AWS Continuum for code vulnerabilities 정식 출시

오늘 AWS Continuum for code vulnerabilities의 정식 출시를 발표했습니다. AWS Continuum은 코드 취약성을 찾아 검증한 다음, 수정 사항을 리포지토리의 풀 요청으로 또는 사용자가 자동화할 수 있는 패치로 제공하는 보안 서비스입니다. AWS Continuum for code vulnerabilities는 사용자 환경에서 악용될 수 있는 조사 결과를 확인하고, 비즈니스 영향을 기준으로 해당 문제의 순위를 매기며, 각 문제에 대한 수정 사항을 제안합니다. 모든 개선 조치는 Continuum이 수정 사항을 제안하고 제공 전에 사람이 승인하는 모드로 시작됩니다. 앞으로는 사용자가 정의한 가드레일 내에서 Continuum이 자체적으로 수행할 수 있는 작업을 결정할 수 있습니다.

위협 행위자는 프론티어 인공 지능(AI) 모델을 사용하여 몇 분 만에 취약성 공개를 실제 작동하는 공격 코드로 전환할 수 있습니다. 개발 속도를 높여주는 동일한 도구로 인해 팀에서 처리해야 하는 조사 결과의 양도 늘어납니다. 조직에서 대규모 애플리케이션 자산을 운영하는 경우 스캐너는 하루에 수천 개의 조사 결과를 생성하며 그중 상당수는 조치가 필요하지 않습니다. 조사 결과에 도달할 수 없거나 이를 악용할 수 없거나 런타임 제어에 의해 이미 완화되었을 수 있습니다. 일반 심각도 점수는 위협 행위자가 실제로 도달할 수 있는 리소스를 알려주지 않으므로, 개발 전용 유틸리티의 위험 점수는 결제 데이터베이스에서 한 단계 떨어진 서비스의 중간 점수와 동일하게 보입니다. 이전에는 조사 결과의 악용 여부를 확인하는 데 몇 시간이 걸렸으며, 확신을 갖고 수정 사항을 제공하려면 보안, 인프라 및 애플리케이션 팀 사이에서 조정하는 데 며칠이 걸렸습니다. 비즈니스 컨텍스트 없이는 변화의 영향 범위를 평가하기 어려웠기 때문입니다. 이러한 격차를 좁히기 위해 Continuum은 어떤 조사 결과가 악용 가능한지 증명하고 제안되는 각 수정 사항의 위험을 제한합니다.

Continuum은 코드 리포지토리와 AWS 환경이라는 두 가지 주요 소스에서 컨텍스트 그래프를 작성합니다. AWS 측에서는 코드가 실행되는 계정과 리전에서 수집기를 설정합니다. 이 수집기는 AWS Config 리소스 및 네트워크 구성과 같은 리소스 세부 정보를 수집하므로, Continuum은 네트워크를 통해 취약성에 도달할 수 있는지와 위협 행위자가 이를 통해 도달할 수 있는 대상을 판단할 수 있습니다. 이 그래프를 통해 Continuum은 어떤 시스템이 비즈니스에 중요한지, 누가 시스템을 소유하고 있는지, 서비스가 서로 어떻게 의존하는지, 서로 어떤 데이터를 다루는지 학습합니다. 이 그림을 사용하여 고객 데이터 저장소, 결제 파이프라인, 인증 서비스 등 가장 가치가 높은 시스템을 식별한 다음, 공격 경로가 해당 시스템에 얼마나 근접했는지에 따라 각 문제의 순위를 매깁니다.

Continuum은 코드 및 환경 컨텍스트를 기준으로 각 조사 결과를 분석하고 취약한 코드 경로의 정적 분석을 통해 입증된 결정과 같은 증거 수준을 할당합니다. 재현할 수 있는 조사 결과의 경우 Continuum은 격리된 샌드박스에서 악용 사례를 실행하고 재현 단계와 함께 개념 증명 코드를 첨부합니다. 그리고 위험 점수만 제공하는 대신, 공격 경로, 지원 소스 분석 및 영향 범위 평가도 생성합니다. 또한 기존 방어 체계가 검증된 경로를 탐지하여 중단시키는지도 평가합니다.

확인된 각 문제에 대해 Continuum은 수정 사항(코드 패치, 종속성 업그레이드 또는 구성 변경)을 생성하고 연결된 리포지토리에서 풀 요청으로 열어 검토할 수 있습니다. 모든 수정 사항에는 사람의 승인이 필요합니다. 사용자가 풀 요청을 검토하고 병합하므로 최종 결정을 팀에 맡길 수 있습니다. 앞으로는 특정 개선 조치 클래스에 대한 신뢰도를 구축할 수 있으며, Continuum이 테스트 적용 범위, 범위 경계, 과거 성공률과 같은 해당 신뢰 게이트를 통과하면 수정 사항을 자동으로 적용하게 할 수 있습니다.

