AWS har gjort Continuum för sårbarheter i kod allmänt tillgängligt i US East (N. Virginia) och US West (Oregon), fyra månader efter att tjänsten presenterades som en begränsad förhandsversion. Tjänsten kontrollerar sårbarhetsfynd mot kod och miljöinformation och föreslår sedan en lösning i form av en patch eller en pull request i ett anslutet kodarkiv. En person måste granska och godkänna varje lösning innan den tas i bruk.
AWS säger att tjänsten ska hjälpa team att hantera den stora mängden varningar från skanningsverktyg. Företagets chefer uppger att stora applikationsmiljöer kan generera tusentals fynd om dagen, varav många kanske inte går att nå eller utnyttja, eller redan blockeras av befintliga skydd. Continuum ska visa vilka problem som går att utnyttja och hur en attack kan påverka anslutna system, i stället för att enbart förlita sig på en allvarlighetsgrad.
Hur verifierar Continuum ett fynd?
Tjänsten bygger en kontextgraf utifrån kodarkiv och information om AWS-miljön. Team kan ansluta kod via GitHub eller en Amazon S3-bucket. De kan också konfigurera en AWS-insamlare som hämtar information om resurser och nätverk från det konto och den region där koden körs. Den informationen hjälper Continuum att bedöma om en angripare kan nå en sårbar kodväg och vilka andra system som kan exponeras.
För fynd som tjänsten kan återskapa kör Continuum en exploatering i en isolerad sandlåda och bifogar proof-of-concept-kod och steg för att återskapa problemet. Tjänsten tillhandahåller också stödjande kodanalys, en angreppsväg och en bedömning av den möjliga skadeomfattningen. AWS säger att tjänsten kan bedöma om befintliga skydd skulle upptäcka och stoppa den verifierade angreppsvägen.
Continuum skapar kodpatchar, uppgraderingar av beroenden eller konfigurationsändringar och kan öppna dem som pull requests. Konsolen varnar för att en genererad patch inte innebär att sårbarheten är åtgärdad: någon måste fortfarande granska och slå samman den. AWS säger att företaget planerar att låta kunder godkänna kategorier av korrigeringar för automatisk körning efter kontroller av säkerhetsnivå, bland annat testtäckning, omfattningsbegränsningar och tidigare resultat.
Vad kostar det?
Enligt AWS prisinformation som InfoQ hänvisar till består prissättningen av två delar: en månatlig avgift för kontext baserad på antalet skyddade kodrader och en inferensavgift på $10 per Continuum-inferensenhet när fynd behandlas. Kontextpriset börjar på $200 per miljon rader och sjunker till $100 per miljon för volymer över tio miljarder rader.
AWS prisexempel visar hur antalet fynd kan påverka kostnaden. Att skydda en miljon rader med 100 sårbarheter som kostar en enhet vardera kostar $1,200. Att skydda 100 miljoner rader med 10,000 sårbarheter som kostar två enheter vardera kostar $218,200, varav $200,000 är inferensavgifter. Exemplen visar att kostnaden per fynd är viktig för team med stora eftersläpningar, även om kodbasen inte är särskilt stor.
Varför det spelar roll
Säkerhetsteam kan använda Continuum för att få bevis på exploaterbarhet och förslag på lösningar tillsammans med fynd från skanningsverktyg, men en person måste fortfarande godkänna och slå samman varje lösning. Den valfria AWS-insamlaren tillför nätverks- och resursinformation; det är fortfarande oklart hur Continuum hanterar fynd som tjänsten inte kan bevisa.
