はじめに

ここでは、Amazon Inspector に新しく追加された Amazon Inspector Code security と Amazon CodeGuru Security, Amazon Q Developer について比較していきたいと思います。

それぞれの特徴を簡単に

先にそれぞれの特徴を自分なりに簡単に纏めてみます。
ポイントはどのタイミングで実行したいのかと、どの程度の内容を検出し、簡単に対処できるかが選定のポイントかと思います。

	Amazon Inspector Code security	Amazon CodeGuru Security	Amazon Q Developer
タイミング	プッシュ、プルリクエスト、マージリクエスト時オンデマンドスケジュール	パイプライン統合 IDE とノートブックの統合	ローカル開発時
特徴	Amazon Inspector Code security の脆弱性データベースについての記載は見つからなかったが、従来の Amazon Inspector と同じなら Amazon Inspector 脆弱性データベースの検索。検出結果の画面は従来の Amazon Inspector と同等。検出される項目が多いと、対応が大変。	機械学習(ML)と自動推論を組み合わせた SAST ツール。検出される項目は多くなく限定的。	検出だけでなく AI の提案により修正まで可能。最新の脅威情報を取得できていない。コード品質などに関連した指摘は 6 〜 8 割程度。
料金	東京における APN1-Code-Repository-Scan-SCA のリソース評価 1 件あたり 0.18 USD	パブリックプレビューで無料	Amazon Q Developer 無料利用枠 Amazon Q Developer Pro 19 USD/月(1 ユーザーあたり)

Amazon Inspector Code security とは

Amazon Inspector に 3 つのCode security 機能が追加
- ソースコードの静的スキャン (SAST)
- 依存関係・OSS 脆弱性スキャン (SCA)
- **Infrastructure as Code スキャン (IaC) **

何が検出できるようになったかは文字通りですので、細かいことは記載しません。下記の AWS Blog を一読することをお勧めします。

サポートされている言語

サポートされている言語は更新などもあると思いますので、随時 AWS ドキュメントを確認すると良いと思います。

スキャンのタイミング

変更ベース (プッシュ、プルリクエスト、マージリクエスト時）
オンデマンド
スケジュール

スキャン結果

設定は今回、

SAST,SCA,IaC 全てのスキャンを対象
プルリクエスト,マージリクエスト時にスキャン

とするようにしています。

全体のスキャン結果は以下の通りです。

個別のスキャン結果は以下の通りです。

Package Vulnerablity

Code Vulnerablity

SAST,SCA,IaC が対象になり、Amazon Inspector のコンソール上で運用担当者全員が確認可能な点は良さそうです。
ただし、ぱっと見既存の Amazon Inspector と表示のされ方は変わらない印象です。
そのため、検出される項目が多く対応に苦慮される場合は「抑制ルールを作成」したりするなど工夫する必要がある点は既存の Amazon Inspector と変わらないようです。

Amazon CodeGuru Security によるスキャン

Amazon CodeGuru Security は機械学習(ML)と自動推論を組み合わせた SAST ツールです。

統合サービス

Amazon CodeGuru Security を次のサービスと統合して、コードの脆弱性スキャンを開始できます。

パイプライン統合
- GitHub or GitHub Enterprise
- Bitbucket パイプライン
- GitLab
- AWS CodePipeline
- AWS CLI
IDE とノートブックの統合
- IDE プラグイン
- ノートブック
コンテナと Lambda ベースの統合
- Amazon Inspector

設定方法

今回は AWS CodePipeline と統合しました。設定方法は Amazon CodeGuru Security の画面から以下の通り確認できますので、詳細は割愛しますが、いくつか補足します。

上記の画像、ステップ 1 の CloudFormation で作成されるCodeGuruSecurityCodebuildAccessRole に CodeBuild が Artifact へアクセスするための s3:GetObject権限が必要です。

{
	"Version": "2012-10-17",
	"Statement": [
		{
			"Effect": "Allow",
			"Action": [
				"s3:GetObject"
			],
			"Resource": [
				"arn:aws:s3:::<S3バケット名>",
				"arn:aws:s3:::<S3バケット名>/*"
			]
		}
	]
}

CodePipeline が上記画像、ステップ 1 の CloudFormation で作成された CodeBuild プロジェクトへアクセスするために"codebuild:StartBuild","codebuild:BatchGetBuilds"権限を CodePipeline の IAM ロールに追加する必要があります。

{
	"Version": "2012-10-17",
	"Statement": [
        {
			"Action": [
				"codebuild:StartBuild",
				"codebuild:BatchGetBuilds"
			],
			"Resource": [
				"arn:aws:codebuild:ap-northeast-1:1234567890:project/CodeGuruSecurity",
				"arn:aws:codebuild:ap-northeast-1:1234567890:project/CodeGuruSecurity/*"
			],
			"Effect": "Allow"
		}
    ]
}

最終的に作成した Pipeline は以下の通りです。Source と Build の間に、Security というステージで作成しました。

スキャン結果

メトリクス

検出結果

検出された結果の詳細

上記の通り検出されたのは 1 件でした。
では、どのようなものが検出されるのかなど Amazon CodeGuru Security について次の項目以降で少しだけ整理しておきたいと思います。

サポートされている言語

サポートされているプログラミング言語は何ですか?

CodeGuru Security は現在、Java、Python、JavaScript、TypeScript、C#、CloudFormation、Terraform、Go、Ruby のスキャンをサポートしています。

検出される種類

CodeGuru セキュリティはどのような種類の問題を検出しますか?

CodeGuru セキュリティは、オープンワールドワイドアプリケーションセキュリティプロジェクト (OWASP) の上位 10 件の問題、共通弱点列挙 (CWE) の上位 25 件の問題、ログインジェクション、シークレット、AWS API と SDK の安全な使用を検出します。

Amazon Q Developer による /review

Amazon Q Developer の chat の画面で /review と打つと結果が返されます。

画面左下では重要度毎の集計結果が表示されています。

画面左上では検出結果のサマリーが表示されます。

ただし、検出結果は Amazon Inspector Code security と異なりました。これは想定通りです。おそらく、Amazon Q Developer は最新の脅威情報を取得できないことと、他の方の記事にもよるとコード品質などに関連した指摘は 6 〜 8 割程度ということでした。