AWS Continuum 소개: 코드 취약점을 다루는 새로운 보안 시스템

AWS가 코드 취약점을 다루는 AWS Continuum for code vulnerabilities를 게이티드 프리뷰로 공개했습니다. 취약점을 찾아내는 데서 끝나지 않고, 발견부터 실제 조치까지 하나의 흐름으로 처리합니다. 환경 전체를 놓고 추론해 진짜 문제인지 확인하고, 해결까지 밀어붙이는 방식입니다. 특정 모델에 묶여 있지 않고, 작업마다 가장 잘 맞는 프런티어 모델을 골라 씁니다.

이 소식이 닿는 지점은 스캐너가 쏟아내는 결과 목록입니다. 취약점 스캔은 이미 많은 팀이 돌리고 있고, 프런티어 모델로 더 많은 취약점을 찾아내면서 처리하지 못한 백로그가 계속 쌓입니다. 이 가운데 무엇이 실제 위험이고 무엇이 오탐인지 가려내는 판단은 보통 사람 손을 탑니다. 전담 보안 인력이 없는 팀에서는 이 판단 부담이 그대로 병목이 됩니다.

네 단계로 도는 처리 흐름

Continuum은 이미 AWS 안에 들어 있는 구조화된 데이터와 조직 운영을 담은 비구조화 데이터를 함께 봅니다. 인프라, 권한, 네트워크 구성, 코드가 앞쪽이고, 문서와 커뮤니케이션, 비즈니스 우선순위가 뒤쪽입니다. 일반적인 규칙을 똑같이 적용하는 대신 각 조직의 맥락을 반영하려는 설계입니다.

• 발견: 기존 백로그를 그대로 받아들이고, 자체 스캔을 함께 수행해 취약점과 연결된 공격 경로를 더 넓게 봅니다.
• 우선순위: 해당 구성 요소가 배포돼 있는지, 도달 가능한지, 운영 경로에 있는지, 악용됐을 때 비즈니스에 어떤 영향이 있는지를 따져 근거가 붙은 우선순위 목록을 만듭니다.
• 검증: 오탐을 먼저 걸러내고, 격리된 샌드박스 환경에서 실제 동작하는 익스플로잇 예시를 만들어 재현 가능한 증거를 남깁니다.
• 완화와 조치: 차단 및 보완 통제, 탐지 장치 같은 기존 방어 수단을 평가한 뒤 네트워크 변경, 정책 변경, 코드 패치 중 하나를 권고합니다. 패치 권고는 취약점을 확인했던 것과 같은 시스템으로 다시 검증하고, 가능한 경우 영향 범위와 롤백 경로를 함께 보여줍니다.

시작 지점은 자체 코드와 서드파티 코드이고, 이후 보안의 다른 영역으로 확장할 계획입니다.

신뢰를 단계적으로 넘기는 방식

Continuum은 사람이 개입하는 학습 모드로 시작합니다. 모든 권고에는 그 판단에 이른 근거가 붙습니다. 운영하면서 신뢰가 쌓이면 시행 모드로 넘길 수 있고, 직접 정의한 분류와 위험 프로파일에 따라 조치 자동화 범위를 넓혀 갑니다. 처음부터 자동 조치를 맡기지 않아도 되는 구조라, 판단 근거를 눈으로 확인하며 적용 범위를 조절할 수 있습니다.

기존 AWS Security Agent의 침투 테스트와 코드 스캐닝 기능은 각각 Continuum pen testing, Continuum code scanning으로 편입돼 프리뷰로 제공됩니다. 여기에 Continuum threat modeling도 프리뷰로 추가됐습니다. 설계 문서나 소스 코드에서 위협 모델을 자동으로 만들고 결과를 STRIDE 형식으로 내놓습니다. 이 기능들은 탐지·분석 소스로서 발견·우선순위·검증·조치로 이어지는 Continuum 전체 루프에 데이터를 공급합니다.

현재는 게이티드 프리뷰이며, 금융 서비스, 자동차, 기술 분야 고객과 함께 다듬고 있습니다. 액세스는 AWS Continuum 페이지에서 신청할 수 있습니다.

도입 검토 의견

원문 발표가 아닌 솔트웨어의 의견입니다

이미 코드 스캐너를 돌리고 있고 그 결과 목록을 사람이 일일이 훑느라 시간을 쓰고 있다면, 액세스 신청을 걸어두고 학습 모드부터 지켜볼 만합니다. 오탐을 먼저 걸러내고 우선순위에 근거를 붙여주는 발견·검증 단계가 이 부담을 직접 겨냥합니다. 다만 지금은 게이티드 프리뷰라 신청이 승인돼야 쓸 수 있고, 승인 시점과 대상 조건은 신청 후에 확인해야 합니다. 스캐너를 아직 운영하지 않거나 코드베이스가 작아 취약점 백로그 자체가 부담이 아니라면 이번에는 넘겨도 됩니다.

신청 자체는 반나절이면 마칠 수 있는 일이고, 프리뷰 참여가 확정되기 전까지 운영 워크로드에 손댈 것은 없습니다. 전담 보안·AI 인력이 없는 팀이라면 시행 모드로 자동 조치를 맡기기보다, 학습 모드에서 권고 근거를 검토하는 선까지만 쓰는 편이 안전합니다. 요금과 지원 리전은 아직 공개되지 않았으므로, 정식 출시 시점에 단가와 사용 조건을 확인한 뒤 상시 적용 여부를 정하면 됩니다.

원문: Introducing AWS Continuum: Security at machine speed · 발행일 2026-06-17