AI и дата-центры
AWS выпустила Continuum для проверки уязвимостей кода и подготовки исправлений
Публикация:
AWS объявила о всеобщей доступности Continuum for code vulnerabilities. Сервис сопоставляет результаты сканирования с кодом и сведениями об облачной инфраструктуре, проверяет, какие уязвимости достижимы в конкретной среде, и предлагает исправления в виде pull request. Пока любое изменение требует одобрения человека; на старте сервис работает в двух регионах США.
Continuum подключается к репозиториям GitHub или кода в Amazon S3. По желанию организация может добавить сборщик данных AWS, который передаёт сведения о конфигурации ресурсов и сети. На их основе сервис строит контекстную карту связей между компонентами, приложениями и данными, чтобы оценивать путь потенциальной атаки, а не только общий балл серьёзности уязвимости.
AWS сообщает, что Continuum анализирует исходный код и среду, определяет доказательность находки, а для уязвимостей, которые можно воспроизвести, запускает эксплойт в изолированной среде. В таких случаях к результату прикладываются код подтверждения и шаги воспроизведения. По подтверждённым проблемам сервис подготавливает исправление: изменение кода, обновление зависимости или конфигурации, затем открывает pull request.
Решение остаётся за командой: исправление предлагается для проверки, и его нужно одобрить и слить в репозиторий. Автоматическое применение отдельных типов исправлений AWS описывает как возможное будущее развитие, а не текущую функцию. По объявлению компании, сервис доступен в регионах US East (N. Virginia) и US West (Oregon); цены опубликованы на отдельной странице AWS.
Для команд, использующих AWS, Continuum может сократить ручную сортировку большого потока предупреждений и показать связь уязвимости с конкретными системами. Однако охват на старте ограничен двумя регионами, а точность и экономию времени в релизе описывает сам поставщик. Автоматической отправки исправлений сейчас нет: каждое изменение требует проверки и одобрения команды.