Bir bakışta
- Birden fazla güvenlik aracını tek bir bütünleşik Uygulama Güvenliği ve Bulut Güvenliği platformunda bir araya getirdi
- 95 depo, 31 konteyner kayıt defteri ve 9 bulut ortamında entegre edilmiştir
- Ruby, Python ve konteyner tabanlı hizmetler üzerinde çalışan geliştiricilere destek sağlar
- Yazılım tedarik zincirinin güvenliğini ve bağımlılıkların görünürlüğünü artırır
- Dependabot ve Detectify dahil olmak üzere dağınık güvenlik araçları yenilendi
Zorluk
Büyüyen işe alım platformunun arkasındaki şirket olan HeyJobs, mühendislik birimini genişlettikçe, güvenlik araçları da bununla birlikte organik olarak gelişmeye başladı. Farklı ekipler, bağımlılıkları izlemek, kodu taramak veya güvenlik uyarıları oluşturmak için farklı sistemlere güveniyordu. Bu araçların her biri sorunun belirli kısımlarını çözse de, yönetilmesi giderek zorlaşan parçalı bir güvenlik iş akışı ortaya çıkardı.
Güvenlik bilgileri, her biri kendi uyarılarını ve gösterge panellerini oluşturan birden fazla platforma dağılmıştı. Mühendisler, riskleri anlamak, sorunlar arasında bağlantı kurmak ve hangi konulara öncelik verilmesi gerektiğine karar vermek için sistemler arasında geçiş yapmak zorunda kalıyordu. Bu durum, güvenlik açıklarının önceliklendirilmesini yavaşlatıyor ve şirketin güvenlik durumuna ilişkin tutarlı bir genel bakış elde etmeyi zorlaştırıyordu.
HeyJobs’un Teknoloji Direktörü (CTO) Boris Diebold, Aikido’yu uygulamaya koymadan önce ortamın nasıl olduğunu şöyle anlatıyor:
“Elimizde birbirinden farklı, dağınık birçok araç vardı; Dependabot’u, güvenlik uyarıları için ayrı bir aracı ve bazı şirket içi araçları kullanıyorduk.”
Zamanla, araç sayısının artması, sistemi daha karmaşık hale getirdi ve ek yük oluşturdu. Her ürünün kendine özgü yapılandırması, iş akışları ve uyarı yönetimi gerektiriyordu; bu da ekiplerin en önemli güvenlik sorunlarına odaklanmalarını zorlaştırıyordu.
Boris şöyle açıklıyor:
“Tüm bu farklı araçlarla kentsel yayılmayı kontrol altında tutmak her zaman zordur.”
Aikido’nun “2026 Güvenlik ve Geliştirme Alanında Yapay Zeka Durumu” raporunda, güvenlik araçlarının sayısındaki artışın daha fazla olayla ilişkili olduğu ortaya çıktı.
HeyJobs, sistemlerinde güçlü bir güvenlik kapsamını sürdürürken, güvenlik açıklarının tespit edilme ve yönetilme sürecini basitleştirmenin bir yolunu aramaya başladı.
Çözüm: Bağlam sağlamak üzere tasarlanmış bir platform
HeyJobs ekibi, değerlendirme süreci boyunca Snyk dahil olmak üzere çeşitli uygulama güvenliği araçlarını inceledi. Birçok çözüm, bağımlılık taraması veya altyapı analizi gibi belirli güvenlik alanlarına yoğun bir şekilde odaklanıyordu. Bu araçlar her bir alanda güçlü yetenekler sunsa da, bunların benimsenmesi genellikle mevcut güvenlik yığınına bir ürün daha eklemek anlamına geliyordu.
HeyJobs için amaç, sadece yeni bir tarayıcı sunmak değil, güvenlik bilgilerinin mühendislere ve yönetim kadrosuna aktarılma şeklini iyileştirmekti. Ekip, geliştirme yığını genelinden gelen güvenlik açığı sinyallerini tek bir platformda bir araya getirebilecek ve bunları ekiplerin bu bilgilere göre harekete geçmesini kolaylaştıracak şekilde sunabilecek bir platform arıyordu.
Boris şöyle açıklıyor:
“Tüm sinyalleri tek bir platformda toplamak istedik; böylece sinyalleri yönetmek için 10 farklı araca ve bunların üzerine eklenecek başka bir araca daha ihtiyaç duymayacaktık.”
Aikido, bu sinyalleri tek bir ortamda bir araya getirmesiyle öne çıktı. Mühendislik ekibi, birden fazla gösterge paneli ve uyarı sistemini yönetmek yerine, tek bir arayüzden kod, konteynerler ve altyapı genelindeki riskleri görüntüleyebildi. Bu sayede, hangi sorunların dikkat gerektirdiği ve bunların nasıl ele alınması gerektiğinin anlaşılması önemli ölçüde kolaylaştı.
Konsolide görünüm, yönetim kadrosuna kuruluşun güvenlik durumuna ilişkin daha net bir genel bakış sağladı. Raporlar ve göstergeler, güvenlik açıklarına ilişkin üst düzey bir bakış açısı sunarken, mühendislerin bunları gidermek için gerekli teknik ayrıntılara derinlemesine inebilmelerine de imkân tanıdı.
