İçerik Etkisizleştirme ve Yeniden Oluşturma (CDR) teknolojisiyle dosya koruması konusunda uzmanlaşmış İngiliz siber güvenlik şirketi Glasswall, Snyk, Wiz Code ve Black Duck’ı tek bir Aikido kurulumuyla değiştirdi, iki hafta içinde VC Package C++ kapsamını elde etti ve desteklenen paketleri içeren tüm üretim boru hatlarında Safe Chain’i devreye aldı.
Bir bakışta
- Snyk, Wiz Code ve Black Duck’ın yerine Aikido’yu kullandık
- VC Package C++ desteği, talebin ardından iki hafta içinde sunuldu
- Güvenlik açığı bulunan bağımlılıklar için tek tuşla AutoFix
- Azure DevOps depolarına ve konteyner kayıt defterlerine doğrudan bağlı
- Kod, bağımlılık ve konteyner güvenliğini tek bir platformda birleştirdik
- Desteklenen paketlerle ilişkili tüm üretim boru hatlarında Safe Chain devreye alınmıştır
- Saldırı amaçlı testlerin bir sonraki evrimi olarak yapay zeka destekli sızma testlerinin değerlendirilmesi
Zorluk
Chris Holman, kuruluşları dosya tabanlı tehditlere karşı korumaya odaklanan İngiliz siber güvenlik şirketi Glasswall’da uygulama güvenliği bölümünü yönetmektedir. Kendisi de bir siber güvenlik sağlayıcısı olan Glasswall, AppSec araçlarını kendi ürünlerine uyguladığı titizlikle değerlendirmiştir.
Chris bu göreve atandığında, Glasswall’ın uygulama güvenliği (AppSec) ortamı zaman içinde kademeli olarak birden fazla tedarikçiye yayılmıştı.
Snyk, bağımlılık taramasını üstlenmişti. Wiz Code, kod düzeyinde analizi gerçekleştiriyordu. Black Duck, açık kaynak yönetişimini üstlenmişti. SonarQube ise kod kalitesini denetliyordu. Her bir araç belirli bir sorunu çözüyordu, ancak bir araya geldiklerinde operasyonel karmaşıklığa yol açıyorlardı. Geliştiriciler, daha önce güvenemeyecekleri bulgular üreten araçlar yüzünden kötü deneyimler yaşamışlardı ve güvenlik ekibi, sorunları gidermek yerine önemli uyarıları önemsiz olanlardan ayırmakla zaman harcıyordu.
“Şirketimizin farklı bölümlerinde Snyk, Wiz Code ve Black Duck kullanıyorduk. Her biri tek başına iyi bir araçtı. Ama bir araya geldiklerinde tam bir karmaşa oluşturuyorlardı.”
Araçlar arasındaki çakışmalar, sonuçların tekrarlanmasına, önceliklendirmenin dağınık hale gelmesine ve yönetim yükünün artmasına neden oldu. Tedarik faaliyetlerinin kapsamı da ekibin elde ettiği faydayı aşmış durumdaydı.
Aynı zamanda, ekibin C++ ortamı da başka bir zorluk yarattı. Glasswall, VC Package’a büyük ölçüde bağımlıdır; bu, birçok modern tarayıcının ya yetersiz bir şekilde desteklediği ya da hiç desteklemediği bir bağımlılık yönetimi sistemidir. Ekip, mühendislik ekiplerini geçici çözümler bulmaya zorlamak yerine, kendi ortamlarıyla doğrudan çalışabilen bir kapsama çözümüne ihtiyaç duyuyordu.
“Ortamımız büyük ölçüde VC Package’e bağlı. Değerlendirdiğimiz tarayıcıların çoğu ya bu özelliği desteklemiyordu ya da yetersiz bir şekilde destekliyordu. Aikido bu özelliği sunmayı taahhüt etti ve iki hafta içinde bunu hayata geçirdi.”
Çözüm
Chris için en önemli ayırt edici unsur, uygulama hızı ve tepki süresiydi.
Büyük satıcılar üç aylık sürüm döngüleriyle çalışırken, Aikido talep edilen işlevleri birkaç hafta içinde kullanıma sundu. VC Package desteği bunun en net örneği oldu. Glasswall bu gereksinimi dile getirdikten sonra, Aikido iki haftalık bir süre içinde kullanıma hazır desteği sağladı. Bu hızlı tepki, değerlendirme sürecini anında değiştirdi.
Glasswall, değerlendirme süreci boyunca aynı üretim kod tabanında Aikido’yu Wiz Code ile yan yana çalıştırdı. Elde edilen sonuçlar o kadar benzerdi ki, ekonomik avantajları göz ardı etmek zorlaştı.
“Aikido ve Wiz Code’u aynı anda denedik. Elde ettiğimiz sonuçlar birbirine benziyordu ve Aikido’nun maliyeti çok daha düşüktü. Kararımızı o anda verdik.”
Aikido ayrıca Glasswall’un Azure DevOps depolarına ve konteyner kayıt defterlerine doğrudan entegre edildi; böylece ekibe kod, bağımlılıklar ve konteynerler üzerinde merkezi bir görünürlük sağladı.
Uygulama süreci de aynı hızda ilerledi. Tek bir gün içinde Glasswall, Aikido’nun hiç kullanılmadığı bir durumdan tüm iş akışlarında tam kapsama alanına ulaştı. Azure depolarını ve konteyner kayıt defterlerini bağlamak, iş akışı şablonları oluşturmak veya CLI araçlarını manuel olarak eklemek yerine tek bir tıklama ile gerçekleşti; bu da mühendislik zamanının en kıt kaynak olduğu küçük bir DevSecOps ekibi için büyük önem taşıyordu.
