AWS Continuum for code vulnerabilities זמינה כעת באופן כללי ומנסה לפתור בעיה מוכרת בצוותי אבטחה: סורקים מוצאים אלפי חולשות, אבל לא תמיד ברור אילו מהן באמת ניתנות לניצול בסביבת הייצור ואילו הן בעיקר רעש.
מה AWS Continuum עושה אחרת
השירות בונה גרף הקשר שמחבר בין מאגרי הקוד לבין משאבי AWS וההרשאות בפועל. במקום להסתפק בזיהוי ספרייה פגיעה או דפוס קוד מסוכן, הוא בוחן מסלולי תקיפה אפשריים, את תנאי הניצול ואת ההשפעה העסקית. לפי AWS, האימות עשוי לכלול גם הרצה בסביבה מבודדת כדי לבדוק אם מסלול הניצול אכן עובד.
- תעדוף לפי יכולת ניצול: הממצאים מדורגים לפי הקשר, חשיפה ו-Blast Radius, לא רק לפי חומרת CVE.
- חיבור בין קוד לענן: אפשר לחבר מקור קוד מ-GitHub או מ-Amazon S3, ובאופן אופציונלי לפרוס Collector בחשבון AWS.
- תיקון מוכן לבדיקה: השירות מציע Patch או Pull Request, אך בשלב הנוכחי משאיר את האישור וההטמעה בידי אדם.
- פריסה אזורית: השירות הושק ב-US East (N. Virginia) וב-US West (Oregon).
למי זה שימושי
הערך המרכזי הוא לצוותי AppSec, DevSecOps ו-Cloud Security שמתמודדים עם עומס ממצאים ועם פער בין תמונת הקוד לתצורת הענן. כאשר ספרייה פגיעה אינה חשופה למסלול קלט, או כשהמשאב מבודד בהרשאות וברשת, היא עשויה לקבל עדיפות נמוכה יותר. לעומת זאת, חולשה פחות בולטת עם נתיב אמיתי לנתונים רגישים עשויה לעלות לראש התור.
מה חשוב לבדוק לפני הטמעה
מומלץ להתחיל במאגר מוגדר, להשוות את התוצאות לכלי הסריקה הקיימים ולבחון את איכות הראיות לכל ממצא. תיקון אוטומטי צריך להישאר מאחורי בדיקות, Review ואישור אנושי. בנוסף, יש להגדיר במדויק אילו מאגרים וחשבונות הענן נחשפים לשירות ומהי מדיניות שמירת הנתונים.
מקורות: AWS News Blog; AWS What’s New.
קרדיט תמונה: U.Lucas Dubé-Cantin / Pexels. מקור: Pexels. רישיון Pexels Free מתיר שימוש באתר, בסושיאל ובקמפיינים שיווקיים וכן עריכה; אין בכך חסות או שיוך מצד היוצר.
