AWS Continuum კოდის სისუსტეებს პოულობს და ასწორებს

Amazon Web Services-მა თავის უსაფრთხოების სერვის AWS Continuum-ში კოდის სისუსტეების აღმოჩენისა და გამოსწორების ფუნქცია საყოველთაოდ ხელმისაწვდომი გახადა. ის ამოწმებს, შესაძლებელია თუ არა აღმოჩენილი სისუსტეების რეალურად გამოყენება, პრიორიტეტს ანიჭებს მათ შესაძლო ბიზნესზეგავლენის მიხედვით და გამოსწორების გზებს სთავაზობს.

AWS-ის განცხადებით, ხელოვნურ ინტელექტზე დაფუძნებული სერვისი მრავალრიცხოვან სკანირების შედეგებში უსაფრთხოების რეალურად მნიშვნელოვან პრობლემებს გამოარჩევს. მაგალითად, სისუსტე შეიძლება ქსელიდან მიუწვდომელი იყოს ან არსებული დაცვის ზომები უკვე ამცირებდეს მის საფრთხეს. ზოგადი სიმძიმის შეფასება ამ განსხვავებებს ვერ ასახავს.

Continuum კოდის საცავებიდან და AWS-ის გარემოდან მიღებულ ინფორმაციას კონტექსტურ გრაფში აერთიანებს. გრაფი, სხვა საკითხებთან ერთად, ასახავს სერვისებს შორის დამოკიდებულებებს, პასუხისმგებლობებსა და მონაცემებზე წვდომას. სურვილის შემთხვევაში, მომხმარებელს შეუძლია დააყენოს შემგროვებელი, რომელიც AWS-ის ანგარიშსა და აპლიკაციის რეგიონში რესურსებისა და ქსელის კონფიგურაციის შესახებ ინფორმაციას აგროვებს. ამ მონაცემებით სერვისი აფასებს, შეუძლიათ თუ არა თავდამსხმელებს სისუსტემდე მიღწევა და კიდევ რომელ რესურსებზე ექნებათ იქიდან წვდომა.

პრიორიტეტების განსაზღვრისას Continuum ითვალისწინებს, რამდენად ახლოს მიჰყავს შესაძლო თავდასხმის გზა ბიზნესისთვის კრიტიკულ სისტემებთან. AWS ასეთ სისტემებად ასახელებს, მაგალითად, მომხმარებელთა მონაცემთა ბაზებს, გადახდის პროცესებსა და ავთენტიფიკაციის სერვისებს. ამის შედეგად, იზოლირებულ დეველოპერულ ხელსაწყოში აღმოჩენილი სისუსტე შეიძლება ნაკლებად გადაუდებელი იყოს, ვიდრე დაბალი სიმძიმის მქონე სისუსტე სერვისში, რომელსაც სენსიტიურ მონაცემებზე წვდომა აქვს.

შეფასებისთვის Continuum იკვლევს დაზიანებულ კოდსა და მის გარემოს. თითოეულ შედეგს სერვისი ურთავს მითითებას, თუ რა სახის მტკიცებულება მოიპოვა, მაგალითად, მოწყვლადი კოდის გზის სტატიკური ანალიზი. თუ Continuum სისუსტის გამეორებას შეძლებს, ექსპლოიტს იზოლირებულ სავარჯიშო გარემოში უშვებს და თან ურთავს კონცეფციის დამადასტურებელ კოდსა და გამეორების ნაბიჯებს. შესაბამისად, ყველა დადასტურებული აღმოჩენა შესრულებულ ექსპლოიტს არ ეფუძნება.

მხოლოდ რისკის ქულის ჩვენების ნაცვლად, სერვისი აღწერს თავდასხმის გზას, კოდის ანალიზსა და შესაძლო ზიანის მასშტაბს. AWS-ის ცნობით, ის ასევე ამოწმებს, შეძლებდა თუ არა არსებული დაცვის ზომები დადასტურებული თავდასხმის აღმოჩენასა და შეჩერებას. კონსოლში შემოწმებული და პრიორიტეტებად დალაგებული უსაფრთხოების პრობლემები სკანირების დაუმუშავებელი შედეგებისგან ცალკე ჩანს.

დადასტურებული პრობლემებისთვის Continuum გამოსწორების ვარიანტებს ქმნის: კოდის პატჩებს, დამოკიდებულებების განახლებებს ან კონფიგურაციის ცვლილებებს. დაკავშირებულ GitHub-ის საცავში სერვისი მათ pull request-ის სახით წარადგენს. მოთხოვნის აღწერა ასევე შეიცავს რისკის შეფასებასა და მტკიცებულებებს, რომელთა გადამოწმებაც შემმოწმებლებს პირდაპირ GitHub-ში შეუძლიათ. საბოლოოდ, ცვლილება ადამიანმა უნდა შეამოწმოს და განახორციელოს.