités par InfoQ, le prix comporte deux volets : des frais mensuels de contexte calculés en fonction du nombre de lignes de code protégées et des frais d’inférence de $10 par unité d’inférence Continuum, à mesure que les vulnérabilités sont analysées. Le tarif du contexte commence à $200 par million de lignes et passe à $100 par million au-delà de dix milliards de lignes.
Les exemples de tarifs d’AWS montrent que le volume de vulnérabilités peut faire grimper la facture. La protection d’un million de lignes et l’analyse de 100 vulnérabilités à une unité chacune coûtent $1,200. La protection de 100 millions de lignes et l’analyse de 10,000 vulnérabilités à deux unités chacune coûtent $218,200, dont $200,000 de frais d’inférence. Ces exemples montrent que le coût par vulnérabilité compte pour les équipes ayant un important arriéré de problèmes, même si leur base de code n’est pas particulièrement volumineuse.
Pourquoi c'est important
Les équipes de sécurité peuvent utiliser Continuum pour obtenir des preuves d’exploitabilité et des correctifs proposés en complément des résultats des scanners. Toutefois, une personne doit toujours approuver et fusionner chaque correctif. Le collecteur AWS facultatif fournit des informations sur le réseau et les ressources ; la façon dont Continuum traite les vulnérabilités qu’il ne peut pas confirmer reste floue.
