Amazon Web Services(AWS)가 코드 취약점을 찾아 실제 운영 환경에서 악용할 수 있는지 확인하고, 수정안을 제안하는 ‘AWS Continuum for code vulnerabilities’를 정식 출시했다. 이 서비스는 보안 스캐너가 찾아낸 결과를 그대로 나열하는 대신, 공격자가 해당 코드에 접근할 수 있는지와 문제가 발생했을 때 어떤 시스템이 영향을 받는지를 살펴 대응 순위를 정한다.
확인된 취약점에는 코드 패치, 종속성 업그레이드, 시스템 구성 변경 등의 수정안을 만든다. 수정안과 위험 평가, 분석 근거는 연결된 GitHub 저장소에 풀 리퀘스트로 등록된다. 풀 리퀘스트는 개발자가 코드 변경을 검토하고 반영하도록 요청하는 기능이다. 따라서 개발자는 기존 작업 환경에서 제안을 확인할 수 있지만, AWS 설명상 수정안을 검토하고 반영하는 과정은 기본적으로 개발자에게 남아 있다.
코드와 클라우드 환경을 함께 분석한다
서비스의 중심에는 ‘컨텍스트 그래프’가 있다. AWS는 고객이 코드가 실행되는 계정과 리전에 수집기를 설정하면, 수집기가 AWS Config 리소스와 네트워크 구성 같은 인프라 정보를 모은다고 설명한다. 컨티뉴엄은 이 정보와 코드 분석 결과를 결합해 취약점에 외부에서 접근할 수 있는지, 공격이 이어질 경우 어떤 시스템까지 닿을 수 있는지 판단한다.
분석에는 서비스 간 의존 관계, 시스템 담당자, 처리하는 데이터 종류도 반영된다. 이 정보를 바탕으로 결제 시스템이나 고객 데이터 저장소 같은 주요 시스템에 미치는 영향을 고려해 우선순위를 매긴다. AWS는 취약점의 일반적인 심각도 점수만으로는 실제 사업 위험을 충분히 알기 어렵다는 점을 서비스 설계 배경으로 들었다.
악용 가능성 검증에는 코드 경로의 정적 분석이 쓰이며, 실제로 재현할 수 있는 문제는 격리된 샌드박스에서 공격 코드를 실행해 확인한다. AWS는 이때 공격 재현 절차와 개념증명 코드, 판정 근거와 증거 수준도 제공한다고 밝혔다. 기존 보안 체계가 공격을 차단할 수 있는지도 평가 대상이다.
자동 수정은 향후 계획
이용자는 콘솔에서 GitHub 저장소나 Amazon S3 버킷을 코드 소스로 연결하고 정기 스캔을 설정하거나 즉시 스캔을 실행할 수 있다. AWS 인프라 정보를 분석에 포함하려면 코드가 실행되는 계정과 리전에 수집기를 설정해야 한다. S3 버킷은 컨티뉴엄을 활성화한 계정·리전과 같은 위치에 있어야 하며, AWS IAM 역할로 접근 권한을 부여해야 한다.
AWS는 고객이 정한 보안 기준을 만족하는 일부 수정안을 자동 적용하는 기능도 향후 지원할 계획이다. 테스트 범위와 과거 수정 성공률 등을 기준으로 삼겠다는 구상이며, 현재 출시된 기능과 구분해야 한다. 가격 정보는 공개된 설명에 포함되지 않았다.
왜 중요한가
AWS 환경에서 코드를 운영하는 보안팀과 개발자는 스캐너 결과를 시스템의 접근 가능성 및 업무상 중요도와 함께 검토하고, 제안된 수정을 GitHub에서 확인할 수 있다. 다만 수정안을 자동으로 적용하는 기능은 아직 계획 단계이며, 실제 업무 부담이 얼마나 줄어드는지는 사용 환경과 검증 결과에 따라 달라질 수 있다.
