【要約】AWS Security Agentで設計レビュー・コードレビュー・ペネトレーションテストを全部やってみた。リリース後の運用に繋げる [Qiita_Trend] | Summary by TechDistill
> Source: Qiita_Trend
Execute Primary Source
// Problem
- ・リリース後のセキュリティ対策が疎かになる。
- ・定期的なペネトレーションテストのコストと頻度の確保が困難。
- ・セキュリティルール改定時の適合性確認が手動で手間。
- ・AIによる見落としや、ペネトレーションテストのコスト予測が困難。
// Approach
1.Agent Spaceを作成し、SSOでユーザーアクセスを管理。
2.設計レビュー：設計書（MD, PDF等）をアップロードし、カスタムルール（日本語可）で評価。
3.コードレビュー：GitHub Appを連携し、PR作成時に自動で指摘コメントを付与。
4.ペネトレーションテスト：ターゲットドメインを検証し、Secrets Manager等の認証情報を設定。静的・動的解析を組み合わせた攻撃を実行し、修正PRを自動生成する。
// Result
- ・3.5KStep、22エンドポイントのアプリで17件の脆弱性を検出。
- ・コードレビューでは漏れたリポジトリ全量のダミークレデンシャルをペネトレで検出。
- ・脆弱性発見から修正PR生成までを一気通貫で自動化。
- ・ペネトレーションテストのコストは34.41タスク時間で約1,720.5USD（約30万円）を要した。
Senior Engineer Insight
> 監査用ではなく、継続的なセキュリティ状態の把握に使うべき。AIは確率論的であり、1回の結果を過信せず複数回実施することが重要。コストの不確実性が高いため、フリートライアルでの試算が不可欠。Organizationsでのルール一元管理など、マルチアカウント環境での運用設計が鍵となる。専門家による診断を置き換えるものではなく、運用の隙間を埋めるツールとして評価する。