Bir bakışta
- Mühendislik ve teknik olmayan ekipler arasında paylaştırılmış yaklaşık 1.000 koltuk için Aikido Device Protection
- Deriv'in halihazırda GitHub pipeline'larında çalıştırdığı Aikido Safe Chain'in bir üst sürümü
- Aikido API üzerinden aranabilir, korunan her cihaz için eksiksiz bir yazılım malzeme listesi (SBOM)
- 48 saatlik minimum paket yaşı kuralını atlayan Kritik CVE düzeltmeleri
- Deriv'in kendi inceleme iş akışına entegre edilmiş Device Protection uyarıları
- Destek kullanıma sunuldukça daha fazla işletim sistemini kapsayacak şekilde genişleyen kapsam
AI kodlama asistanları genel bir kayıt defterinden herhangi bir paketi çekebilir
Deriv, ticareti herkes için ve her yerden erişilebilir kılma misyonuyla; forex, türev endeksler, hisse senetleri, borsa endeksleri, emtialar, kripto paralar ve ETF'lerde 7/24 işlem imkanı sunar.
Deriv bir finansal platform olduğundan, Güvenlik Mühendisliği Başkan Yardımcısı David Usher ve ekibi güvenliği en öncelikli konu olarak ele alıyor ve bu çalışmanın büyük bir kısmı yazılım tedarik zinciri etrafında şekilleniyor. Ekip, bu süreçte hem saldırı testi hem de savunma amacıyla yapay zekadan yararlanıyor.
Deriv bünyesinde 300'den fazla geliştirici bulunuyor ve bunların herhangi biri her an genel bir kayıt defterinden bir paket çekebilir. Dahası, Cursor ve Claude Code gibi yapay zeka destekli kodlama asistanları da artık bu işlemi sürekli olarak gerçekleştiriyor.
"Bu paketlerin zararlı yazılım içermediğinden emin olmamız gerekiyor. Bu nedenle bir koruma mekanizmasına sahip olmak son derece önemli."
Deriv halihazırda ilk katman korumaya sahipti. Ticari bir ürün satın almadan önce ekip, paket yöneticileri yükleme yapmadan önce paketleri zararlı yazılımlara karşı kontrol eden açık kaynaklı sarmalayıcı Aikido Safe Chain'i GitHub pipeline'larında ve cihazlarında çalıştırdı. David bunun harika bir iş çıkardığını ancak görünürlük konusunda bir eksiklik olduğunu belirtiyor: Ekip, her makinede halihazırda kurulu olan her şeyi göremiyordu.
Her cihazda koruma
David için Device Protection, Safe Chain yaklaşımını bir adım öteye taşıyarak zararlı yazılımları doğrudan cihaz üzerinde engelliyor. Deriv artık bunu çeşitli işletim sistemlerinde yaklaşık 1.000 cihazda çalıştırıyor. Bu sayede güvenlik ekibi, kayıtlı tüm cihazların ve her birinin çalıştırdığı sürümlerin genel bir görünümüne sahip oluyor. Ayrıca her cihaz, ekosistemlerde kurulu paketlerin bir envanteri olan yazılım malzeme listesini (SBOM) raporlıyor.
"Her cihaz için eksiksiz SBOM'u görebiliyoruz ve bu bize cihazlarda hangi paketlerin bulunduğu konusunda ek içgörüler sağlıyor."
Ekip, desteklenen ekosistemler için Aikido tarafından sağlanan test paketleriyle kurulumu düzenli olarak test ediyor. David ayrıca üst katmanda bir uyarı otomasyonu oluşturdu: Device Protection organizasyona zararlı yazılım girmesini engellerse, Deriv'in güvenlik operasyonları ekibi yükleme girişimine neyin sebep olduğunu hemen araştırıyor.
