Bir bakışta
- GitHub entegrasyonu aracılığıyla her repository'de çalışan Aikido SAST ve SCA
- IntelliJ eklentisi, geliştiricilere kod yazarken geri bildirim sağlar
- Jira entegrasyonu, bulguları geliştiricilerin üstlenebileceği düzeltme biletlerine dönüştürür
- Yeni müşteri portalında gerçekleştirilen Aikido AI Pentest, 1 saat 40 dakikada tamamlandı
- Portal genel kullanıma açılmadan önce yüksek önem dereceli bir bulgu giderildi
- Aikido halihazırda repository erişimine sahip olduğundan pentest white-box olarak çalıştırıldı
- Veracode, Checkmarx ve Snyk ile karşılaştırıldı
Zorluk
First National Bank of America (FNBA), merkezi Michigan, East Lansing'de bulunan, aile şirketi statüsünde ulusal düzeyde tescilli bir bankadır. FNBA, standart mortgage kriterlerinin dışındaki borçlulara ülke genelinde kredi sağlamaktadır ve yakın zamana kadar geliştiricilerinin inşa ettiği neredeyse her şey bankanın kendi içinde kalmıştır.
Banka büyüdükçe, düzenleyici kurumların bankadan beklentileri de arttı ve FNBA, kod kalitesi ve Java incelemesini kapsayan geliştirme sürecine güvenlik incelemesini de eklemeye karar verdi. Yazılım Geliştirme Müdürü Eric Tucker, 2000’lerin başlarına dayanan ve yoğun veritabanı kullanımı gerektiren bir Java çerçevesinde çalışan eski kurum içi uygulamalarındaki bilinen eksikliklerin de giderilmesini istiyordu.
Ardından müşteri portalı geliştirildi. Identity and Access Management Engineer Matt Keeler yıllardır FNBA'de harici ve dahili ağ pentest'leri yürütüyordu, ancak bu projeye kadar bankanın uygulama kodu diğer kontrollerin arkasında yer alıyordu. Portal bunu değiştirdi ve federal düzeyde denetime tabi bir kurum olan FNBA'in, uygulamayı halka açık hale getirmeden önce pentest'ten geçirmesi gerekiyordu.
Çözüm
Geliştirme ekibi ilk adımı attı. Eric ve meslektaşları değerlendirmeyi yürüttü ve Aikido'nun FNBA'in mevcut sistemlerine ne kadar hızlı entegre olduğu karar sürecinde büyük rol oynadı.
"GitHub entegrasyonu son derece basitti. Tüm repository'lerimizde çalıştırmaya başlamamız bizim için gayet kolay ve rahat oldu."
Eric Tucker
Aikido artık FNBA’nın tüm depolarında yapılan statik kod analizi ve açık kaynak bağımlılık bulgularını raporluyor ve Eric’in ekibi bunları düzenli olarak inceliyor. IntelliJ eklentisi, geliştiricilere kod yazarken geri bildirim sağlıyor; bulgular GitHub’daki çekme isteklerinde görünüyor ve bildirimler, yeni kritik sorunlar ortaya çıktıkça bunları işaretliyor. Jira entegrasyonu ise bu bulguları, herhangi bir geliştiricinin üstlenebileceği biletlere dönüştürüyor.
"Şirket içi uygulamalarımızdaki açıkları azaltmaya çalışırken bunlara sürüm güncellemeleri veya SQL injection değişiklikleri atıyoruz. GitHub oturumu olan herhangi bir geliştirici sisteme girip bir açığı seçerek düzeltebiliyor, bileti oluşturabiliyor ve ardından bunu SDLC sürecimizden geçirebiliyoruz. Bu aşamada her şey son derece kolay."
Eric Tucker
Portal hazır olduğunda güvenlik ekibi devreye girdi. Matt, Mart 2026'da bir Aikido AI Pentest çalıştırdı. 1 saat 40 dakikada tamamlanan test; her biri önem derecesi ve tahmini düzeltme süresiyle birlikte açık sorunları raporladı; bu sayede Matt öncelikleri belirleyip düzeltme sürecini doğrudan geliştiricilere aktarabildi. Pentest sonucunda yüksek önem dereceli bir bulgu tespit edildi ve FNBA, portal genel kullanıma açılmadan önce bunu düzeltti.
First National Bank of America Neden Aikido'yu Seçti?
FNBA; Veracode, Checkmarx ve Snyk dahil olmak üzere dört veya beş ürünü değerlendirdi. Süreç devam ederken ekip, kendi kod tabanlarında kapatılması gereken bir tespit açığı olduğunu fark etti. FNBA diğer değerlendirmeleri sürdürürken Aikido bu açığı kapatacak özelliği geliştirip kullanıma sundu ve bu hamle kararın verilmesini sağladı.
Pentest kararı daha sonra alındı ve ilk kararın bir devamı niteliğindeydi. Aikido, kod güvenliği için halihazırda FNBA'in depolarına bağlıydı; bu sayede pentest, uygulamaya dışarıdan saldırmak yerine kod üzerinde çok daha kapsamlı bir analiz yapabildi.
"Bu white-box pentest çok daha etkili oldu çünkü tüm depoların bağlamına hakimdi ve bileşenlerin gerçek dünyada nasıl çalışacağını bu korelasyonla analiz edebildi."
Matt Keeler
FNBA aynı zamanda kısıtlı bir zamanla yarışıyordu ve olabildiğince hızlı, güvenilir bir penteste ihtiyaç duyuyordu.
"Süreç kısıtlıydı ve doğrudan bir pentest başlatabildik; bu harikaydı. Aikido'yu kullanmaya karar vermemizden sonraki bir gün içinde pentest sürecini başlatabildik."
Matt Keeler
Kararı etkileyen faktörler:
- Her bir depoyu hızla kapsayan GitHub entegrasyonu
- Değerlendirme sürecindeyken FNBA'in talebiyle geliştirilip kullanıma sunulan tespit özelliği
- Anlık geliştirici geri bildirimi için IntelliJ eklentisi
- Mevcut SDLC süreçlerine uyum sağlayan Jira entegrasyonu
- Pentest'i varsayılan olarak white-box haline getiren depo bağlamı (repository context)
- Ekibin, çalıştırmaya karar verdikten sonra bir gün içinde başlatabileceği bir pentest
Sonuçlar
Pentest'in ne kadar hızlı tamamlandığı sayesinde portal, yüksek önem derecesindeki bulgu kapatılmış olarak yayına alındı. Matt'in tahminine göre ekip bu noktaya yine gelecekti ancak bu süreç haftalar veya bir-iki ay daha uzun sürecekti.
Geliştirme açısından bakıldığında, ortaya çıkan sonuç Eric’in hem iç hem de dış denetçilere sunabileceği bir rekor.
"Tespit edilen sorunları sürekli olarak ortadan kaldırıyor; yeni açıkları ve bağımlılık sorunlarını düzenli olarak raporlayıp gideriyoruz."
Eric Tucker
Kurulum süresi de önemli bir faktördü. Eric, diğer ürünlerin değerlendirme aşamasına bile geçmeden önce ekibine yarattığı maliyetle karşılaştırıldığında Aikido'nun kurulum ve entegrasyon sürecini oldukça basit buluyor.
Nihai karar
"Hiç vakit kaybetmeden bir pentest başlatabilmek ve bunu bu maliyetle yapabilmek bize inanılmaz bir değer sağladı."
Matt Keeler
