AWS가 코드 취약점 분석 서비스 Continuum을 US East (N. Virginia)와 US West (Oregon)에서 정식 출시했다. 제한된 고객을 대상으로 프리뷰를 발표한 지 4개월 만이다. 이 서비스는 코드와 환경 정보를 바탕으로 취약점 탐지 결과를 확인한 뒤, 연결된 저장소에 패치나 풀 리퀘스트 형태로 수정안을 제안한다. 수정안을 배포하기 전에는 반드시 담당자가 검토하고 승인해야 한다.
AWS는 스캐너 경고가 쏟아지는 상황에서 팀들이 우선순위를 정하도록 돕기 위해 이 서비스를 만들었다고 밝혔다. AWS 임원들은 대규모 애플리케이션 환경에서 하루 수천 건의 탐지 결과가 나올 수 있으며, 상당수는 공격자가 접근할 수 없거나 악용할 수 없고 기존 보안 조치로 이미 차단된 문제일 수 있다고 설명했다. Continuum은 심각도 점수에만 의존하는 대신 어떤 문제가 실제로 악용될 수 있는지, 공격이 연결된 시스템에 어떤 영향을 미칠 수 있는지를 보여주는 것을 목표로 한다.
Continuum은 탐지 결과를 어떻게 검증하나?
이 서비스는 코드 저장소와 AWS 환경 정보를 바탕으로 컨텍스트 그래프를 만든다. 팀은 GitHub 또는 Amazon S3 버킷을 통해 코드를 연결할 수 있다. 또한 AWS 수집기를 설정해 코드가 실행되는 계정과 리전의 리소스 및 네트워크 정보를 제공할 수 있다. 이러한 정보는 공격자가 취약한 경로에 도달할 수 있는지, 또 어떤 시스템이 추가로 노출될 수 있는지를 Continuum이 판단하는 데 활용된다.
재현할 수 있는 탐지 결과의 경우 Continuum은 격리된 샌드박스에서 공격을 실행하고, 개념 증명 코드와 재현 절차를 첨부한다. 코드 분석 자료와 공격 경로, 잠재적인 피해 범위에 대한 평가도 제공한다. AWS는 검증된 공격 경로를 기존 방어 체계가 탐지하고 차단할 수 있는지도 평가할 수 있다고 밝혔다.
Continuum은 코드 패치, 종속성 업그레이드 또는 구성 변경을 생성하고 이를 풀 리퀘스트로 제출할 수 있다. 콘솔에는 패치가 생성됐다고 해서 취약점이 해결된 것은 아니라는 안내가 표시된다. 담당자가 여전히 이를 검토하고 병합해야 한다. AWS는 테스트 범위, 변경 범위 제한, 과거 성공률 등을 확인하는 신뢰도 검사를 거친 뒤 고객이 수정 유형별로 자동 실행을 허용할 수 있도록 할 계획이라고 밝혔다.
비용은 얼마인가?
InfoQ가 인용한 AWS 요금 정보에 따르면 비용은 두 부분으로 구성된다. 보호 대상 코드 줄 수에 따라 부과되는 월간 컨텍스트 요금과, 탐지 결과를 처리할 때 Continuum 추론 단위당 $10의 추론 요금이다. 컨텍스트 요금은 코드 100만 줄당 $200부터 시작하며, 100억 줄을 넘으면 100만 줄당 $100으로 낮아진다.
AWS의 요금 예시는 탐지 결과 수가 청구액에 미치는 영향을 보여준다. 취약점 100개가 있고 각 취약점에 추론 단위 1개가 필요한 코드 100만 줄을 보호하면 비용은 $1,200이다. 취약점 10,000개가 있고 각 취약점에 추론 단위 2개가 필요한 코드 1억 줄을 보호하면 추론 요금 $200,000를 포함해 총 $218,200이 든다. 이 예시는 코드베이스가 특별히 크지 않더라도 취약점이 많이 쌓인 팀에는 건당 비용이 중요할 수 있음을 보여준다.
왜 중요한가
보안팀은 Continuum을 통해 스캐너 탐지 결과와 함께 공격 증거 및 수정안을 확인할 수 있지만, 수정안마다 담당자가 승인하고 병합해야 한다. 선택 사항인 AWS 수집기는 네트워크 및 리소스 정보를 제공한다. Continuum이 입증할 수 없는 탐지 결과를 어떻게 처리하는지는 아직 명확하지 않다.
