AWS、AIベースのコード脆弱性対応サービス「AWS Continuum」を提供開始

AWSがセキュリティサービス「AWS Continuum for code vulnerabilities」を正式に提供開始したと、5日に発表した。AWS ContinuumはAIを活用し、アプリケーションコードの脆弱性を識別し、脆弱性を検証し、修正パッチを提案する機能を備えている。

今回の提供開始は、最近の攻撃者がフロンティアAIモデルを活用する状況と軌を一にする。脆弱性が公開されてから数分以内に攻撃コード(エクスプロイト)を生成できるだけに、脅威対応の速度が一段と重要になっていることが背景として示された。

同時に、開発環境の静的解析スキャナーでは1日に数千件の警報が発生する。これらの警報の多くは、ランタイム制御で防御可能なものか、実際には到達不可能な誤検知であり、セキュリティチームと開発チームの優先順位選定の負担を高め、優先順位選定に多くの時間と資源を費やさせる状況だ。

既存のCVSS深刻度スコアだけでは、基幹システムへの実際の到達可能性を判断しにくかった。このため、修正パッチ適用前に影響範囲(Blast Radius)を調整する過程で、数日に及ぶボトルネックが生じる限界があった。AWS Continuumの目的は、こうしたギャップを縮小することにある。

AWS Continuumは、実際に悪用可能な脅威を立証し、ビジネス文脈に基づいて優先順位を再定義する機能を備えている。サービスは、顧客のコードリポジトリとAWSインフラ環境を組み合わせたコンテキストグラフ(Context Graph)を生成する方式で動作する。この過程でAWS Configとネットワーク構成情報を収集する。

このサービスは、脆弱性の外部ネットワークからのアクセス可能性と、データベース・決済パイプライン・認証システムなど高価値資産までの到達経路を分析する。また、脆弱性の悪用可能性を立証するため、隔離されたサンドボックス環境で再現テストを実施する。これを基に、概念実証(PoC)コードと再現手順を提供する。

分析結果は単なるスコアではなく、実証的な証拠に基づく性格を持つ。AWS Continuumはこれによって優先順位を再判断すると同時に、顧客の既存の防御体制が当該攻撃経路を遮断できるかどうかも評価する。

AWS Continuumは、検証済みの脆弱性に対する対処案を開発者の日常的なワークフローと連携させる形で届ける。AWS Continuumが生成する修正案には、コードパッチ、依存ライブラリのアップグレード、環境構成の変更が含まれる。修正案はGitHubリポジトリPR方式で登録される。

その後、すべての修正手続きは、担当開発者がリスク評価と根拠を確認したうえで承認し、Mergeする構造で進む。この設計の目的は、運用安定性を担保することにある。

AWSは今後、顧客定義のガードレール基準を満たす場合に、自律機能を段階的に支援する計画である。ガードレールの例としては、テストカバレッジと過去の成功率が示された。自動反映の対象は、信頼性が確認されたパッチ種別に限定される。

AWS Continuumコンソールでは、GitHub連携スキャン環境の構成とAmazon S3バケットソース指定スキャン環境の構成が可能である。また、コンソールはビジネス影響度・攻撃経路を組み合わせた精緻化されたイシュー一覧を提供する。これは、比較対象である単純な生の警報一覧とは異なる情報である。

出典：IT DAILY · クォン・ヨンソク 原文：https://www.itdaily.kr/news/articleView.html?idxno=242712

参考資料

• https://www.itdaily.kr/news/articleView.html?idxno=242712