Amazon Web Services a introduit des mises à jour fonctionnelles essentielles pour son service de tests d’intrusion autonomes, AWS Security Agent, désormais officiellement intégré à l’écosystème AWS Continuum. Les équipes de sécurité et les ingénieurs DevSecOps utilisant cet agent piloté par l’IA pour sonder de manière autonome les applications web à la recherche de vulnérabilités rencontraient auparavant des frictions opérationnelles notables : l’absence de limites de dépenses intégrées pour les tâches de test parallèles, et le manque de mécanismes simplifiés pour confirmer si les vulnérabilités corrigées avaient réellement été remédiées avec succès. En déployant de nouvelles fonctionnalités natives de contrôle budgétaire granulaire et de réévaluation des failles, AWS résout directement ces obstacles aux flux de travail.
Maîtriser les coûts grâce aux limites maximales d’heures de tâches
Historiquement, les tests d’intrusion automatisés par IA évoluaient dynamiquement en fonction du nombre cumulé d’heures de tâches consommées lors d’opérations de test parallèles, privant les équipes d’ingénierie de mécanismes de plafonnement déterministe des coûts. Pour remédier à cette imprévisibilité financière, AWS Security Agent permet désormais aux administrateurs d’établir des limites strictes d’heures de tâches maximales sur n’importe quel test d’intrusion individuel.
Lors du lancement d’une évaluation, les opérateurs peuvent choisir parmi plusieurs chemins de configuration pour gérer leur consommation de ressources :
- Limites prédéfinies : Options de sélection rapide telles que 20 ou 30 heures de tâches pour des périmètres de test standardisés.
- Valeurs personnalisées : Seuils d’heures de tâches sur mesure adaptés spécifiquement aux budgets de projets organisationnels ou aux fenêtres de test.
- Aucune limite : Une configuration ouverte pour les évaluations d’envergure nécessitant un temps d’exécution illimité.
Si un test actif atteint sa limite prédéterminée d’heures de tâches, le service procède à un arrêt ordonné. Fait crucial, toutes les vulnérabilités identifiées jusqu’à ce point de coupure spécifique sont conservées plutôt que d’être supprimées. Le modèle de facturation de la plateforme reflétant strictement les heures de tâches réellement consommées, l’établissement d’une limite maximale plus élevée n’entraîne pas de coûts supplémentaires, à moins que le processus de test ne nécessite réellement ce temps opérationnel supplémentaire.
La réévaluation ciblée des failles rationalise le DevSecOps
La vérification des correctifs logiciels a traditionnellement exigé la répétition de scans de sécurité complets de bout en bout, un processus à la fois chronophage et redondant sur le plan informatique. AWS Security Agent a éliminé ce goulet d’étranglement en introduisant une réévaluation ciblée des failles pour les applications web en production.
Après le déploiement d’un correctif de sécurité, les équipes d’ingénierie n’ont plus besoin de déclencher un test d’intrusion à grande échelle. À la place, les opérateurs peuvent sélectionner une ou plusieurs constatations spécifiques issues d’une exécution terminée. L’agent autonome teste alors à nouveau uniquement ces vulnérabilités désignées par rapport à l’environnement applicatif en production.
À l’issue de l’évaluation, la plateforme renvoie un statut définitif pour chaque élément vérifié :
- Actif : Indique que la vulnérabilité reste exploitable dans l’application en production.
- Résolu : Confirme que la correction appliquée a réussi à atténuer la faille de sécurité.
- Historique de réévaluation : Maintient une piste d’audit complète directement liée à l’enregistrement de la découverte d’origine à des fins de conformité et de suivi.
Les organisations souhaitant mettre en œuvre ces fonctionnalités peuvent consulter les ressources de documentation officielles. Des détails supplémentaires sur la configuration des contraintes sont disponibles via la documentation sur les tests d’intrusion d’AWS Security Agent, tandis que des conseils sur la vérification de la remédiation se trouvent dans la documentation sur la réévaluation d’AWS Security Agent.
Source : Article original
