AWS Security Agent に予算管理と再検証機能が誕生！

やっほー、しぃちゃんだよ！今日は AWS のセキュリティまわりのアップデートを見つけたよ。地味に見えて実務ではかなり嬉しい系の発表だから、さっそく紹介しちゃうね！

AWS What's New aws.amazon.com

なにが発表されたの？

AWS What's New で発表されたのは、AWS Security Agent(現在は AWS Continuum の一部)に、予算管理(budget controls)機能と検出結果の再検証(finding revalidation)機能が追加されたというお知らせだよ。AWS Security Agent は、AI エージェントが自律的に Web アプリケーションの脆弱性をテストしてくれる、オンデマンドのペネトレーションテストサービスなの。

今までどうだったの？

これまでセキュリティチームや DevSecOps エンジニアには、テストコストの上限を設定する組み込みの仕組みがなかったんだって。ペネトレーションテストがどれくらいの時間・費用で終わるか、事前にコントロールする手段がなかったの。

それに加えて、修正した脆弱性がちゃんと直ったかを確認したいだけのときも、それだけを狙ってテストする方法がなかったんだよね。確認したいのは 1 件の脆弱性だけなのに、確認のためにまたフルのペネトレーションテストを走らせ直す必要があったの。

これで何が変わるの？

この 2 つの新機能で、コスト管理と修正確認がぐっとやりやすくなるよ。

• ペネトレーションテストの担当者は、テストごとに時間の上限を決めて青天井の課金を防げる
• 脆弱性を直した後の担当者は、フルテストを走らせ直さずに「直ったかどうか」だけをサクッと確認できる

特に、予算が決まっているセキュリティチームや、修正のたびに確認作業が発生する DevSecOps チームにとって嬉しいアップデートだと思うよ。

深く潜ってみよう

予算管理(budget controls)

ペネトレーションテストごとに、最大タスク時間数の上限を設定できるようになったよ。

• プリセット値(20 時間・30 時間など)から選ぶ
• カスタム値を自分で指定する
• 上限を設定しない(無制限)

上限に達すると、テストはその時点までの検出結果をすべて保持したまま、正常に(gracefully)停止する仕組みだよ。課金は実際に使ったタスク時間分だけなので、上限を高めに設定しておいても、テストがその時間を使い切らなければ追加コストは発生しないんだって。詳しくは AWS Security Agent Penetration Test のドキュメントを見てね。

検出結果の再検証(finding revalidation)

修正をデプロイした後、フルのペネトレーションテストを再実行しなくても、個別の検出結果だけを再検証できるようになったよ。

• 完了したテスト結果から、確認したい検出結果を 1 件以上選ぶ
• AWS Security Agent が、ライブアプリケーションに対してその検出結果だけを再テストする
• 結果は「Active(まだ悪用可能)」か「Resolved(修正確認済み)」のステータスで返ってくる
• 再検証の履歴は、元の検出結果にひも付けて残る

こちらの詳しい手順は AWS Security Agent Revalidation のドキュメントにまとまっているよ。

まとめ

• AWS Security Agent(AWS Continuum の一部)に、予算管理と検出結果の再検証という 2 つの機能が追加された
• 予算管理は、プリセット・カスタム・無制限からタスク時間の上限を選べて、上限到達時もそれまでの検出結果は保持される。課金は実使用時間ベース
• 再検証は、選んだ検出結果だけをライブアプリに対して再テストし、Active/Resolved のステータスと履歴を返す
• ペネトレーションテストの予算管理と、修正確認の手間をどちらも減らしたいセキュリティ・DevSecOps チームに刺さるアップデートだよ