Uygulama
HeyJobs, başlangıçta bir kavram kanıtı olarak az sayıda depoyu birbirine bağlayarak Aikido’yu tanıttı. Amaç, platformun güvenlik bilgilerini ne kadar etkili bir şekilde ortaya çıkarabileceğini ve mevcut mühendislik iş akışlarıyla ne kadar iyi entegre olabileceğini değerlendirmekti.
Platformun değeri kısa sürede ortaya çıktı.
“Aslında başlangıçta işler böyle yürüdü. İlk etapta birkaç depoyu deneme amaçlı birbirine bağlayarak hemen faydasını gördük; bence başlangıçta işler çok iyi gitti,” dedi Boris, .
Başarılı değerlendirmenin ardından HeyJobs, mühendislik organizasyonu genelinde platformun kullanıma sunumunu kademeli olarak genişletti. Günümüzde platform, 95 depo, 31 konteyner kayıt defteri ve dokuz bağlı bulut ortamını izlerken, aynı zamanda çok sayıda etki alanı ve API’yi de takip ediyor. Şirketin GitHub ortamıyla doğrudan entegre olan platform, uyarıları PagerDuty gibi operasyonel araçlara aktarıyor; böylece kritik sorunlar hızla tespit edilebiliyor.
Aikido’nun iyileştirici özellikleri de bu uygulamanın benimsenmesinde önemli bir rol oynadı.
Bulut Altyapısı ve Güvenliği Ekip Lideri Rodrigo Oliveira, bu özelliğin etkisini şöyle vurguluyor:
“Özellikle, platformun AutoFix özelliği sayesinde belirli güvenlik açıkları otomatik olarak ya da geliştiricilerin asgari düzeyde manuel müdahalesiyle giderilebiliyor.”
Aikido, aynı platformda tespit, önceliklendirme ve düzeltme kılavuzlarını bir araya getirerek HeyJobs’un dağınık uyarı sisteminden daha net ve eyleme geçirilebilir bir güvenlik iş akışına geçmesini sağladı.
HeyJobs neden Aikido’yu seçti?
HeyJobs, Aikido’yu şu nedenlerle seçti:
- Birden fazla güvenlik sinyalini tek bir entegre platformda birleştirir
- Kod, kapsayıcılar ve bulut altyapısı genelinde geniş bir kapsama alanı sunar
- Güvenlik açıklarının net bir şekilde önceliklendirilmesini ve bunların giderilmesine yönelik kılavuzlar sunar
- Geliştiricilerin manuel iş yükünü azaltan AutoFix özelliklerini içerir
- Yazılım tedarik zinciri risklerinin ve bağımlılık kaynaklı güvenlik açıklarının yönetilmesine yardımcı olur
- Kullanımın yaygınlaşmasını sağlayan sezgisel bir geliştirici deneyimi sunar
Sonuçlar
Azaltılmış saldırı yüzeyi
Aikido’nun uygulanmasının en önemli sonuçlarından biri, HeyJobs’un sistemlerindeki güvenlik açıklarının potansiyel etkisinin azalması olmuştur. Depolar, kapsayıcılar ve bulut yapılandırmaları genelinde gerçekleştirilen sürekli izleme, sorunların daha erken tespit edilmesini ve hizmetler veya ortamlar arasında yayılmadan çözülmesini sağlamaktadır.
Rodrigo Oliveira, bu gelişmeyi pratik bir bakış açısıyla şöyle anlatıyor:
“Şu anda uygulamalarımızın etki alanının önemli ölçüde daha küçük olduğunu söyleyebilirim.”
Erken aşamada tespit edilebilmesi, güvenlik açıkları ortaya çıktığında ekiplerin daha hızlı müdahale etmesini sağlar ve güvenlik zafiyetlerinin uzun süre fark edilmeden kalma olasılığını azaltır. Bu proaktif yaklaşım, şirketin geliştirme hızını korurken genel güvenlik durumunu güçlendirmesine yardımcı olmuştur.
Geliştiricilerde farkındalığın artması
Bir diğer önemli sonuç ise geliştiriciler arasında güvenlik bilincinin artması olmuştur. Aikido, güvenlik açıklarını net açıklamalar ve düzeltme kılavuzlarıyla sunarak mühendislerin güvenlik sorunlarının etkisini ve bunların nasıl ele alınması gerektiğini anlamalarına yardımcı olmaktadır. Bu şeffaflık, ekiplerin geliştirme kararlarına yaklaşımlarını kademeli olarak değiştirmektedir. Zamanla geliştiriciler, konteyner yapılandırmaları, bağımlılık sürümleri ve altyapı kurulumları gibi alanlardaki yaygın risklerin daha fazla farkına varmaktadır.
Rodrigo Oliveira bunu, günlük yazılım geliştirme çalışmalarından alınan pratik bir örnekle açıklıyor:
“Artık herkesin anladığı üzere, kök erişimine sahip bir Docker görüntüsünün pek de iyi bir fikir olmayacağı ortada.”
