AWS Continuum retter kodesårbarheter med KI: 200 dollar per million linjer, men bare i USA
AWS har gjort Continuum for kodesårbarheter generelt tilgjengelig. Tjenesten beviser hvilke funn som kan utnyttes og foreslår retting som et menneske godkjenner. Prisen er nå oppgitt, men tjenesten finnes foreløpig bare i to amerikanske regioner.
Amazon Web Services har gjort AWS Continuum for code vulnerabilities generelt tilgjengelig. Tjenesten leter etter sårbarheter i virksomhetens kode, prøver å bevise hvilke som faktisk kan utnyttes, og leverer forslag til retting som pull requests. AWS publiserte kunngjøringen torsdag 22. oktober klokken 22.33 norsk tid.
For ledere er to ting viktigst. Prisen er nå oppgitt, med en fast månedsavgift per million kodelinjer og en avgift per utført sikkerhetsjobb. Og tjenesten er foreløpig bare tilgjengelig i to amerikanske AWS-regioner, noe norske virksomheter må vurdere før kildekode og miljødata kobles på.
Hva AWS lanserer
Ifølge AWS bygger Continuum en kontekstgraf fra to kilder: kodelagrene og AWS-miljøet. Koden kobles til via en GitHub-integrasjon eller en Amazon S3-bøtte. For AWS-miljøet setter kunden opp en innsamler i kontoen og regionen der koden kjører. Den henter blant annet ressursdata fra AWS Config og nettverksoppsett, slik at tjenesten kan vurdere om en sårbarhet kan nås over nettet og hva en angriper kan nå videre.
AWS beskriver at tjenesten bruker dette bildet til å finne de mest verdifulle systemene, som kundedata, betalingsløp og autentisering. Hvert funn rangeres etter hvor nær angrepsveien går disse systemene, ikke bare etter en generell alvorlighetsgrad.
For funn tjenesten kan gjenskape, kjører Continuum utnyttelsen i en isolert sandkasse og legger ved kode som viser at angrepet virker, med steg for å gjenskape det. Hvert bekreftet problem får et forslag til retting: en kodeendring, en oppgradering av en avhengighet eller en konfigurasjonsendring.
Mennesket godkjenner, foreløpig
Ifølge AWS starter all retting i en modus der Continuum foreslår og et menneske godkjenner. Forslaget kommer som en pull request i kundens kodelager, og teamet må selv gå gjennom og flette den inn. AWS skriver at konsollen er tydelig på at en generert retting ikke betyr at problemet er løst.
AWS oppgir også at kundene senere skal kunne la Continuum utføre bestemte typer retting selv, innenfor rammer kunden setter, når krav som testdekning, avgrenset omfang og historisk treffsikkerhet er oppfylt. Det er en varslet funksjon, ikke noe som er tilgjengelig nå. Kunngjøringen oppgir ingen dato.
Pris og regioner
Prissiden for tjenesten beskriver to prisdimensjoner. Den første er en månedlig kontekstavgift på 200 dollar per million beskyttede kodelinjer for de første ti millionene, med lavere sats for større kodebaser. Den andre er en inferensavgift på 10 dollar per «Continuum inference unit», enheten AWS bruker for sikkerhetsarbeidet tjenesten utfører.
AWS sitt eget regneeksempel viser hvor kostnaden ligger. En kodebase på én million linjer med 100 behandlede sårbarheter gir 200 dollar i kontekstavgift og 1000 dollar i inferens, til sammen anslagsvis 1200 dollar i måneden. AWS understreker at faktisk forbruk per sårbarhet varierer. Det betyr at volumet av funn, ikke størrelsen på koden, ofte vil styre regningen.
Tjenesten er tilgjengelig i US East (N. Virginia) og US West (Oregon). Kunngjøringen sier ikke når den kommer til europeiske regioner. For en S3-kilde må bøtta ligge i samme konto og region som tjenesten, og tilgangen gis gjennom en IAM-rolle som Continuum overtar.
Hva ledere bør se på
Det første spørsmålet er hvor koden og miljødataene skal behandles. Med bare amerikanske regioner tilgjengelig må virksomheter med krav til datalokasjon avklare om kildekode, konfigurasjon og funn kan sendes dit, og hva databehandleravtalen med AWS dekker.
Det andre er tilgang. Continuum trenger lesetilgang til kode og innsyn i nettverk og ressurser i AWS-kontoen. Sikkerhetsansvarlig bør avgrense hvilke kontoer og kodelagre som kobles på, og hvem som kan godkjenne rettingene som kommer inn.
Det tredje er budsjett. Inferensavgiften gjør kostnaden variabel. Et pilotprosjekt på én avgrenset kodebase gir et bedre grunnlag for anslag enn AWS sine eksempler.
Det er AWS som oppgir funksjonene, prisene og regionene over. hogby.ai har ikke testet tjenesten. AWS omtalte tidligere i oktober at sikkerhetsagenten deres er blitt en del av Continuum. Lanseringen nå gjelder den delen av tjenesten som tar seg av sårbarheter i kode.
Kilder og medier
- AWS News Blog: AWS Continuum for code vulnerabilities is now generally available
- AWS: Prisside for AWS Continuum
- AWS-dokumentasjon: What is AWS Continuum?
Kilde: AWS.
Illustrasjon: KI-generert med Grok Bot / hogby.ai
