![[速報] ペネトレーションテスト/セキュリティレビューを自動化する AWS Security Agent がリリースされました！ #AWSreInvent](https://images.ctfassets.net/ct0aopd36mqt/33a7q65plkoztFWVfWxPWl/a718447bea0d93a2d461000926d65428/reinvent2025_devio_update_w1200h630.png?w=3840&fm=webp)
[速報] ペネトレーションテスト/セキュリティレビューを自動化する AWS Security Agent がリリースされました！ #AWSreInvent
こんにちは！クラウド事業本部コンサルティング部のたかくに（@takakuni_）です。
AWS re:invent 2025 に来ています。
AWS Security Agent がパブリックプレビューでリリースされました！！！！
AWS Security Agent
AWS Security Agent は、セキュリティ機能に特化したエージェントサービスです。
開発ライフサイクル全体を通じて、アプリケーションのセキュリティを支援するよう設計されています。
具体的な機能について触れていきます。主に以下の機能をサポートしています。
- 設計書のセキュリティレビュー
- アプリケーションコードのセキュリティレビュー
- 侵入テスト
特に、侵入テストの部分に関しては、今まで AWS でネイティブに提供されていなかった機能のため、嬉しいですね。
ありがとうございます。
やってみる
侵入テストを実施してみましょう。
現状、AWS Security Agent は、バージニア北部リージョンのみで利用できます。
Security Agent はマネジメントコンソールとは別に、管理画面 (エージェントスペース) を利用します。
エージェントスペースの認証/認可はアカウント全体で統一する必要があります。
Identity Center または IAM ユーザーを選べて、今回は IAM ユーザーを選択しました。
実際にエージェントスペースを作成していきます。エージェントスペースは、アカウント内に複数作成できます。
各エージェントスペースでは、以下のような形で、設計レビュー/コードレビュー/ペネトレーションテストの設定をまとめて管理します。
設計レビュー
設計レビューについて触れていきます。
設計レビューでは、マネージドセキュリティ要件とカスタムセキュリティ要件が用意されており、事前にマネージドセキュリティ要件が 10 個、設定されています。
セキュリティ要件とは、 LLM へ渡す、セキュリティ版コンテキストとイメージいただくと良いかと思います。
以下は AWS マネージドセキュリティ要件である Audit Logging Best Practices になります。
カスタムセキュリティ要件は、スクラッチから作ることもできますし、マネージドセキュリティ要件からコピーして作ることもできます。文章の表現の仕方などは、マネージドセキュリティ要件から学んで書いていくと良さそうですよね。
コードレビュー
続いてコードレビューです。コードレビューでは、コードが先ほど定義したセキュリティ要件に沿っているか、脆弱なコーディングが行われていないかを設定します。
まずは接続から。はい、GitHub と接続できます。（CodeCommit も待ってます！）
GitHub Organiations または、個人単位で GitHub App をインストールするイメージです。
リポジトリを選択し、チェック項目を選択します。今回はどちらも選択してみます。
ペネトレーションテスト
最後にペネトレーションテストです。ドメインを指定して設定します。
ドメイン検証を行う必要があり、HTTP ルートまたはテキストレコードを登録する方法で検証します。
今回はテキストレコードを登録するよう設定しました。
シークレットマネージャー経由で、ID/パスワードを登録し、認証がかかっているページもテストできます。ありがてぇ。
侵入テストの実施
エージェントスペースのセットアップが完了したら、管理画面から侵入テストを実施します。
ウェブアプリを起動から、管理画面を開きます。
ターゲット URL を定義します。先ほど DNS 検証を済ましたドメインを選びましょう。
以下のように攻撃して欲しい/欲しくないを指定できるのもありがたいですね。
Start Run から、ペネトレーションを実施してみます。
Preflight (環境のセットアップ)、Static analysis (コードレビュー)、Pentest (ペネトレーションテスト)、Finalizing (レポート) の 4 つのステップでテストを行います。
AWS Blog によると以下のような表示が行われるようです
New AWS Security Agent secures applications proactively from design to deployment (preview) より画像引用
料金
執筆時点で Security Agent はパブリックプレビュー中で、なんと無料で利用可能です。ぜひ、やって FB していきましょう！
To get started with AWS Security Agent, visit the AWS Security Agent console and create your first agent to begin automating design reviews, code reviews, and penetration testing across your development lifecycle. During the preview period, AWS Security Agent is free of charge.
おわりに
以上、「[速報] ペネトレーションテスト/セキュリティレビューを自動化する AWS Security Agent がリリースされました！」
ペネトレーションテスト部分は、今まで AWS で提供されていなかった領域で、ガンガン使っていきたいです。
クラウド事業本部コンサルティング部のたかくに（@takakuni_）でした！
