AWS تطلق Continuum لثغرات الشيفرة البرمجية في منطقتين

أعلنت AWS حديثاً عن الإتاحة العامة لخدمة Continuum لثغرات الشيفرة البرمجية في منطقتي US East (N. Virginia) وUS West (Oregon). وتأتي هذه الإتاحة بعد نسخة تجريبية مقيّدة بدأت قبل أربعة أشهر.

صُممت Continuum لتحديد ثغرات الشيفرة البرمجية والتحقق منها، وتقديم الإصلاحات إما كتصحيحات آلية أو كـ pull requests في المستودعات المتصلة. وتبني الخدمة رسم بياني سياقي من هذه المستودعات وبيئة AWS المحيطة، مع جامع اختياري يوفّر سياق الموارد والشبكة من بيئة تشغيل الشيفرة.

وبحسب إسرا كايابالي، كبير مهندسي الحلول في AWS، تعالج الخدمة تحدّي إدارة العدد الكبير من نتائج الثغرات التي تواجهها المؤسسات. وأكد سوامي سيفاسوبرامانيان، نائب الرئيس للذكاء الاصطناعي الوكيلي، أن كثيراً من المؤسسات تواجه آلاف النتائج يومياً، ما قد يرهق الفرق.

وبدلاً من مجرد ترتيب الثغرات حسب الخطورة، تتحقق Continuum من النتائج عبر تنفيذ exploits في sandbox معزولة. وتوفّر هذه العملية شيفرة إثبات المفهوم إلى جانب خطوات إعادة الإنتاج. وتُصنّف النتائج حسب مستوى الأدلة، الذي يشمل تقييمات مسارات الهجوم والتأثير المحتمل.

يتكوّن هيكل تسعير Continuum من مكوّنين: رسم سياق يعتمد على أسطر الشيفرة المحمية شهرياً، ويبدأ من 200 دولار لكل مليون سطر، ورسم استدلال قدره 10 دولارات لكل وحدة استدلال Continuum للنتائج المعالجة. فعلى سبيل المثال، تكلّف حالة تضم مليون سطر من الشيفرة و100 ثغرة نحو 1200 دولار، بينما قد تصل قاعدة شيفرة أكبر من 100 مليون سطر مع 10 آلاف ثغرة إلى نحو 218200 دولار.

وأثارت ملاحظات المجتمع أسئلة حول قدرة الخدمة على تأكيد أن ثغرة ما قابلة للاستغلال في بيئة محددة. وأشار برناردو ميريليس كوريا، مهندس في Avatier، إلى أن التحقق في sandbox يشير إلى قابلية الاستغلال، لكنه لا يضمن وجود الثغرة في بيئة المستخدم.

ويمكن للجامع الاختياري في Continuum المساعدة في تقييم إمكانية الوصول عبر جمع إعدادات موارد وشبكة AWS، وإن كان ذلك يتطلب إعداداً إضافياً. غير أن التعامل مع النتائج غير المؤكدة يظل مصدر قلق، إذ لا توضح وثائق AWS مصير هذه النتائج.

المصدر: InfoQ