AWS Security Agent (AWS Continuum) に予算管理機能と脆弱性再検証機能が追加

AWS Security Agent (現在は AWS Continuum の一部) のオンデマンド・ペネトレーションテストにおいて、テストコストを制御するための「最大タスク時間制限」と、修正済みの脆弱性を効率的に確認するための「検出結果の再検証 (finding revalidation)」機能が新たに提供開始されました。予算管理機能では、プリセット値やカスタム値でタスク時間の累積消費量に基づいた課金上限を設定でき、上限に達した際はテストが正常に停止し、それまでの検出結果を保持します。再検証機能では、フル・ペネトレーションテストを再実行することなく、特定の脆弱性に対してのみ再テストを行い、ステータスを「Active (未解決)」または「Resolved (解決済み)」を返します。

運用上のメリット

AIエージェントによる自律的なペネトレーションテストは非常に強力ですが、「コストがどこまで膨らむか分からない」という懸念が、導入の障壁となっていた可能性があります。今回のアップデートにより、タスク時間の制限を設けられるようになったことで、DevSecOpsエンジニアは予算内で安全にテストを回せるようになります。また、脆弱性の修正後に、「本当に直ったのか？」をピンポイントで再検証する機能は、修正作業と検証作業のサイクルをスピードアップさせる上で非常に実用的です。

日本国内の利用環境について

最新のリサーチ結果によると、東京リージョン (ap-northeast-1) での提供が確認されています。大阪リージョンについては、公式ドキュメントに明記がないため、現時点では利用不可、あるいは未確認の状態です。データ処理についても、原則として日本国内の地理的境界内で処理が行われますが、Code Remediation機能のみEUで処理される点には注意が必要です。

実務へのアドバイス

1. コスト管理: 上限値を高く設定しても、実際に消費された時間分のみ課金されるため、、コストを抑えつつ、まずは低めの時間制限でテストを開始し、必要に応じて拡張していく運用が推奨されます。
2. セキュリティ検証の検証: 脆弱性への対応が完了した後、フル・スキャンを時間をかけて行うのではなく、まずは再検証機能を使って「Resolved」ステータスを確認するフローを組み込むことで、検証コストを大幅に削減できます。

次のアクション

まずは、AWS Security Agent のペネトレーションテスト実行時のタスク時間制限の設定方法と、再検証機能のフローを、検証環境のアプリケーションに対して試してみることをお勧めします。

参照ドキュメント: AWS Security Agent Revalidation documentation https://docs.aws.amazon.com/securityagent/latest/userguide/revalidate-findings.html

AWS Security Agent Penetration Test documentation https://docs.aws.amazon.com/securityagent/latest/userguide/perform-penetration-test.html#_set_a_maximum_task_hours_limit