AWS Continuum для виявлення вразливостей у коді тепер доступний для всіх користувачів
AWS Continuum для виявлення вразливостей у коді тепер доступний для всіх користувачів
AWS Continuum — це сервіс безпеки, який знаходить і перевіряє вразливості в коді, а потім надає виправлення у вигляді патчів, які можна автоматизувати, або у вигляді запитів на злиття у ваших репозиторіях. AWS Continuum для виявлення вразливостей у коді підтверджує, які з виявлених уразливостей можуть бути використані у вашому середовищі, ранжує виявлені проблеми за ступенем впливу на бізнес та пропонує виправлення для кожної з них. Кожне виправлення починається в режимі коли Continuum пропонує виправлення, і користувач затверджує його перед випуском. У майбутньому ви зможете самостійно визначати, які дії Continuum може вжити, в рамках заданих обмежень.
Використовуючи передові моделі штучного інтелекту (ІІ), зловмисники можуть перетворити виявлену вразливість на працюючий експлойт-код за лічені хвилини, і ті ж інструменти, які прискорюють розробку, також збільшують обсяг виявлених уразливостей, які мають обробляти ваші команди. Якщо ваша організація використовує великий парк додатків, ваші сканери, ймовірно, видають тисячі виявлених уразливостей на день, і багато хто з них не вимагає жодних дій. Виявлена вразливість може бути недоступною, неексплуатованою або вже усуненою за допомогою засобу контролю під час виконання. Загальні оцінки серйозності не показують, яких ресурсів зловмисник може отримати доступ, тому критична оцінка для утиліти, призначеної лише розробників, виглядає як і, як середня оцінка для сервісу, що у всього кроці від бази даних платежів. Раніше підтвердження того, чи виявлена вразливість експлуатованої, займало годинник ручного розслідування, а випуск виправлення з упевненістю вимагав днів координації між командами безпеки, інфраструктури та додатків, оскільки радіус впливу змін важко оцінити без бізнес-контексту. Щоб усунути цю прогалину, Continuum доводить, які вразливості експлуатуються, і обмежує ризик кожного пропонованого виправлення.
Continuum будує контекстний граф на основі двох основних джерел: ваших репозиторіїв коду та середовища AWS. Для AWS ви налаштовуєте збирач в обліковому записі та регіоні, де виконується ваш код. Складальник збирає детальну інформацію про ресурси, такі як ресурси AWS Config та мережна конфігурація, щоб Continuum міг визначити, чи доступна вразливість по мережі та до чого може отримати доступ зловмисник. На основі цього графа Continuum дізнається, які системи є критично важливими для бізнесу, хто ними володіє, як послуги залежать один від одного і які дані кожна з них стосується. Він використовує цю картину для ідентифікації ваших найбільш цінних систем, таких як сховища даних клієнтів, платіжні системи та служби аутентифікації, а потім ранжує кожну виявлену проблему з того, наскільки близько шлях атаки проходить до цих систем.
Continuum аналізує кожне виявлене вразливе місце в контексті вашого коду та його оточення та надає рівень достовірності, наприклад, підтвердження, отримане в результаті статичного аналізу вразливої ділянки коду. Для виявлених уразливостей Continuum запускає експлойт в ізольованій пісочниці та прикріплює до кроків відтворення код, що демонструє важливу можливість атаки. Замість оцінки ризику він видає шлях атаки, що підтверджує аналіз вихідного коду та оцінку радіусу ураження. Він також оцінює, чи зможуть ваші існуючі засоби захисту виявити та зупинити підтверджений шлях атаки.
Для кожної підтвердженої проблеми Continuum генерує виправлення (патч коду, оновлення залежностей або зміну конфігурації) та відкриває його у вигляді запиту на злиття (pull request) у вашому підключеному репозиторії, готовому для перевірки. Кожне виправлення вимагає схвалення людини: ви перевіряєте та поєднуєте запит на злиття, тому остаточне рішення залишається за вашою командою. У майбутньому ви зможете підвищувати рівень впевненості у конкретних класах виправлень та дозволяти Continuum автоматично застосовувати ці виправлення після проходження перевірок на відповідність критеріям, таким як покриття тестами, межі області дії та історичний відсоток успішності.
AWS Continuum для виявлення вразливостей коду в дії.
