AWS, kod açıklarına yönelik Continuum’u genel kullanıma sundu. Hizmet, güvenlik ekiplerinin kod açıklarını bulmasına, bu açıkların istismar edilip edilemeyeceğini kontrol etmesine, iş etkilerine göre önceliklendirmesine ve geliştirici iş akışlarında pull request’ler aracılığıyla düzeltme önermesine yardımcı olmak üzere tasarlandı.
AWS’ye göre Continuum; kaynakların, kimliklerin ve ağ bağlantılarının birbiriyle ilişkilerini içeren bir AWS ortamı bağlam grafiği oluşturuyor. Mevcut güvenlik açığı bulgularını içe aktarabiliyor ve kodu tarayabiliyor; ardından hangi bulguların istismar edilebilir olduğunu belirlemek için bunları yalıtılmış bir sanal alanda test ediyor. Önerdiği pull request’lerde, açığın istismar edilebilir olduğuna dair kanıtlar ve sorunun ne kadar yayılabileceğini gösteren olası etki alanı değerlendirmesi yer alıyor.
Otomasyona geçişte önce inceleme
AWS’ye göre Continuum her görev için bir yapay zekâ modeli seçiyor. Hizmet, önce önerdiği düzeltmelerin bir kişi tarafından onaylandığı Learn modunda çalışıyor. AWS, müşterilerin hizmetin doğruluğuna güvendiklerinde, belirledikleri güvenlik sınırları içinde otonom hareket etmesini sağlayan Enforce moduna geçebileceklerini söylüyor. Duyuruda herhangi bir doğruluk eşiği tanımlanmıyor veya hangi güvenlik sınırlarının belirlenebileceği açıklanmıyor.
AWS, Continuum’un Amazon GuardDuty ve AWS Security Hub ile birlikte çalıştığını belirtiyor. Duyuruda bölgesel kullanılabilirlik tablosuna yönlendirme yapılıyor, ancak sağlanan bilgilerde hangi bölgelerin desteklendiği listelenmiyor. Fiyatlandırma, desteklenen programlama dilleri veya bağımsız performans sonuçları hakkında da bilgi verilmiyor.
Neden önemli
AWS güvenlik hizmetlerini hâlihazırda kullanan ekipler, Continuum sayesinde önerilen kod düzeltmelerini geliştirici iş akışlarına ekleyip otomasyonu artırmadan önce değişiklikleri inceleyebilir. Ancak AWS bu duyuruda desteklenen bölgeleri, fiyatları veya programlama dillerini belirtmediğinden, ekipler hizmetin kendi ortamlarında kullanılabilir ya da uygun olup olmadığını yalnızca bu bilgilere bakarak anlayamıyor.
