Amazon Web Services hat wichtige Funktionsupdates für seinen autonomen Penetrationstest-Dienst eingeführt: den AWS Security Agent, der nun formell in das AWS Continuum-Ökosystem integriert ist. Sicherheitsteams und DevSecOps-Ingenieure, die den KI-gesteuerten Agenten zur autonomen Überprüfung von Webanwendungen auf Schwachstellen nutzen, standen bisher vor spürbaren operativen Hürden: Es fehlten integrierte Ausgabengrenzen für parallele Testaufgaben sowie optimierte Mechanismen zur Bestätigung, ob behobene Schwachstellen tatsächlich erfolgreich beseitigt wurden. Durch die Bereitstellung neuer nativer Funktionen für granulare Budgetkontrollen und die Revalidierung von Funden behebt AWS diese Workflow-Hürden direkt.
Kostenkontrolle durch maximale Task-Stunden-Limits
Bisher skalierten automatisierte KI-Penetrationstests dynamisch auf Basis der kumulierten Task-Stunden, die bei parallelen Testvorgängen anfielen, wodurch Entwicklungsteams keine deterministischen Kostenbegrenzungsmechanismen zur Verfügung standen. Um dieser finanziellen Unvorhersehbarkeit zu begegnen, ermöglicht der AWS Security Agent Administratoren nun, strenge Obergrenzen für die maximalen Task-Stunden bei jedem einzelnen Penetrationstest festzulegen.
Beim Start einer Bewertung können Betreiber aus mehreren Konfigurationspfaden wählen, um ihren Ressourcenverbrauch zu verwalten:
- Voreingestellte Limits: Schnellauswahloptionen wie 20 oder 30 Task-Stunden für standardisierte Testumfänge.
- Benutzerdefinierte Werte: Maßgeschneiderte Schwellenwerte für Task-Stunden, die speziell auf organisatorische Projektbudgets oder Testzeitfenster abgestimmt sind.
- Kein Limit: Eine offene Konfiguration für umfangreiche Bewertungen, die eine uneingeschränkte Ausführungszeit erfordern.
Sollte ein aktiver Test sein vorbestimmtes Task-Stunden-Limit erreichen, führt der Dienst ein ordnungsgemäßes Herunterfahren aus. Entscheidend dabei ist, dass alle bis zu diesem spezifischen Zeitpunkt identifizierten Schwachstellen erhalten bleiben und nicht verworfen werden. Da das Abrechnungsmodell der Plattform strikt die tatsächlich verbrauchten Task-Stunden widerspiegelt, führt das Festlegen eines höheren Maximallimits nicht zu zusätzlichen Kosten, es sei denn, der Testprozess erfordert diese zusätzliche Betriebszeit tatsächlich.
Gezielte Fund-Revalidierung optimiert DevSecOps
Die Überprüfung von Software-Patches erforderte traditionell die Wiederholung kompletter End-to-End-Sicherheits-Scans – ein Prozess, der sowohl zeitaufwändig als auch rechentechnisch redundant ist. Der AWS Security Agent hat diesen Engpass durch die Einführung einer gezielten Fund-Revalidierung für Live-Webanwendungen beseitigt.
Nach der Implementierung eines Sicherheits-Fixes müssen Engineering-Teams keinen vollständigen Penetrationstest mehr auslösen. Stattdessen können Betreiber eine oder mehrere spezifische Fundstellen aus einem abgeschlossenen Durchlauf auswählen. Der autonome Agent testet daraufhin ausschließlich diese designierten Schwachstellen gegen die Live-Anwendungsumgebung.
Nach der Überprüfung liefert die Plattform einen definitiven Status für jedes geprüfte Element:
- Aktiv: Zeigt an, dass die Schwachstelle in der Live-Anwendung weiterhin ausnutzbar ist.
- Behoben: Bestätigt, dass die angewendete Abhilfemaßnahme die Sicherheitslücke erfolgreich entschärft hat.
- Revalidierungshistorie: Führt einen vollständigen Audit-Trail, der zu Compliance- und Nachverfolgungszwecken direkt mit dem ursprünglichen Funddatensatz verknüpft ist.
Organisationen, die diese Funktionen implementieren möchten, können sich auf die offiziellen Dokumentationsressourcen beziehen. Weitere Details zur Konfiguration von Einschränkungen sind über die AWS Security Agent Penetration Test-Dokumentation verfügbar, während Anleitungen zur Überprüfung von Abhilfemaßnahmen in der AWS Security Agent Revalidierungs-Dokumentation zu finden sind.
Quelle: Originalartikel
