AWS Continuum 正式上线代码漏洞检测与修复功能

关闭提示

本文也有英文版本。

本文在技术协助下翻译，并在发布前经过编辑审校。

。

亚马逊云科技（Amazon Web Services）已将其安全服务 AWS Continuum 中检测和修复代码漏洞的功能正式开放使用。该功能会核查扫描发现是否确实可被利用，按可能的业务影响对其进行优先级排序，并提出修复建议。

广告后继续阅读

根据 AWS 的正式开放使用公告，这项由 AI 驱动的服务应有助于从大量扫描器发现中筛选出真正相关的安全问题。例如，某个漏洞可能无法通过网络触达，或者已被现有防护措施消解。仅凭一个通用的严重程度评级无法反映这类差异。

代码与基础设施决定优先级

Continuum 在上下文图中将来自代码仓库和 AWS 环境的信息关联起来。它主要刻画服务之间的依赖关系、职责归属以及对数据的访问。可选配置的收集器会在应用程序所在的 AWS 账户和区域中采集资源信息和网络配置。借此，该服务应能判断攻击者是否能够触达某个漏洞，以及从那里还能访问哪些其他资源。

在优先级排序时，Continuum 会考虑某条可能的攻击路径距离业务关键系统有多近。AWS 举例说，这包括客户数据库、支付流程和身份验证服务。因此，一个孤立开发工具中的漏洞，其紧迫性可能低于某个可访问敏感数据的服务中被评为较低等级的发现。

静态分析与漏洞利用作为证据

为进行评估，Continuum 会检查受影响的代码及其环境。对于每个结果，该服务都会说明存在何种证据，例如对易受攻击代码路径的静态分析。如果 Continuum 能够复现某个漏洞，它会在隔离沙箱中执行该漏洞利用，并附带概念验证代码和复现步骤。因此，并非每个已确认的发现都基于实际执行的漏洞利用。

该服务不只输出一个风险值，还会记录攻击路径、底层代码分析以及攻击可能波及的范围。据 AWS 称，它还会检查现有防护措施是否会识别并阻止已确认的攻击。在控制台中，经过验证并已排定优先级的安全问题会与未经处理的扫描器发现分开显示。

广告后继续阅读

修复需要人工批准

对于已确认的问题，Continuum 会生成修复建议：代码补丁、依赖项更新或配置更改。在已连接的 GitHub 仓库中，该服务会以拉取请求的形式提供这些建议。其描述还包含风险评估和证据，使审查者可以直接在 GitHub 中核查。最终，必须由人工负责人审核并实施更改。

作为代码来源，Continuum 支持 GitHub 和 Amazon S3。使用 S3 时，存储桶必须与启用 Continuum 的 AWS 账户和区域相同；该服务通过 IAM 角色获得访问权限。扫描可以定时启动，也可以按需启动。AWS 仅承诺未来会实现自动应用某些修复。为此，用户应能设定界限，例如依据测试覆盖率、更改范围和此前的成功率。

上线之初，该代码漏洞功能在 AWS 美国东部（弗吉尼亚北部）和美国西部（俄勒冈）区域提供。Continuum 如今还包括 2025 年底推出的 AWS Security Agent，它主要检查设计文档和拉取请求中的安全风险，并按需提供渗透测试。

(fo)