設計から導入まで、プロアクティブなアプリケーション保護

DNVN - AWSは、アプリケーション開発ライフサイクル全体をカバーするインテリジェントな保護エージェントであるAWS Security Agentのプレビュー版をリリースしました。このエージェントは、組織の要件に応じてセキュリティ評価を自動化するだけでなく、オンデマンドでコンテキストに応じた侵入テスト機能も提供します。

現在、アプリケーション セキュリティ テスト ツールには、実際の動作環境を考慮せずにコードをテストする静的テスト ツール (SAST) と、実行中のアプリケーションを評価しながらアプリケーションの全体的なコンテキストを無視する動的テスト ツール (DAST) の 2 つの種類が一般的です。

AWS は、設計から導入まで継続的に監視することで、企業が開発の初期段階からセキュリティの脆弱性を積極的に防止できるよう支援します。

これらのツールはどちらも、アプリケーションのコンテキストを理解しておらず、設計、運用環境、そしてアプリケーションの潜在的なセキュリティ脅威に至るまで、全体像を把握できないという限界があります。そのため、セキュリティチームは手作業による評価を余儀なくされ、かなりの時間を要します。特に侵入テストにおいては、外部コンサルタントや社内チームからの手配を待つ場合、プロセスはさらに長くなります。

アプリケーションごとに手動による評価と侵入テストが必要となるため、バックログは増大し、アプリケーションのセキュリティ検証が完了して導入できるようになるまで、数週間、あるいは数ヶ月も待たされることになります。これにより、ソフトウェアのリリース頻度とセキュリティ評価のギャップが拡大しています。

すべてのアプリケーションにセキュリティが完全に実装されていない場合、企業は安全性の確保と納期遵守の間でトレードオフを迫られ、セキュリティ脆弱性のリスクにつながります。統計によると、組織の60%以上がWebアプリケーションの更新を毎週またはそれ以上の頻度で実施している一方で、セキュリティテストを毎月またはそれ以下の頻度でしか実施していない組織は最大75%に上ります。特に、Cypress Data Defenseの2025年レポートによると、組織の62%が業務の納期を守るために脆弱なソースコードの導入を余儀なくされていることが明らかになっています。

AWS Security Agent はコンテキストを認識し、アプリケーションの設計からコード、そして固有のセキュリティ要件に至るまで理解します。セキュリティ侵害を自動的にスキャンして検出するだけでなく、事前の計画なしにオンデマンドで侵入テストを実行することもできます。

特に、この侵入テストエージェントは、セキュリティ要件、設計文書、ソースコードといった複数のソースから学習し、パーソナライズされた攻撃シナリオを作成します。エンドポイント、ステータスコード、認証情報、エラーといった要素を分析し、運用中に柔軟に適応します。その結果、複雑なセキュリティ脆弱性を本番環境よりも早期に検出し、アプリケーションの起動直後から安全な運用を実現します。

フォン・ハ

出典: https://doanhnghiepvn.vn/chuyen-doi-so/kinh-te-so/bao-ve-ung-dung-chu-dong-tu-khi-thiet-ke-den-trien-khai/20251205054642085