Bir bakışta
- Aikido, ekibi yanlış pozitif uyarılarla boğan bir dizi açık kaynaklı güvenlik aracının yerini aldı
- Geliştiriciler artık Aikido’nun bulgularını, çözülmesi gereken gerçek sorunların bir çalışma listesi olarak değerlendiriyorlar
- Tek tıklamayla gerçekleştirilen AutoFix çekme istekleri, Codafication’ın kendi inceleme sürecinden geçerek dakikalar içinde çalışma dalına ulaşır
- Bir müşteri, tedarik zinciri saldırısı sırasında bir teyit talebinde bulunduğunda, Aikido kontrol panelindeki bir bağlantı sayesinde cevap hazırdı
Bir açık kaynak yığını, güvenliği bir ölçek sorununa dönüştürmüştü
Brisbane merkezli sigorta yazılım şirketi Codafication, kendi mühendislerinin bir araya getirdiği bir dizi açık kaynaklı güvenlik aracını değiştirdikten sonra, hasar talep platformunun arkasındaki kodu Aikido ile güvence altına aldı.
Teknoloji Direktörü (CTO) Curtis Wilkinson, Codafication’da güvenlik ekibinden bulut altyapısına, kalite güvencesinden mühendislik ve ürün geliştirmeye kadar tüm teknoloji birimlerini yönetmektedir. 2015 yılında kurulan Codafication, Avustralya’nın önde gelen sigorta şirketlerinin çoğunun, gayrimenkul ve eşya hasar taleplerine ilişkin onarım işlemlerini yönetmek için kullandığı hasar yönetimi yazılımları geliştirmektedir. Şirketin ana ürünü, 70 ila 80 ayrı bileşenden oluşmaktadır.
Aikido'dan önce ekip, CI/CD boru hattında konteyner denetimleri, bir SAST aracı ve açık kaynak izleme sistemine veri sağlayan SBOM oluşturma işlemlerini yürütüyordu. Bu yapı, ayarlandığı şekilde kusursuz bir şekilde çalışıyordu; ancak bunun ardındaki manuel iş yükü, artık üstesinden gelinemeyecek kadar artmıştı. Yanlış pozitif sonuçlar büyük miktarda geliyordu ve bunları filtrelemek için tekilleştirme, gruplama, otomatik önceliklendirme veya erişilebilirlik analizi gibi özellikler mevcut değildi.
"Bir şey uyarı verirdi ve sen de 'Bu da ne ki?' diye düşünürdün. Google'da aratırdın ve 1925'ten kalma tuhaf bir Adobe şeyiyle karşılaşırdın. Gerçek bir sorun bulduğunda neredeyse şaşırırdın."
Tek bir gerçek sorunu doğrulamak, kodun söz konusu işlevi kullanıp kullanmadığını elle kontrol etmek anlamına geliyordu. Bunların hiçbiri ekibin çalıştığı Jira ile bağlantılı değildi; bu nedenle her bilet, iki farklı yerde kopyala-yapıştır işlemi yapıp güncelleme gerektiriyordu. Her iyileştirme, buna ek olarak mühendislik zamanına mal olacaktı.
"Şirket olarak görevimiz, tüm sistem yığınımız genelinde kendi güvenlik yönetim platformumuzu oluşturmak değildir."
Ekibin gerçekten düzelttiği sorunların listesi
Aikido, artık Codafication’ın devam eden düzeltme programına katkı sağlıyor ve bunun ilk olarak değiştirdiği şey, bulgular listesi oldu. Tekilleştirme ve sorun gruplandırma işlemleri, ürünün tüm bileşenlerindeki bulguları tek bir görünümde birleştirerek, her bir sorunun bulunduğu yeri ve hangi ekibin bunu düzeltmesi gerektiğini gösteriyor.
Ekip ayrıca, platformunun arkasındaki kodun büyük bir kısmında, AI Kod Analizi’nin bir parçası olan Aikido’nun AI Kod Güvenlik Denetimi’ni gerçekleştirdi. Denetim 14 saat sürdü ve ekip, sonuçlarda henüz herhangi bir yanlış pozitif bulamadı. Bu durum, bulguların eyleme dönüştürülmesini kolaylaştırdı: bulgular, düzeltme yol haritasının en üst sırasına yerleştirildi ve geliştiriciler yaklaşık altı hafta içinde bunlardan 39’unu düzelterek kodlara ekledi. Curtis, geliştiricilere erişim izni verdi ve görüşlerini sordu.
"Yorum şöyleydi: Vay canına, bu gerçekten ciddi bir konu. Buradaki her şey, muhtemelen işe yaramaz şeylerin bir listesi olarak değil, çözmemiz gereken bir sorun olarak ele alınmalı."
