AWS Continuum とは何か

Transcript

1. AIニュース（2026年10月） AWSコードの脆弱性を、確かめてから直すサービス Continuum とは何か 赤神 青空
2. ▪AWS がコードの脆弱性を、確かめてから直すサービスを 何が出たか GA に AWS Continuum for code vulnerabilities 2026年10⽉22⽇に⼀般提供（GA） ⾒つける 攻撃できるか確かめる 修正を出す 6⽉に発表、プレビューを経て⼀般提供 コードの脆弱性の機能は、バージニア北部とオレゴンの2つ（東京はまだ） Continuum には、ペネトレーションテストなど別の機能もある 今ココ 概要 2/14
3. ▪候補が多く、確かめるのも直すのも時間がかかる 何に困っていたか ⾒つかる候補が多すぎる スキャナーは1⽇に何千件も出すことがあり、多くは⼿を打たなくてよいもの 重要度の点数だけでは、攻撃者が実際に届くかは分からない 本当に攻撃できるか、確かめるのに時間がかかる 1件ずつ⼈が調べると、何時間もかかる ⾃信を持って直すまでに、⽇数がかかる チームをまたいで調整するので、修正が出るまで何⽇も 今ココ 概要 3/14
4. ▪文脈のグラフ 全体の流れ → 攻撃できるか確かめる → 修正をプルリクで ① ⽂脈のグラフ コードと AWS の環境を 読んで、つながりを知る ② 攻撃できるか確かめる 隔離した環境で 再現できるかを試す ③ 修正をプルリクで ⼈が承認してから 取り込む ⾒つけるだけでなく、確かめて、直すまで スキャナーの指摘をそのまま並べるのではなく、 本当に危ないものを選び、証拠と修正を付けて届ける 今ココ しくみ 4/14
5. ▪コードと①AWS文脈のグラフ の環境から、大事なシステムを知る 読み込むもの コード GitHub とつなぐか、 Amazon S のバケットに置く 分かること ⼤事なシステムと、その持ち主 サービスどうしのつながり どのデータに触るか AWS の環境（コレクター） コードが動くアカウントに置き、 Config のリソースやネットワーク設定を集める 今ココ しくみ ⼤事なシステムに近い順に並べる 顧客データ‧決済‧認証など 5/14
6. ▪隔離した環境で、実際に試して証拠を付ける ② 攻撃できるか確かめる 証拠の強さを付ける コードと環境の⽂脈から、1件ずつ調べる 例：脆弱なコードの経路を、静的解析で確かめた（Static proven） 再現できるものは、隔離した環境で実際に試す サンドボックスで攻撃を動かし、 再現のコード（PoC）と⼿順を付ける 攻撃の経路と、影響の範囲 今ある守りで、その経路が検知‧阻⽌されるかも⾒る 今ココ しくみ 6/14
7. ▪パッチ・依存の更新・設定の変更を、説明付きで出す ③ 修正をプルリクで 修正の形は3つ コードのパッチ 依存パッケージの更新 設定の変更 プルリクエスト「Continuum fix」 リスクの評価（どこまで届くか‧どれだけ影響するか） 修正の要約と、攻撃できることの証拠 今ココ しくみ 7/14
8. ▪自動で直すのは、これからの機能 いまは人が承認する いま（GA の時点） これから どの修正も、承認するモードから始まる ⾃分で動いてよい範囲を選べるようになる Continuum が修正を出し、⼈が承認する 決まった種類の修正を⾃動で当てる 取り込むのは、いつもの流れで 条件：テスト‧変更の範囲‧成功率 AWS のブログでは、⾃動は「これから」の機能 今ココ しくみ 8/14
9. ▪守るコードの行数と、推論の単位で払う 料金 ⽂脈の料⾦（毎⽉） 推論の料⾦ 守るコードの⾏数で決まる 1,000万⾏を超えると、1⾏あたりは安くなる Continuum がする作業の量で決まる 1単位でどれだけ動くかは書かれていない 100万⾏あたり 200ドル 1単位 10ドル 料⾦のページの例（いちばん⼩さい例） 100万⾏‧⽉100件‧1件1単位 → 200ドル ＋ 1,000ドル ＝ ⽉1,200ドル 件数が増えるほど、推論の料⾦が⼤きくなる 今ココ しくみ 9/14
10. ▪調べる対象・確かめ方・届け方が違う OSS Scanner と比べると OSS Scanner（Anthropic） Continuum（AWS） 何を調べるか 申し込んだ重要なオープンソース ⾃分のコードと AWS の環境 どう確かめるか 再現の⼿順を付ける（⼈は通さない） 隔離した環境で試し、証拠を付ける どう届けるか‧費⽤ メールで報告（修正案も）‧無料 プルリクで修正‧有料 今ココ 比較 10/14
11. ▪リージョン・レビュー・料金 使うときの注意 コードの脆弱性の機能は、2つのリージョン バージニア北部とオレゴン。S に置くコードも同じアカウント‧リージョン 東京で動いている環境を、そのまま読ませられるかは確かめてから 修正のプルリクが出ても、直ったとは限らない レビューしてマージするのは、いつもどおりチームの仕事 推論の料⾦を⾒積もってから 料⾦のページの⼤きい例では、合計の9割ほどが推論の料⾦ 今ココ 比較 11/14
12. ▪見つけるだけでなく、攻撃できるかを確かめて、修正まで出す まとめ ⾒つけて、確かめて、直すまで 仕組み 攻撃できるかを、隔離した環境で試す 確かめる コードと AWS の環境を読み、⼤事なシステムに近い順に並べる 証拠を付けて、修正をプルリクで出す いまは⼈が承認する。リージョンと料⾦も確かめる ⾃動で直すのは、これからの機能 今ココ まとめ 注意 12/14
13. ▪一度止めて考えてみてください。答えは次のページで 今回のクイズ GA の時点で、Continuum が修正を届ける形はどれ？ A 自動で本番に反映する 今ココ まとめ B プルリクを出し、人が 承認する C 担当者にメールで送る D 問題を一覧にするだけ 13/14
14. ▪どの修正も承認するモードから始まり、プルリクを人が承認する クイズの答えは「B」 今回のクイズ GA の時点で、Continuum が 修正を届ける形はどれ？ どの修正も承認するモードから 始まり、プルリクを⼈が承認して から取り込む 答えは B 今ココ まとめ A ⾃動で本番に反映する ⾃動で当てるのは、これからの機能 B プルリクを出し、⼈が承認する GA の時点の形 C 担当者にメールで送る メールで届くのは、OSS Scanner の報告 D 問題を⼀覧にするだけ パッチ‧依存の更新‧設定の変更まで出す 14/14