AWSは、コードの脆弱性を扱う「Continuum」の一般提供を、米国東部（バージニア北部）と米国西部（オレゴン）で開始した。利用を限定したプレビューの発表から4カ月後となる。このサービスは、脆弱性の検出結果をコードや実行環境の情報と照らし合わせ、修正案をパッチまたは接続済みリポジトリへのプルリクエストとして提示する。修正を適用する前に、担当者が一つずつ確認して承認する必要がある。
AWSによると、このサービスはスキャナーの大量の警告をチームが整理しやすくすることを目的としている。同社幹部は、大規模なアプリケーション環境では1日に数千件の検出結果が出ることがあり、その多くは外部から到達できない、悪用できない、あるいは既存の対策で阻止されている可能性があると話す。Continuumは、深刻度スコアだけに頼らず、どの問題が悪用可能か、攻撃が接続されたシステムにどのような影響を与えるかを示すことを目指している。
Continuumは検出結果をどう検証するのか？
このサービスは、コードリポジトリとAWS環境の情報をもとにコンテキストグラフを作成する。チームはGitHubまたはAmazon S3バケットを通じてコードを接続できる。さらにAWSコレクターを設定し、コードが実行されるアカウントとリージョンのリソースやネットワークの詳細を提供することもできる。こうした情報を使い、攻撃者が脆弱な経路に到達できるか、ほかにどのシステムが危険にさらされるかをContinuumが判断する。
再現可能な検出結果については、Continuumが隔離されたサンドボックスでエクスプロイトを実行し、概念実証コードと再現手順を添付する。また、コード解析の根拠、攻撃経路、潜在的な影響範囲の評価も提供する。AWSによると、検証された攻撃経路を既存の防御策が検知し、阻止できるかどうかも評価できる。
Continuumはコードのパッチ、依存関係のアップグレード、設定変更を生成し、プルリクエストとして提出できる。ただし、生成されたパッチが脆弱性の修正完了を意味するわけではないと、コンソールは注意を促している。担当者が確認し、マージする必要がある。AWSは、テストの網羅性、適用範囲の制限、過去の成功実績などを使った信頼度チェックを経た後、修正の種類ごとに顧客が自動実行を許可できるようにする計画だ。
料金はいくら？
InfoQが引用したAWSの料金情報によると、料金は2つの要素で構成される。保護対象のコード行数に応じた月額コンテキスト料金と、検出結果の処理に伴う推論料金だ。推論料金はContinuum推論ユニットあたり$10。コンテキスト料金は100万行あたり$200から始まり、100億行を超えると100万行あたり$100に下がる。
AWSの料金例は、検出件数が請求額を大きく左右することを示している。100万行のコードを保護し、脆弱性が100件、それぞれ1ユニットの場合、料金は$1,200となる。1億行を保護し、脆弱性が10,000件、それぞれ2ユニットの場合は、推論料金$200,000を含めて$218,200となる。コードベースが特に大きくなくても、未処理の検出結果を大量に抱えるチームにとって、検出1件あたりの料金が重要になる。
なぜ重要か
セキュリティチームは、スキャナーの検出結果と合わせてエクスプロイトの証拠や修正案を得られる。ただし、修正はすべて担当者が承認し、マージする必要がある。任意のAWSコレクターはネットワークやリソースの情報を提供するが、Continuumが立証できない検出結果をどう扱うかは明らかでない。
