AWS Continuum автоматизирует пентесты в CI/CD для поиска уязвимостей

AWS Continuum автоматизирует пентесты в CI/CD

AWS Continuum для тестирования на проникновение интегрируется в конвейеры непрерывной интеграции и доставки (CI/CD). Сервис использует ИИ-агентов для поиска и подтверждения эксплуатируемых уязвимостей в работающих приложениях. Инструмент работает как этап после развертывания, запуская пентест, автоматически ограниченный изменениями в последнем развертывании. Он может блокировать продвижение кода в продакшен при обнаружении уязвимостей, превышающих заданный порог серьезности. Тестирование проводится только для изменений с момента последнего успешного этапа, что делает его быстрым и экономичным для каждого развертывания. Интеграция поддерживается на GitHub Actions, GitLab CI/CD, Bitbucket Pipelines и Azure DevOps Pipelines.

Тестирование ограничивается изменениями в коде

Практичность запуска пентеста при каждом развертывании обеспечивается ограничением области тестирования. Continuum определяет диапазон коммитов — от предыдущего проверенного до текущего — и тестирует только измененные участки кода. Такой подход позволяет проводить тестирование быстро и недорого, в отличие от периодических проверок всего приложения. Результатом каждого запуска является одно из трех решений: «в области» (изменения затронули поверхность атаки, уязвимости оцениваются по порогу), «вне области» (изменения не затронули безопасность, конвейер проходит) или «конфликт области» (изменения вышли за пределы настроенной области и не тестировались, решение о блокировке принимает пользователь). Консоль Continuum записывает решение и диапазон коммитов. Блокировка конвейера означает наличие воспроизводимой уязвимости в изменениях, требующей исправления перед продвижением.

Настройка этапа пентеста

Настройка этапа включает три шага: конфигурация пентеста, создание роли AWS Identity and Access Management (IAM) для конвейера и добавление этапа в конвейер. Для начала требуется учетная запись AWS с правами на создание OIDC-провайдера и роли IAM, а также доступная для тестирования среда staging. Пентест настраивается в Agent Space с включенным режимом CI/CD. Аутентификация происходит через OIDC-федерацию, исключая хранение долгоживущих ключей доступа AWS. Роль IAM состоит из политики доверия, определяющей, какие конвейеры могут ее использовать, и политики разрешений, определяющей действия после ее получения. При настройке политики доверия можно ограничить доступ конкретной веткой или средой развертывания. Для GitHub Actions, созданных или переименованных после 15 июля 2026 года, используется неизменяемый sub claim с числовыми идентификаторами. Этап пентеста в конвейере должен быть привязан к неизменяемой версии (тег релиза, SHA коммита или версия компонента). Перед использованием рекомендуется запустить этап в режиме сухой проверки (dry-run) для валидации аутентификации и разрешений без запуска самого теста. В примере для GitHub Actions этап security-pentest требует разрешения contents: write для обновления базовой отметки в репозитории. Продолжительность сессии роли AWS STS должна превышать время выполнения пентеста.