從被動到主動：利用 AWS SecurityAgent 實現自動化 Design review與 Code review

本篇為從被動到主動：利用 AWS Security Agent 實現自動化滲透測試的續作，探討如何於應用程式開發全生命週期中，透過自動化手段執行設計審查與程式碼檢測。

https://aws.amazon.com/tw/security-agent/

三大關鍵能力 (Key Capabilities)

1. 設計安全審查 (Design Security Review)

• 時機：在撰寫程式碼之前。
• 流程：團隊上傳設計文件，Agent 依據組織的安全需求進行分析。
• 價值：提供合規評估與修復指引，將耗時的人工審查轉變為重點分析，在修復成本最低的階段解決安全風險。

2. 程式碼安全審查 (Code Security Review)

• 時機：在提交 Pull Request (PR) 或上傳程式碼時。
• 流程：自動分析程式碼，檢查是否符合組織規範，以及是否存在常見漏洞（如 SQL Injection、缺乏輸入驗證）。
• 價值：直接在程式碼儲存庫平台中提供修復建議，確保所有程式碼庫都能受到監控，同時維持對關鍵問題的監督。

3. 滲透測試 (On-demand Penetration Testing)

• 時機：隨時按需執行 (On-demand)。
• 流程：提供目標 URL、驗證資訊及文件。部署專門的 AI Agent，根據文件建立應用程式上下文。執行複雜的多步驟攻擊場景 (Multi-step attack scenarios) 以發現傳統工具遺漏的漏洞。
• 價值：提供經過驗證的漏洞報告，包含影響分析、可重現的攻擊路徑以及可直接實作的程式碼修復 (Ready-to-implement code fixes)。效率從「數週」大幅縮短至「數小時」。

接續上一篇自動化滲透測試文章，這篇我們來使用 Design Review 還有 Code Review 功能！

從被動到主動：利用 AWS SecurityAgent 實現自動化滲透測試 （Penetration Testing)

Security Design Review

進入首頁後，點選左側選單的 Design Review (設計檢閱)

新增 Design Review ，上傳專案相關的設計文件或架構說明（請留意格式限制），這邊強烈建議上傳足夠的專案文件，否則會呈現資料不足，效果不大，專案很前期沒有文件情況就不適合用。

上傳成功後，會出現在首頁，Review Status 出現Completed 即可確認結果

點進去即可確認審查結果，不過我的測試資料不多，顯示資料不足，較難觸發具體的安全性發現事項 (Findings)

打開幾個 Finding 給大家參考

以下是其他外國網友的測試結果

How to Use AWS Security Agent for Automated Vulnerability Detection and Remediation?

https://aws.plainenglish.io/how-to-use-aws-security-agent-for-automated-vulnerability-detection-and-remediation-cfdaef9af5b8

https://aws.plainenglish.io/how-to-use-aws-security-agent-for-automated-vulnerability-detection-and-remediation-cfdaef9af5b8

Code Review

接下來是Code Review功能，點選左側導覽列的 Code Review

先點選右方的「建立新註冊」完成 GitHub 授權後，即可選擇已關聯的儲存庫 (Repository)

Code Review能夠選擇自訂檢視規則、常見漏洞或是我全都要！

設定完成後，狀態將顯示為 Enabled (已啟用)。

由於我測試的GitHub沒有太多資料，找了同樣的上方其他作者測試範例

Get Kuro Huang’s stories in your inbox

Join Medium for free to get updates from this writer.

Remember me for faster sign in

該功能可以 Automatically review pull requests!

https://aws.plainenglish.io/how-to-use-aws-security-agent-for-automated-vulnerability-detection-and-remediation-cfdaef9af5b8

最後，如果你有客製化資安規範的需求，可以到安全性要求選擇自訂來客製化。

為什麼我們要推 Design Review？因為在設計階段改一個架構只需要改一張圖，但在部署後改一個漏洞可能要動員整個開發團隊跳下來。這就是 AWS Security Agent 帶給企業最大的成本效益。

在前期發現問題，總比上線後修補來的省事，現在 AI 能夠高效的協助我們發現資安風險，只是推不推得動又是另一回事了 ：）

從被動到主動：利用 AWS SecurityAgent 實現自動化滲透測試 （Penetration Testing)

往下拉還有很多雲端安全的延伸閱讀～～

關於 Kuro 介紹、聯絡方式、文章分享 ：

• Portaly 關於我（推薦）: https://portaly.cc/kurohuang
• 文章目錄/個人網站 : https://kuronetwork.me
• Instagram : https://www.instagram.com/kuronetwork/
• Threads : https://www.threads.net/@kuronetwork
• Facebook : https://www.facebook.com/kublackstock
• LinkedIn： https://www.linkedin.com/in/kurohuang/

Cloud Computing

• 2024.02 — AWS Certified Cloud Practitioner Certification (CCP)
• 2024.02 — AWS Certified Solutions Architect — Associate (SAA)
• 2024.03 — GCP Associate Cloud Engineer (GCP-ACE)
• CCSP 雲端資安專家自修考試心得、準備方式與教材整理（Certified Cloud Security Professional）
• 從被動到主動：利用 AWS SecurityAgent 實現自動化 Design review與 Code review
• 從被動到主動：利用 AWS SecurityAgent 實現自動化滲透測試 （Penetration Testing)
• Amazon Kiro 企業版安全整合：AWS IAM Identity Center 與安全管理入門(Kiro for Enterprise)
• 善用你的 AWS Trusted Advisor：提升雲端安全、效能與成本效益！
• 雲端網路存取控制規則檢視-官方指令彙整(Azure NSG, AWS Security Group/NACL ,GCP Firewall)
• Amazon Bedrock 試用心得 — 安全的在雲端上使用生成式 AI
• [GCP] 部署 Docker 應用至 Cloud Run 並使用 IAP 驗證登入
• 使用AWS CloudFront 的原始存取控制(OAC)建立安全的 S3 靜態網站
• AWS 架構安全評估工具 — AWS Well-Architected Tool
• 遠距辦公與資料保護-使用 AWS WorkSpaces 虛擬桌面服務
• 在 Windows 安裝WSL 執行Scirpt 以進行 AWS 資源盤點：解決 AWS SecurityAudit Policy限制
• Running Custom Scripts on Windows WSL for AWS Resource Inventory: Addressing AWS SecurityAudit Policy Restrictions
• 雲端網路存取控制規則檢視-官方指令彙整(Azure NSG, AWS Security Group/NACL ,GCP Firewall)
• GCP IAM Security — 使用 PAM 強化特權帳號管理
• 強化雲端威脅偵測與雲端資安事件回應：使用 Amazon GuardDuty 與 Detective
• 保護你的雲端資料安全：使用 Amazon Macie.

我想把各種經驗寫出來做分享教學，希望把社群的分享風氣帶出來給大家。並期望之後有人也可以寫出不同的心得文，如果是自修同學對於申請考試和準備上有任何問題，可以透過 LinkedIn 交朋友與 Facebook 來聯絡我，能力範圍內盡量幫你解決(或是你想認識我出來喝杯咖啡也歡迎，我很喜歡多認識業界的朋友們交流，也真的不少人找我聊聊過了!)。