AWS Continuum for code vulnerabilities 正式全面啟用

AWS 正式宣布推出 AWS Continuum for code vulnerabilities 服務，該安全工具現已全面開放使用。系統不僅能確認發現的漏洞在特定環境中是否具備可被利用的特性，還會根據業務影響程度對問題進行排名，並針對每個問題提出具體的修復方案。

解決通知過載與驗證困境

開發團隊常面臨漏洞通知過載的挑戰，特別是當組織運行大型應用程式時，掃描器每天可能產生數千項發現，其中許多實際上無需採取行動。傳統上，確認一項發現是否可被利用需耗費數小時的手動調查，而自信地發布修復程式則需跨部門協調數天，因為缺乏業務背景難以評估變更的影響範圍。通用嚴重性評分無法反映威脅行為者實際可達到的資源，例如僅限開發環境的工具若被評為嚴重，看起來會與接近支付資料庫的服務所得到的中等評分相同。

AWS Continuum 透過建立情境圖來解決此問題，該圖表整合了程式碼儲存庫與 AWS 環境的資訊。系統會收集 AWS Config 資源與網路配置等詳細資料，以判斷漏洞是否可透過網路到達，以及威脅行為者從該點能到達什麼。基於此圖表，系統能識別業務關鍵系統（如客戶資料儲存區、支付管線與驗證服務），並根據攻擊路徑與這些高價值系統的距離來排名問題。

證據級別與自動化修復流程

針對每一項發現，Continuum 會根據程式碼與環境情境分析並分配證據級別，例如透過靜態分析證明漏洞程式碼路徑。對於可重現的發現，系統會在隔離沙箱中執行攻擊概念驗證程式碼，並附上重現步驟。輸出內容包含攻擊路徑、支援來源分析與影響範圍評估，而非僅是風險評分，同時也會評估現有防禦措施是否能偵測並阻止已驗證的路徑。

對於每項確認的問題，Continuum 會生成修復程式（包括程式碼修補、相依性升級或設定變更），並在連接的儲存庫中開啟為 Pull Request。目前，所有修復都需經過人工批准，團隊必須審查並合併 Pull Request，以確保最終決策權掌握在團隊手中。未來，使用者可在定義的防護欄內，根據信心閾值（如測試覆蓋率、範圍界限與歷史成功率）讓 Continuum 自動套用特定類別的修復。

控制台操作與區域可用性

在 AWS Continuum 控制台中，使用者可連接 GitHub 整合或 Amazon S3 儲存桶作為程式碼來源，並建立環境以排程掃描。若使用 S3 來源，儲存桶需位於啟用服務的相同帳戶與區域，並透過 IAM 角色授權存取。使用者可選擇性設定 AWS Continuum 收集器以提供 AWS 基礎架構情境。

主頁整合了程式碼整合、建立於其上的環境，以及提供 AWS 資源情境的 AWS 收集器狀態。在「Issues」標籤頁中，列出經驗證與優先排序的問題，包含嚴重性、狀態與建立時間。選擇單一問題後，系統會顯示風險評估，例如可利用性、證據級別、可能性與影響範圍，並提供包含來源分析的證明區塊。修復區塊會顯示已交付至 GitHub 的 Pull Request，詳細列出變更的檔案數與增刪行數。Pull Request 描述中同樣載入風險評估與證明，讓審查者在 GitHub 工作流中即可檢視證據。

此外，「Findings」標籤頁列出原始掃描發現，「Scans」標籤頁顯示掃描歷史與狀態，「Configuration」標籤頁則用於管理環境設定與來源。AWS Continuum for code vulnerabilities 現已於美國東部（維吉尼亞）與美國西部（俄勒岡）區域提供。使用者可前往定價頁面查詢費用，並透過 AWS Support 管道提供回饋。