AWS 的 Continuum 漏洞服务正式上线

在宣布受限预览四个月后，AWS 已在美国东部（弗吉尼亚北部）和美国西部（俄勒冈）正式推出代码漏洞服务 Continuum。该服务会结合代码和环境上下文核查漏洞发现，再以补丁或连接的代码仓库中的拉取请求形式提出修复方案。每项修复都必须由人员审核并批准后才能发布。

AWS 表示，这项服务旨在帮助团队应对扫描器产生的大量告警。该公司高管称，大型应用环境每天可能出现数千条漏洞发现，其中许多问题可能无法触达、无法利用，或已被现有防护措施拦截。Continuum 希望指出哪些问题可被利用，以及攻击可能如何影响关联系统，而非仅依赖严重性评分。

Continuum 如何验证漏洞发现？

该服务会根据代码仓库和 AWS 环境信息构建上下文图。团队可以通过 GitHub 或 Amazon S3 存储桶接入代码，也可以设置 AWS 收集器，从代码运行所在的账户和区域获取资源及网络详情。这些上下文有助于 Continuum 判断攻击者能否触达存在漏洞的路径，以及其他哪些系统可能受到影响。

对于能够复现的漏洞发现，Continuum 会在隔离沙箱中运行漏洞利用，并附上概念验证代码和复现步骤。它还会提供辅助代码分析、攻击路径以及潜在影响范围评估。AWS 表示，该服务还可以评估现有防御措施能否发现并阻止已验证的攻击路径。

Continuum 可以生成代码补丁、依赖项升级或配置变更，并将其作为拉取请求提交。控制台会提醒用户，生成补丁并不代表漏洞已修复：仍需有人审核并合并。AWS 表示，计划允许客户授权自动执行某些类别的修复，但须通过置信度检查，包括测试覆盖率、范围限制和过往成功率。

费用是多少？

据 InfoQ 引用的 AWS 定价信息，费用分为两部分：按受保护代码行数收取的月度上下文费用，以及处理漏洞发现时按 Continuum 推理单元计费的费用，每个单元 $10。上下文费用从每百万行 $200 起；超过 100 亿行后，降至每百万行 $100。

AWS 的定价示例显示，漏洞发现数量会显著影响账单。保护 100 万行代码并处理 100 个漏洞（每个漏洞占 1 个单元），费用为 $1,200。保护 1 亿行代码并处理 10,000 个漏洞（每个漏洞占 2 个单元），费用为 $218,200，其中推理费用为 $200,000。这些示例表明，对于积压漏洞较多的团队，即使代码库规模不算特别大，每项漏洞发现产生的费用也不容忽视。