こんにちは！AWS事業本部コンサルティング部のたかくに（@takakuni_）です。
アナハイムで開催されている AWS re:Inforce 2023 に参加しています。
Amazon CodeGuru Security がパブリックプレビューで発表されました！
このブログでは、わたしが個人的に気になったことを一問一答形式で、ご紹介できればと思います。
Amazon CodeGuru Security とは
Amazon CodeGuru Security は、静的アプリケーションセキュリティツール (SAST) として利用可能なサービスです。Amazon CodeGuru Security を利用することで、コード内のセキュリティの脆弱性を特定し、対処するための推奨事項を提供します。
Amazon CodeGuru Security の立ち位置
Amazon CodeGuru と比べ、 Amazon CodeGuru Security は何者なのか？気になったので調べてみると、 Amazon CodeGuru の中に Amazon CodeGuru Security があり、セキュリティに関する事項をチェックする用途で使われるサービスであることがわかりました。
Q: What is Amazon CodeGuru?
CodeGuru has two components: Amazon CodeGuru Security and Amazon CodeGuru Profiler. CodeGuru Security is a machine learning (ML) and program analysis-based tool that finds security vulnerabilities in your Java, Python, and JavaScript code. CodeGuru Security also scans for hardcoded credentials. CodeGuru Profiler optimizes performance for applications running in production and identifies the most expensive lines of code, reducing operational costs significantly.
何をスキャンするのか？
ドキュメントを確認すると、検査する項目は「Amazon CodeGuru Detector Library」に記載されていることがわかりました。
There are several types of detectors CodeGuru Security uses to analyze your code. For information about these detectors, see the Amazon CodeGuru Detector Library.
What is Amazon CodeGuru Security?
基本方針としては、 Open Worldwide Application Security Project (OWASP) Top 10, Common Weakness Enumeration (CWE) Top 25 に基づいてチェックされるようです。
Q: What type of issues are detected by CodeGuru Security?
CodeGuru Security detects Open Worldwide Application Security Project (OWASP) Top Ten issues, Common Weakness Enumeration (CWE) Top 25 issues, log injection, secrets, and secure use of AWS APIs and SDKs. See the Amazon CodeGuru Detector Library for more details on vulnerabilities found by CodeGuru Security.
統合部分がアツい
ここは感想部分になりますが、 Amazon CodeGuru Security は何と言っても、統合部分がアツいと感じました。 AWS CodePipeline, Amazon Inspector, Visual Studio Code と、個人的にいつも使っているサービスが軒を連ねているため、たくさん検証してみたいと思います！
統合機能について詳しくは、Getting started with CodeGuru Securityをご覧ください。
対応言語
対応している言語は Java, Python, JavaScript の 3種類です。
Q: What programming languages are supported?
CodeGuru Security currently supports scanning Java, Python, and JavaScript code.
Inspector との統合で新たに JavaScript がサポートされた？と思うので、要検証が必要ですね
データ保持について
SAST を導入する時、「スキャンするソースコードはどこに保管されるのか」がよく検討ポイントとして挙がります。ドキュメントと FAQ で若干揺れがあったので、注意が必要です。今からすぐに触ってみたい！という方は、ドキュメントの記載を考慮して検証していただくことをお勧めします。
ドキュメント
ドキュメントにはソースコードは、最大 10 日間保管されると明記されていました。
Data retention CodeGuru Security stores customer code for up to 10 days. Findings are stored indefinitely.
Data protection in Amazon CodeGuru Security - Data retention
FAQ
対して FAQ が以下になります。
Q: Does CodeGuru Security persist a copy of my code?
No, CodeGuru Security does not store your source code.
永続的に保管するか？の質問に対する回答のため、おそらくですが、「永続的には保管はしない」という意味かと思います。
まとめ
以上、「Amazon CodeGuru Security がプレビューで発表されました」でした！
プレビューであるため、今回ご紹介した機能が GA には変わる可能性があります。また、GA 時の機能拡張にも期待ですね！
その他の詳しい仕様はドキュメントと FQA をご覧いただければと思います。
AWS事業本部コンサルティング部のたかくに（@takakuni_）でした！
2