AWS Continuum for code vulnerabilities 활용 사례
이 기능의 작동 방식을 보여드리기 위해 콘솔에서 AWS Continuum을 열고 코드 취약성으로 이동합니다. 문제를 검토하기 전에 먼저 환경을 설정했습니다. 코드 소스(GitHub 통합 또는 Amazon S3 버킷)를 연결한 다음, 선택한 일정에 따라 소스를 스캔하는 환경을 만듭니다. Amazon S3 소스에는 몇 가지 사전 조건이 있습니다. 즉, 버킷은 동일한 계정에 있고 AWS Continuum을 활성화한 AWS 리전에 있어야 하며 AWS Continuum이 수임한 AWS Identity and Access Management(IAM) 역할을 통해 액세스 권한을 부여합니다. 코드가 실행되는 계정 및 리전에 AWS Continuum 수집기를 설정하고 환경에 이를 사용하도록 승인하여 AWS 인프라 컨텍스트를 선택적으로 추가할 수 있습니다. 전체 요구 사항 및 단계는 AWS Continuum 사용 설명서를 참조하세요.

개요 페이지에서는 이러한 부분을 한 곳에 모아 내 코드 통합, 이를 기반으로 구축된 환경, AWS 리소스 컨텍스트를 제공하는 AWS 수집기 상태를 보여줍니다.

환경 중 하나를 엽니다. 문제 탭에는 원시 스캐너 출력 대신, 검증되고 우선순위가 지정된 문제가 나열되며, 각 문제에는 심각도, 상태 및 생성 시간이 함께 표시됩니다. 문제 중 하나를 선택합니다.

개요에서 이 문제의 심각도는 높음이며, 완료 상태이고 개선 조치는 이미 GitHub에 전달된 상태입니다. 위험 평가에서 그 이유를 설명하고 있습니다. Continuum은 악용 가능성을 악용 가능으로 평가하면서, 해당 증거 수준은 정적 검증이고 검증 실행 상태는 완료됨입니다. 공격자가 서비스에 도달 가능하고 인증이 필요 없으며 사용자 상호 작용이 필요하지 않기 때문에 가능성은 높음입니다. 영향은 보통입니다. 즉, 공격자가 비즈니스 데이터를 수정할 수 있는 기회를 얻을 수 있으며, 해당 영향 범위는 동일한 테넌트의 다른 사용자에게 이릅니다. 증명 섹션에는 결정에 대한 소스 분석이 포함됩니다.

개선 조치 섹션에는 GitHub에 풀 요청으로 이미 전달된 수정 사항이 표시됩니다. 카트 서비스 전체에서 50줄이 추가되고 24줄이 제거된 4개의 파일 변경을 보여줍니다. Continuum은 수정 사항을 Continuum 수정 사항 제목의 풀 요청으로 열고 풀 요청 보기를 선택하여 GitHub에서 엽니다. 콘솔은 패치가 생성되어도 문제가 해결된 것은 아니라고 명시합니다. 여전히 제가 검토 및 병합을 진행하기 때문에 최종 결정을 제 팀과 함께 내립니다. 기여 조사 결과 섹션에는 이 문제를 발견한 특정 스캐너 조사 결과가 나열되어 있습니다.

풀 요청 설명에는 콘솔에 표시된 동일한 위험 평가, 개선 조치 요약 및 증명이 포함되어 있으므로, GitHub에서 검토하는 사람은 누구나 워크플로를 벗어나지 않고도 증거를 볼 수 있습니다.

조사 결과 탭에는 환경 전반의 원시 스캐너 조사 결과, 즉 문제를 발견한 증거가 나열되어 있습니다.

스캔 탭에는 각 스캔의 기록(해당 상태, 원본, 요청 및 완료 시간 포함)이 표시됩니다. 스캔 빈도 구성을 사용하여 케이던스를 변경하거나 대기열 스캔을 사용하여 온디맨드로 스캔을 실행합니다. 구성 탭은 제가 환경을 관리하는 곳입니다. 여기에는 읽어오는 코드와 컨텍스트 소스, 해당 코드 통합, Continuum이 개선 조치 패치를 생성하는지와 같은 환경 설정, AWS 컨텍스트에 사용하는 AWS 수집기가 있습니다.

단일 워크플로에서 스캔마다 우선순위에 따라 검증된 문제를 검토하면서, 제가 신뢰할 수 있는 수정 사항을 승인하고 병합하기 전에 각 문제의 증거 및 범위를 검토합니다. 모든 수정 사항은 제가 승인할 때까지 기다려야 하기 때문에 백로그는 계속 줄어들면서 저희 팀은 제공되는 내용을 계속 관리할 수 있습니다.

정식 출시
AWS Continuum for code vulnerabilities는 현재 미국 동부(버지니아 북부) 및 미국 서부(오리건) 리전에서 사용할 수 있습니다. 요금은 요금 페이지를 참조하세요.

자세한 내용은 AWS Continuum for code vulnerabilities 제품 페이지 및 사용 설명서를 참조하세요. 지금 바로 AWS Continuum 콘솔에서 사용해 보고 일반 AWS Support 연락처를 통해 피드백을 보내주세요.

— Esra