AWS представила сервис AI-пентеста Continuum для проверки каждого деплоя в CI/CD

Большинство инструментов безопасности, встраиваемых в CI/CD-пайплайн — статический анализ (SAST), анализ состава ПО (SCA) и динамические сканеры (DAST), — выявляют потенциальные проблемы по шаблонам и сигнатурам. Помеченный шаблон лишь показывает, где искать, тогда как пентест подтверждает, действительно ли уязвимость эксплуатируема. Традиционно такое подтверждение получают в рамках периодических проверок по расписанию, а не по факту деплоя, поэтому релизы между проверками уходят в продакшн без подтверждения безопасности. AWS Continuum for penetration testing (ранее AWS Security Agent) — это сервис, использующий AI-агентов для поиска и подтверждения эксплуатируемых уязвимостей в работающих приложениях. AWS предлагает сделать его пост-деплойным гейтом в пайплайне.

Подробности

Гейт запускает пентест, который автоматически ограничивается рамками только что задеплоенного изменения, и может блокировать продвижение в продакшн, если находка достигает или превышает выбранный порог серьёзности. Поскольку каждый запуск тестирует только изменение с момента последнего пройденного гейта, а не всё приложение целиком, проверка достаточно быстра и экономична для запуска на каждом деплое. Поток работы выглядит так: CI/CD-пайплайн деплоит изменение в staging-окружение, затем шаг пентест-гейта аутентифицируется в аккаунте AWS через OpenID Connect (OIDC) и вызывает Continuum for penetration testing, который выполняет ограниченный по Scope тест против staging. Гейт ждёт результата, возвращает его в пайплайн и условно блокирует продвижение в продакшн. Вся логика тестирования выполняется на стороне сервера в аккаунте AWS — на CI/CD-раннере не запускается никакой логики пентеста. Ключевой момент, делающий гейт практичным для каждого деплоя, — привязка теста к изменению. Continuum определяет диапазон коммитов: head — это коммит под гейтом, base — предыдущий коммит, уже прошедший проверку, — и тестирует только то, что изменилось. Тестирование изменения, а не всего приложения, позволяет держать пентест на каждый деплой достаточно быстрым и дешёвым, чтобы он жил в пайплайне, а не в квартальном календаре. Каждый запуск возвращает одно из трёх решений по scope: «in scope» (изменение затронуло поверхность атаки — находки оцениваются), а также иные варианты, определяющие, нужно ли дальше разбирать результаты. Паттерн применим на четырёх основных платформах CI/CD: GitHub Actions, GitLab CI/CD, Bitbucket Pipelines и Azure DevOps Pipelines; в публикации AWS приведён подробный рабочий пример для GitHub Actions.

Что делать

Если вы хотите встроить пентест в каждый деплой, AWS рекомендует: - Развернуть изменение в staging-окружении в рамках пайплайна, а не сразу в продакшн. - Настроить аутентификацию CI/CD в аккаунте AWS через OIDC, чтобы гейт мог вызывать сервис без долгоживущих ключей. - Добавить шаг пентест-гейта после деплоя в staging: он вызывает Continuum for penetration testing, дожидается результата и передаёт его обратно в пайплайн. - Задать порог серьёзности, при котором продвижение в продакшн блокируется. - Использовать привязку теста к диапазону коммитов (head — текущий коммит, base — последний прошедший гейт), чтобы проверять только изменение и не тестировать всё приложение на каждом деплое. - Выбрать реализацию под свою платформу: GitHub Actions, GitLab CI/CD, Bitbucket Pipelines или Azure DevOps Pipelines; для GitHub Actions у AWS есть готовый разобранный пример. Итог: Continuum for penetration testing превращает пентест из редкой внешней проверки в регулярный гейт пайплайна, ограниченный рамками конкретного изменения. Такой подход позволяет подтверждать эксплуатируемость уязвимостей на каждом деплое, не теряя в скорости и стоимости.

Источник: AWS Security Blog