Amazon Web Services ha introducido actualizaciones funcionales críticas en su servicio de pruebas de penetración autónomas, AWS Security Agent, ahora integrado formalmente en el ecosistema AWS Continuum. Los equipos de seguridad y los ingenieros de DevSecOps que utilizan este agente impulsado por IA para explorar de forma autónoma aplicaciones web en busca de vulnerabilidades se enfrentaban anteriormente a fricciones operativas notables: la falta de límites de gasto integrados para tareas de pruebas paralelas y la ausencia de mecanismos optimizados para confirmar si las vulnerabilidades parcheadas se habían remediado con éxito. Al implementar nuevas capacidades nativas para el control granular de presupuestos y la revalidación de hallazgos, AWS resuelve directamente estos obstáculos en el flujo de trabajo.
Control de costes mediante límites máximos de horas de tarea
Históricamente, las pruebas de penetración automatizadas con IA se escalaban dinámicamente en función de las horas de tarea acumuladas consumidas en operaciones de pruebas paralelas, lo que dejaba a los equipos de ingeniería sin mecanismos deterministas para limitar los costes. Para abordar esta imprevisibilidad financiera, AWS Security Agent permite ahora a los administradores establecer estrictos límites máximos de horas de tarea en cualquier prueba de penetración individual.
Al iniciar una evaluación, los operadores pueden elegir entre varias rutas de configuración para gestionar su consumo de recursos:
- Límites preestablecidos: Opciones de selección rápida de 20 o 30 horas de tarea para ámbitos de prueba estandarizados.
- Valores personalizados: Umbrales de horas de tarea adaptados específicamente a los presupuestos de proyectos organizacionales o ventanas de prueba.
- Sin límite: Una configuración abierta para evaluaciones amplias que requieran un tiempo de ejecución sin restricciones.
Si una prueba activa alcanza su límite de horas de tarea predeterminado, el servicio ejecuta un cierre ordenado. De manera crucial, todas las vulnerabilidades identificadas hasta ese punto de corte específico se conservan en lugar de descartarse. Debido a que el modelo de facturación de la plataforma refleja estrictamente las horas de tarea realmente consumidas, establecer un límite máximo superior no genera costes adicionales a menos que el proceso de prueba requiera realmente ese tiempo operativo extra.
La revalidación de hallazgos específicos agiliza DevSecOps
Tradicionalmente, verificar los parches de software requería repetir análisis de seguridad completos de extremo a extremo, un proceso que consume mucho tiempo y es computacionalmente redundante. AWS Security Agent ha eliminado este cuello de botella al introducir la revalidación de hallazgos específicos para aplicaciones web en vivo.
Tras implementar una corrección de seguridad, los equipos de ingeniería ya no necesitan activar una prueba de penetración a gran escala. En su lugar, los operadores pueden seleccionar uno o más hallazgos específicos de una ejecución completada. A continuación, el agente autónomo vuelve a probar únicamente esas vulnerabilidades designadas en el entorno de la aplicación en vivo.
Una vez finalizada la evaluación, la plataforma devuelve un estado definitivo para cada elemento comprobado:
- Activo: Indica que la vulnerabilidad sigue siendo explotable en la aplicación en vivo.
- Resuelto: Confirma que la corrección aplicada mitigó con éxito el fallo de seguridad.
- Historial de revalidación: Mantiene una pista de auditoría completa vinculada directamente al registro del hallazgo original con fines de cumplimiento y seguimiento.
Las organizaciones que deseen implementar estas funciones pueden consultar los recursos de documentación oficial. Hay más detalles disponibles sobre la configuración de restricciones a través de la documentación de pruebas de penetración de AWS Security Agent, mientras que la orientación sobre la verificación de la remediación se puede encontrar en la documentación de revalidación de AWS Security Agent.
Fuente: Artículo original