AutoFix çekme isteklerinin yaklaşık dörtte üçü, ekip tarafından tek bir değişiklik yapılmadan birleştiriliyor. Aikido çekme isteğini oluşturuyor, Codafication’ın kendi inceleme görevlileri bunu değerlendiriyor ve istek nihai birleştirme onayına gidiyor; genellikle 10 dakikadan kısa bir sürede çalışma dalına ulaşıyor. Curtis, AutoFix çekme isteklerinin ilk dalgası geldiğinde ve listeyi kendisi tek tek işlediğinde bu farkı hissetti. Her bir düzeltmeyi elle yapması yarım saat ile iki saat arasında sürerdi.
"Artık sadece bir tuşa basmakla halledilebiliyor."
Jira entegrasyonu sayesinde, bilet durumları artık tek bir yerde toplanıyor. Curtis, listeyi kaydırarak her bir düzeltmenin hangi geliştiriciye ait olduğunu ve hangi test uzmanının üstlendiğini görebiliyor; ayrıca güvenlik düzeltmeleri sprint raporlarında da görünüyor. Tüm bunları kurarken ne zaman bir soru ortaya çıksa, ekip bu soruları paylaşılan bir kanaldan doğrudan Aikido’nun teknik ekibine iletti.
"Son derece yardımcı oldular ve çok işbirlikçi davrandılar. Sorumlulukları birbirlerine atma gibi bir durum hiç olmadı. Sorunları gerçekten çözebilecek kişiler doğrudan iletişim kanalında hazırdı."
Codafication neden Aikido’yu seçti?
- Aikido Safe Chain ile etkileyici bir ilk deneyim: Bu ücretsiz araç, kötü amaçlı açık kaynak paketlerini yüklenmeden önce engelliyor ve Aikido’nun Cihaz Koruması özelliğinin başlangıç noktasını oluşturuyor. Ekip, npm tedarik zinciri saldırılarının ekosistemi arka arkaya vurması üzerine bu aracı tüm geliştirici cihazlarına dağıttı.
- Ekibin kendi tehdit istihbaratı için kullandığı kaynaklar arasında zaten yer alan Aikido’nun tehdit araştırması
- Ekibin özellikleri keşfetmesine ve hangilerini ilk olarak etkinleştireceğine karar vermesine olanak tanıyan bir kavram kanıtı
"Safe Chain ile iyi bir deneyim yaşamıştık ve Aikido’nun iyi bir şirket olduğunu biliyorduk. Gelip sunduklarını görmek bize mantıklı geldi."
Müşteri sormadan önce Aikido cevabı vermişti
Codafication’ın müşterileri, risk toleransı oldukça düşük olan, düzenlemelere tabi bir sektörde faaliyet göstermektedir. Bu nedenle, tedarik zincirine yönelik saldırıları yakından takip etmektedirler. Büyük çaplı bir saldırı gerçekleştiğinde, e-postalar ve telefon aramaları başlar.
Kısa bir süre önce gerçekleşen bir saldırı sırasında Curtis iş seyahati yapıyordu. Aikido’nun hesap ekibi, paylaşılan kanala bir kontrol paneli bağlantısı gönderdi. Bir bakışta yeşil bir onay işareti göze çarptı: Codafication etkilenmemişti. Yarım saat içinde bir müşteri, Codafication’a üretim sisteminin etkilenmediğini teyit etmesini isteyen bir e-posta gönderdi.
"Sadece 'evet' demek çok daha kolay hale geldi."
Aikido'dan önce Curtis, cevap verebilmek için bir sonraki planlanmış kontrolün yapılmasını beklerdi; bu, zamanlamaya bağlı olarak birkaç saat sürebilirdi. Bu sefer ise, müşteri soruyu sormadan önce cevabı hazırdı.
Codafication günümüzde Aikido’yu nasıl kullanıyor?
"İlerledikçe Aikido'nun farklı yönlerini ortaya çıkarıyoruz. Bunların çoğu, elle hazırlanmış içeriklerin yerini alıyor, ancak bazıları da tamamen yeni özellikler."
- İç araçlar, otomasyon ve altyapı depoları için birincil güvenlik kontrol noktası olarak çekme isteği denetimleri
- Ana ürün depolarında AutoFix ve proaktif dal denetimleri
- Talep platformunun arkasındaki kodun büyük bir kısmında yürütülen AI Kod Güvenlik Denetimi
- Kod kalitesi kontrolleri ve kod kapsamı takibi
- Sprint mühendislik raporlamasına veri sağlayan Jira entegrasyonu
- Etki alanı izleme çalışmasının ilk bulguları, son harici sızma testi raporunda belirtilen iki bilinen sorunla örtüşmüştür
- Sonraki adım: konteyner deposuna erişim ve sonuçları karşılaştırmak amacıyla, yılda iki kez gerçekleştirilen harici sızma testiyle aynı kapsamda bir yapay zeka sızma testi
Nihai karar
"Her zaman belirli bir alanı kapsayan araçlarımız oldu. Ancak hiçbirinde tüm bu unsurlar, işleri yönetilebilir hale getirecek ve durumun kontrolünde olup olmadığımızı görebilmemizi sağlayacak şekilde bir arada bulunmuyordu."