Glasswall ayrıca, desteklenen paketlerle ilişkili tüm üretim süreçlerinde Aikido Safe Chain'i devreye aldı. Kötü amaçlı paketlerin ne kadar hızlı yayılabileceğini ortaya koyan son tedarik zinciri olaylarının ardından, Safe Chain, yalnızca halka açık CVE veritabanlarına güvenmek yerine, bağımlılıkları yüklenmeden önce kontrol ediyor.
"Bir sorunun kendi paketinizde olup olmadığını anlamak için sadece halka açık CVE veritabanlarına güvenemezsiniz. O paketi ayrıntılı bir şekilde incelemeli ve yüklemeden önce kullanımının güvenli olduğundan emin olmalısınız."
Güvenlik açığı içeren bağımlılık güncellemeleri konusunda Glasswall, gereken manuel mühendislik çabasını önemli ölçüde azalttı. Geliştiriciler artık, Aikido tarafından doğrudan oluşturulan otomatik çekme istekleri sayesinde, aynı iş akışında hem sorunu hem de düzeltme yolunu görebiliyorlar.
“En riskli bağımlılıklar için tek tuşa basmak yeter. PR hazır, test hazır, birleştirmeniz yeterli.”
Glasswall için yol haritası, mevcut işlevsellik kadar önemliydi. Bir siber güvenlik şirketi olarak ekip, yalnızca AppSec araçlarının bugünkü durumunu değil, aynı zamanda saldırı odaklı güvenlik testlerinin önümüzdeki birkaç yıl içinde hangi yöne doğru ilerleyeceğini de değerlendiriyordu. Yapay zeka destekli sızma testleri, bu konuda önemli bir gösterge olarak öne çıktı. Chris için bu durum, Aikido’nun geleneksel tarama iş akışlarının ötesine yatırım yaptığını ve saldırı odaklı güvenlik testlerinin önümüzdeki yıllarda nasıl gelişeceğini düşündüğünü ortaya koyuyordu.
“Çoklu ajan yapay zeka tabanlı sızma testi yaklaşımıyla yaptığınız şey, yeni norm haline gelecek. Hata ödül programları ortadan kalkacak bir uygulama değil, ancak artık pek çok araştırmacı yapay zekayı kullanıyor. Neden biz de istismar açıklarını bulmak için yapay zekayı kullanmayalım?”
Glasswall neden Aikido’yu seçti?
Bu kararın alınmasında nihayetinde birkaç faktör etkili oldu:
- VC Paketi ve C++ desteği iki hafta içinde sunuldu
- Azure DevOps ve konteyner kayıt defteri ile yerel entegrasyonlar
- Wiz Code ile benzer sonuçlar, ancak çok daha düşük bir maliyetle
- Kod kalitesinin aynı platformda birleştirilmesi
- Bağımlılık sorunlarını gidermek için tek tuşla AutoFix
- Yapay zeka destekli saldırı testlerine uygun bir yol haritası
Sonuçlar
En göze çarpan sonuç, konsolidasyondu. Snyk, Wiz Code ve Black Duck’ın yerini, kod, bağımlılıklar ve konteynerleri kapsayan tek bir Aikido dağıtımı aldı. Bunun etkisi, tedarik maliyetlerindeki tasarrufların ötesine uzandı. Konsolidasyon, operasyonel karmaşıklığı azalttı, önceliklendirmeyi basitleştirdi ve güvenlik ekibine, birden fazla tedarikçiye yayılmış parçalı araçlar yerine tek bir iş akışı sağladı.
Glasswall, kapsama alanını diğer saldırı yüzeylerine de genişletmeye devam ediyor. Bir sonraki önceliklerden biri, derleme aracısı altyapısının kendisini güvenli hale getirmektir.
"Derleme aracıları bizim bir numaralı hedefimizdir. Bunlar üzerinde gerçek bir güvenlik katmanları yapısı oluşturduğumuzdan emin olmak son derece önemlidir. Derleme aracılarımızda Aikido Cihaz Koruması’nı kullanmak, daha geniş ekosistemin güvenliğini sağlayacaktır."
Chris için, yapay zeka destekli saldırı testleri, günümüzde uygulama güvenliği alanında yaşanan en önemli dönüşümlerden biridir.
“Yapay zeka destekli sızma testleri yeni norm haline gelecek. Pek çok araştırmacı, güvenlik açıklarını bulmak için şimdiden yapay zekayı kullanıyor. Güvenlik ekipleri de aynı yaklaşımı benimsemelidir.”
Glasswall bugün Aikido’yu nasıl kullanıyor?
Şu anda kullanılıyor
- SAST ve SCA taraması
- VC Paketi / C++ bağımlılık kapsamı
- Konteyner taraması
- Gizli bilgi tespiti
- Kod Kalitesi
- Tedarik zincirinin korunması için Güvenli Zincir
- AI AutoFix
- Azure DevOps ve konteyner kayıt defteri entegrasyonları
Sıradaki planlama
- Derleme aracıları için Aikido cihaz koruması
Değerlendirme
Nihai karar
“Bizim için önemli olan insani bir yaklaşımdır. Bizim ilerleme hızımıza ayak uydurabilecek bir ortağa ihtiyacımız var ve Aikido bunu başarıyor.”