Bu tür içgörüler, mühendisleri daha güvenli varsayılan ayarları benimsemeye teşvik eder ve geliştirme iş akışlarında herhangi bir aksaklık yaratmadan kurum genelinde güvenlik uygulamalarını iyileştirir.
Açık güvenlik açıklarının önceliklendirilmesi
Birçok güvenlik aracı, sorunların etkisini veya nasıl giderilmesi gerektiğini net bir şekilde açıklamadan büyük miktarda uyarı üretir. Bu durum, mühendisleri sorunların gerçekten önemli olup olmadığını belirleyebilmek için önce bu sorunları araştırmaya zaman ayırmaya zorlar. Aikido, güvenlik açıklarıyla ilgili ciddiyet derecesi, olası etki ve önerilen düzeltme adımları gibi ek bilgiler sunarak bu sorunu ortadan kaldırır. Bu sayede geliştiriciler, hangi sorunların dikkat gerektirdiğini ve bunların nasıl ele alınması gerektiğini hızlı bir şekilde anlayabilirler.
Rodrigo Oliveira bunun ne gibi bir fark yarattığını şöyle açıklıyor:
“Bazı araçlarda, bir güvenlik açığının nasıl giderileceğine ve olası etkilerine dair bilgiler eksik olabilir; ancak Aikido sayesinde neyle karşılaşacağımızı biliyoruz.”
Daha net bir önceliklendirme ve düzeltme kılavuzu sayesinde, HeyJobs mühendisleri çabalarını en önemli güvenlik açıklarına yoğunlaştırabiliyorlar.
Tedarik zincirinde daha fazla güvenlik
HeyJobs liderlik ekibi için yazılım tedarik zinciri güvenliği, en kritik öncelik alanlarından biri olmaya devam ediyor. Modern uygulamalar, açık kaynak bağımlılıklara büyük ölçüde dayanmaktadır ve bu bağımlılıklardaki güvenlik açıkları, çok sayıda hizmeti hızla etkileyebilir. Aikido, bağımlılık ağaçlarını analiz ederek ve hem doğrudan hem de dolaylı bağımlılıklardaki güvenlik açıklarını tespit ederek bu risklere ilişkin daha kapsamlı bir görünürlük sağlar. Bu sayede ekip, yeni ortaya çıkan güvenlik açıklarının sistemlerini etkileyip etkilemediğini ve düzeltme işlemlerinin ne kadar acil olduğunu hızlı bir şekilde belirleyebilir.
Boris, bu yeteneğin önemini şöyle özetliyor:
“Bence geceleri uyumayı zorlaştıran en önemli sorunlardan biri, tedarik zinciri yönetimi saldırıları.”
Bağımlılık kaynaklı güvenlik açıkları ve tedarik zinciri risklerine ilişkin daha net bir görüş elde eden ekip, artık bu tehditlerin hızlı bir şekilde tespit edilip giderilebileceğine dair daha fazla güven duyuyor.
.png)
HeyJobs, Aikido'nun kullanım alanını nasıl genişletiyor?
Zaten kullanıyorsanız
- Aikido Kodu (SAST, SCA, tedarik zinciri güvenlik açığı tespiti, ve daha fazlası)
- Aikido Cloud (CSPM, konteyner güvenlik taraması ve daha fazlası)
- AutoFix düzeltme özellikleri
Bir sonraki adımın değerlendirilmesi
İyileşmeyi teşvik eden güvenlik göstergeleri
Aikido ayrıca HeyJobs’a, mühendislik organizasyonu genelinde kaydedilen gelişmeleri takip etmeye yardımcı olan anlamlı güvenlik göstergeleri sunmaktadır. Bu bilgiler, liderlik ekiplerinin güvenlik açıklarının zaman içinde nasıl değiştiğini izlemelerine ve iç güvenlik hedeflerine göre kaydedilen ilerlemeyi ölçmelerine olanak tanır.
Platform tarafından oluşturulan güvenlik göstergeleri düzenli olarak incelenmekte ve ekiplerin hizmetlerindeki güvenlik açıklarını ne kadar etkili bir şekilde ele aldıklarını değerlendirmek için kullanılmaktadır. Bu veriye dayalı yaklaşım, kuruluşun güvenliği soyut bir hedef yerine ölçülebilir bir mühendislik disiplini olarak ele almasına yardımcı olmaktadır.
Nihai karar
HeyJobs için Aikido, güvenlik stratejisinin merkezi bir bileşeni haline gelmiştir. Güvenlik açıklarına ilişkin bilgileri tek bir platformda bir araya getirerek, şirket güvenlik riskleri konusunda daha net bir görünürlük elde ederken, birden fazla aracı yönetmekten kaynaklanan operasyonel yükü de azaltmıştır.
Geliştiriciler, daha net düzeltme kılavuzlarından ve AutoFix gibi otomasyon özelliklerinden yararlanırken, yönetim kadrosu ise kuruluşun güvenlik durumuna ilişkin kapsamlı bir bakış açısı elde eder. Bu kombinasyon, HeyJobs’un proaktif ve iyi yönetilen bir güvenlik programını sürdürürken mühendislik ekibini genişletmesine olanak tanır.