Щоб показати, як це працює, я відкриваю AWS Continuum у консолі та переходжу до розділу «Уразливості в коді» . Перш ніж я зможу переглянути проблеми, я налаштовую середовище. Я підключаю джерело коду, або інтеграцію з GitHub, або кошик Amazon S3, а потім створюю середовище, яке сканує його за вибраним розкладом. Для джерела Amazon S3 необхідно виконати кілька попередніх умов: кошик повинен знаходитися в тому ж обліковому записі та регіоні AWS, де я вмикаю AWS Continuum, і я повинен надати доступ через роль AWS Identity and Access Management (IAM), яку використовує AWS Continuum. За бажанням я можу додати контекст інфраструктури AWS, настроївши збирач AWS Continuum в обліковному записі та регіоні, де виконується мій код, і дозволивши моєму середовищу використовувати його. Докладніші вимоги та кроки див. у Посібнику користувача AWS Continuum.
На сторінці «Огляд» всі ці компоненти зібрані в одному місці та відображають мої інтеграції з кодом , створені на їх основі середовища та статус будь-якого збирача AWS , що надає контекст ресурсів AWS.
Я відкриваю одне зі своїх середовищ. На вкладці « Проблеми» відображаються перевірені, пріоритетні проблеми, а не необроблені дані сканера, кожна із зазначенням рівня серйозності, статусу та часу створення. Я вибираю одну із проблем.
У розділі «Огляд» вказано високий рівень серйозності загрози, статус «Завершено» , а виправлення вже відправлено до GitHub. Оцінка ризиків пояснює причину. Continuum оцінює вразливість як "Вразлива" , рівень доказів "Статичне підтвердження" , а статус перевірки - "Завершено" . Імовірність - висока , оскільки сервіс доступний для зловмисника, не вимагає аутентифікації та взаємодії з користувачем. Дія — помірна , що означає, що зловмисник отримує можливість змінювати бізнес-дані, а радіус поразки поширюється на інших користувачів того ж клієнта. У розділі "Докази" наводиться аналіз вихідного коду, що лежить в основі вердикту.
У розділі «Виправлення» відображається вже реалізоване виправлення у вигляді запиту на злиття (pull request) у GitHub, що змінює чотири файли: додано 50 рядків та видалено 24 у рамках сервісу кошика. Continuum відкриває це виправлення як запит на злиття під назвою «Виправлення Continuum» і я вибираю «Переглянути запит на злиття» , щоб відкрити його в GitHub. У консолі чітко зазначено, що згенерований патч не означає, що проблему вирішено. Я все одно перевіряю і об'єдную його, що залишає остаточне рішення за моєю командою. У розділі «Внесок у вирішення проблеми» вказано конкретний результат сканування, на основі якого було створено цю проблему.
В описі запиту на злиття міститься та сама оцінка ризиків, короткий опис заходів щодо усунення проблем та підтвердження, що й у консолі, тому той, хто переглядає його в GitHub, бачить усі докази, не залишаючи свій робочий процес.
На вкладці "Результати " відображаються вихідні дані сканування по всьому середовищу, на основі яких формуються висновки про проблеми.
На вкладці «Сканування » відображається історія кожного сканування із зазначенням статусу, джерела, часу запиту та завершення. Використовуйте функцію «Налаштувати частоту сканування» , щоб змінити періодичність, або «Поставити сканування в чергу» , щоб запустити сканування за запитом. На вкладці «Конфігурація» я керую середовищем: джерелами коду та контексту, з яких вона зчитує дані, інтеграціями коду, налаштуваннями середовища, такими як створення Continuum виправлень та використовуваними збирачами AWS для контексту AWS.
У рамках єдиного робочого процесу я в порядку пріоритету опрацьовую підтверджені проблеми при кожному скануванні, перевіряючи докази та масштаб кожної проблеми, перш ніж затвердити та об'єднати виправлення, яким я довіряю. Кожне виправлення чекає на моє схвалення, тому список завдань постійно скорочується, а моя команда контролює випуск готової продукції.
Тепер AWS Continuum для виявлення вразливостей у коді доступний вже сьогодні в регіонах US East (N Virginia) та US West (Oregon). Інформацію про ціни можна знайти на сторінці з цінами .
Щоб дізнатися більше, відвідайте сторінку продукту AWS Continuum, щоб знайти вразливість у коді та посібник користувача . Спробуйте використати його в консолі AWS Continuum вже сьогодні
