AWS Continuum for code vulnerabilities が一般提供開始！ 機械の速さで脆弱性を修正

みんな、しぃちゃんだよ！

AWS What's New aws.amazon.com

AWS の What's New に、セキュリティの大きな新顔が載っていたよ！

なにが発表されたの？

AWS の What's New で、AWS Continuum for code vulnerabilities の一般提供が発表されたよ。コードの脆弱性を、機械の速さで見つけ、検証し、優先度づけして、修正するサービスなの。

同じ日に AWS Blog でも詳しい解説が出ているよ。ここでは What's New の告知の内容を中心に紹介するね。

なぜ重要なの？

脆弱性の検出結果は数が多くて、どれが本当に危ないのかを見分けるのが大変だよね。Continuum は「どのリソースがアプリの一部か」「どの検出結果が本当にビジネスリスクか」を把握して、そこを絞り込むことを目指しているよ。

これで何が変わるの？

検出から修正までの流れが、ひと続きで進むようになるよ。

• 既存の脆弱性の検出結果を取り込む
• コードをスキャンする
• 隔離されたサンドボックスで、悪用可能かどうかを確認する
• ビジネスへの影響度で優先度づけする
• 悪用の証拠と影響範囲の評価を添えて、修正パッチを PR として開発者のワークフローに直接届ける

深く潜ってみよう

• コンテキストグラフは、リソースのトポロジー、ID の関係、ネットワークの到達可能性など、AWS 環境から作られる
• タスクごとに、適した AI モデルを選ぶ
• 最初は Learn モードで、Continuum が提案する修正を人が承認する。精度への信頼が十分に積み上がったら Enforce モードに切り替えて、自分で決めたガードレールの範囲内で自律的に動かせる
• Amazon GuardDuty や AWS Security Hub など、既存の AWS セキュリティサービスと並べて使える
• 提供リージョンは、AWS のリージョン表で確認する形だったよ

(補足: 同日の AWS Blog の解説では、現時点ではすべての修正に人の承認が必要で、自律的な動作は将来の機能として説明されているよ。)

まとめ

• コードの脆弱性の発見、検証、優先度づけ、修正を一貫して行うサービスが GA
• コンテキストグラフと、サンドボックスでの悪用確認で、本当にリスクのある問題を絞り込む
• 悪用の証拠と影響範囲つきの修正が PR で届く
• GuardDuty や Security Hub と一緒に使える

脆弱性対応の工数に悩んでいるセキュリティチームに刺さるよ！