Semáforo UOL: Oportunidad
AWS lanzó la versión general de Continuum, que prueba qué vulnerabilidades pueden aprovecharse y propone el parche; sirve de guía también para quien no usa AWS.
Amazon Web Services anunció el 22 de octubre que Continuum para vulnerabilidades de código está disponible de forma general. El servicio confirma en un entorno aislado cuáles de los fallos detectados pueden explotarse de verdad, los ordena por impacto en el negocio y propone la corrección. Había sido presentado en junio, en vista previa con acceso por solicitud.
Qué pasó
Según el anuncio, Continuum arma un mapa del entorno de la empresa en AWS: qué recursos existen, qué identidades tienen permisos sobre ellos y qué está expuesto en la red. Sobre esa base incorpora los hallazgos que ya generan otras herramientas, escanea el código y prueba cada caso en un «sandbox», un espacio aislado donde se puede ensayar sin tocar los sistemas reales.
Cuando un fallo se confirma, el servicio envía el parche como una solicitud de cambio (pull request) al flujo de trabajo de los desarrolladores. Esa solicitud llega con la prueba de que el fallo es explotable y con una estimación de su alcance, es decir, qué otros sistemas se verían afectados. En la presentación de junio, AWS explicó que la prioridad se calcula con datos como si el componente está en uso, si es accesible desde afuera y si está en producción.
El servicio funciona en dos modos. En el modo Learn propone correcciones y una persona aprueba cada una. Cuando el equipo confía en su precisión, puede pasar al modo Enforce, en el que actúa por su cuenta dentro de los límites que la empresa define. Funciona junto con Amazon GuardDuty y AWS Security Hub, los servicios de detección de amenazas y de resumen de alertas que AWS ya ofrece.
El anuncio no enumera regiones ni informa precios; remite a la tabla general de disponibilidad por región de AWS.
Por qué importa en Uruguay
Muchas empresas reciben de sus escáneres listas con cientos de alertas marcadas como críticas, y un equipo chico no puede atenderlas todas. El criterio de Continuum vale con o sin AWS: una falla en un componente que no está publicado o que no se usa pesa menos que una en el sistema de ventas abierto a internet. Ordenar por explotabilidad real permite empezar por lo que de verdad puede usarse contra la empresa, como ocurrió con las vulnerabilidades críticas en PHP que afectaban a sitios expuestos.
El modo supervisado también deja una lección. Un sistema que cambia código o configuraciones por su cuenta puede romper algo en producción. Empezar con aprobación humana permite medir cuántas de sus propuestas son correctas antes de darle más autonomía.
Qué puede hacer
Qué hacer hoy:
- Si usa AWS, pruebe Continuum solo en modo Learn y con un sistema que no sea crítico.
- Espere a conocer el precio y las regiones disponibles antes de comprometerse.
- Revise su lista de alertas y marque cuáles afectan a sistemas expuestos a internet y en uso.
- Pida a su proveedor de software o de hosting que le indique qué fallas abiertas pueden aprovecharse en su caso concreto.
- Defina por escrito quién aprueba cada cambio en producción, sea humano o automático.
Fuentes:
- AWS What’s New: Continuum for code vulnerabilities is now generally available
- AWS Security Blog: Introducing AWS Continuum
- AWS: página de Continuum
Por Valentina Suárez
Deje una respuesta