Cihaz üzerindeki bir ajanın değerlendirmeyi kazanma nedeni
Deriv, Aikido'yu seçmeden önce diğer araçları da inceledi, ancak Aikido her cihazda bir ajan çalıştırıyor ve David bu tasarımı Deriv'in incelediği merkezi yaklaşımlara göre atlatılması daha zor bir yapı olarak değerlendirdi. Bu yaklaşım aynı zamanda güvenlik ekibine bir olay yaşandığında ihtiyaç duyduğu bağlamı sunuyor.
"Bir uyarı tetiklendiğinde kimin, neyi, nerede ve ne zaman yaptığını anlamak çok önemlidir. Böylece hemen araştırma yapabilir ve o cihazda yaşanabilecek başka durumları kontrol altına aldığımızdan emin olabiliriz."
Geriye dönük kontroller ve bekletilemeyen kritik yama işlemleri
David, kullanıma sunulmadan önce makinelerde hâlâ duran eski paketleri aramak için cihaz envanterini kullandı ve bu durumun güven verici olduğunu gördü. Bu yapı aynı zamanda geriye dönük kontrolleri de destekliyor. Aikido Intel yeni zararlı yazılımları hızlı bir şekilde yakalar ve bir paket yayınlandıktan sonra zararlı olarak tanımlandığında, Deriv'in otomasyonu bu sürümün herhangi birinin makinesinde olup olmadığını kontrol eder.
Device Protection ayrıca acil yama süreçlerini hızlı tutar. Minimum paket yaşı özelliği, yeni yayınlanan sürümleri varsayılan olarak 48 saat boyunca bekletir ve bu sayede yeni yayınlanan zararlı yazılımlara dayanan saldırıları engeller. Yeni bir sürüm kritik bir CVE'yi düzelttiğinde, Device Protection belirli kontrollerle birlikte bu sürümün doğrudan geçişine izin verir. Bu işlem otomatik olarak ve yalnızca ilgili sürüm için gerçekleşir, böylece Deriv ekibinin herhangi bir yapılandırma yapması gerekmez.
"Kritik bir CVE'yi yamalamak için iki gün beklemek zorunda değilsiniz. Zaten bütün mesele de bu."
Bu istisna, Deriv'in Aikido ile yaptığı görüşmelerde gündeme gelmişti. David, Aikido ekibiyle ortak bir destek kanalında taleplerde bulunuyor ve Deriv'in başlangıcından bu yana Homebrew ve Linux desteği dahil olmak üzere en az iki yeni ekosistemin eklendiğini belirtiyor.
"Diğer birçok şirket yanıt verme konusunda oldukça yavaş olabiliyor. Talebi yol haritalarına ekleyip altı ay sonra tekrar kontrol ediyorlar, ancak o zamana kadar çok geç olmus ve biz çoktan başka bir aşamaya geçmiş oluyoruz."
Mühendislik dışındaki alanları da kapsayan kapsam
Deriv, Device Protection lisanslarını mühendislik ve teknik olmayan ekipler arasında paylaştırıyor.
"Teknik olmayan ekipler daha teknik hale geliyor ve herkes işini yapmak için yapay zeka kullanıyor, bu nedenle Aikido'nun tüm şirkette yer alması gerçekten çok önemli."
Herhangi biri onaylanmayan bir şeyi yüklemeye çalışabilir. Deriv'in bunun için başka kontrolleri de var ve aynı cihaz envanteri uyumluluk süreçlerine de yardımcı oluyor. Makinelerinin daha da büyük bir kısmını bu envantere dahil etmek için Deriv, Aikido desteği sunduğu yeni işletim sistemlerinde de Device Protection'ı yaygınlaştırıyor.
Tedarik zinciri sorunu üzerinde birlikte çalışmak
David hiçbir çözümün kusursuz olmadığını açıkça belirtiyor. Önem verdiği şey, Deriv'in hızıyla hareket eden bir iş ortağına sahip olmak. Deriv hızlı ürün sunmak için yapay zeka kullanıyor ve Aikido'nun yanıt verme hızında da aynı çevikliği görüyor:
"Hem ürünü geliştirmek hem de tedarik zinciri güvenliği sorununu çözmek için sanki birlikte çalışıyormuşuz gibi hissediyoruz."
