Bir bakışta
- Çok çeşitli ve büyük bir teknoloji yelpazesi ile ekiplerin güvenliğini tek bir ekranda topladı
- Önce kod ürünüyle başlayarak Aikido'yu aşamalı olarak devreye alma
- Verilerin Belçika yasaları kapsamında AB'de barındırılmasıyla Aikido'yu KEYES'in kendi veri egemenliği öncelikleriyle uyumlu hale getirme
- Bulguları manuel olarak kontrol etme iş yükünü azaltarak diğer öncelikler için zaman yaratma
- Talep edilen bir özelliğin birkaç gün içinde bir PR, düzeltme ve dağıtımla hayata geçirildiğini görmek
- Geliştiricilerin Aikido'nun iş akışlarına daha derinlemesine entegre edilmesini talep ettiğini görmek
Geniş bir altyapıda güvenliği merkezi hale getirme
Eski adıyla NRB Group olan KEYES, Belçika'nın en büyük BİT gruplarından biridir. Merkezi Herstal'da bulunan ve 1987 yılında kurulan şirket, yaklaşık 3.700 kişiye istihdam sağlıyor, Belçika'da kendi veri merkezlerini işletiyor ve çok geniş bir ekip ile teknoloji yelpazesinde egemen hizmetler sunuyor. Bu ölçek, güvenlik çalışmalarının temelini oluşturuyor: Geniş bir ortam yelpazesini yöneten olgun bir güvenlik organizasyonu.
KEYES'te güvenlik mühendisi olarak görev yapan Fabrice Servais; SOC, zaafiyet yönetimi ve olay müdahale süreçlerini yürüten güvenlik ve operasyon ekibinde yer alıyor. Ekibi, uygulama güvenliğini yazılım geliştirme yaşam döngüsüne daha fazla dahil etmek için çalışıyor ve çözülmesi gereken ilk sorun, geniş bir teknoloji ve ekip yelpazesinde görünürlük elde etmekti.
"Birçok farklı ekiple birlikte çok sayıda farklı teknolojiyi ve teknoloji yığını destekliyoruz. Aikido, bu boşlukları kapatmamıza, güvenlik bulgularımızı merkezi hale getirmemize ve genel güvenlik duruşumuzu iyileştirmemize yardımcı oluyor."
Zorluk
Birçok teknoloji genelindeki karmaşıklık
KEYES, pek çok ekip arasında çok sayıda farklı teknoloji yığınını destekliyor ve yerinde yüklerle kendi veri merkezlerini işletiyor. Olgun bir güvenlik operasyonunu halihazırda yürüten bir güvenlik ve operasyon ekibi için zorluk hiçbir zaman yapı meselesi olmamıştı; zor olan, bulguları yığın yığın veya ekip ekip takip etmek yerine, bu ortamların her birindeki bulguları tek bir yerde toplamaktı.
Her ortama tek bir ekrandan bakış
Bulgular, her ekip kendi alanına yakın olacak şekilde tasarım gereği birçok farklı ortamda bulunuyordu. KEYES, güvenlik ekibinin yalnızca ekip ekip değil, tüm ortamları aynı anda tek bir yerden görebilmesi için bunların da tek bir yerde toplanmasını istiyordu.
KEYES neden Aikido'yu seçti?
Daha az gürültü, daha hızlı triyaj
Ekip alternatifleri karşılaştırdığında, birçok aracı birlikte kullanmanın maliyeti; bulguları katman katman ve manuel olarak kontrol etmenin getirdiği operasyonel yük oldu. Aikido, bulguları en çok önem taşıyan unsurlara göre gruplandırarak platform içinde önceliklendirdi; bu da ekibin analiz için harcadığı süreyi kısalttı ve diğer çalışmalar için zaman yarattı.
Egemenlik, KEYES için birincil öneme sahip
Veri egemenliği KEYES için stratejik bir önceliktir. Kendi veri merkezlerine ve egemen hizmet tekliflerine sahip Belçikalı bir oyuncu olarak, kendi müşterilerinden de giderek daha sık aynı sorularla karşılaşıyor: Verilerime ne oluyor, bulgularıma ne oluyor, uygulamam nerede barındırılıyor? Belçika yasaları kapsamında AB'de yer alan verilere sahip Belçikalı bir şirket olan Aikido'nun bu duruşla örtüşmesi, platformun teknik uyumuna ek olarak sağlanan bir avantaj oldu. Fabrice, verilerin şirket içinde (on-premises) barındırılmasına yönelik hâlâ atılabilecek adımlar olduğunu ve ekibin bunu araştırmaya devam etmeyi planladığını belirtti.
"Daha sık duyduğumuz yorumlardan biri şun듯: Verilerime ne oluyor, uygulamam nerede bulunuyor? Aikido'nun Belçikalı bir şirket olması, verilerin AB'de yer alması ve Belçika yasaları altında işletilmesi bu öncelikle tam olarak örtüştü."
Kodla başlayan, genişlemek üzere tasarlanan bir yapı
Tek seferde yapılan büyük bir lansman yerine KEYES, altyapının büyüklüğü göz önüne alınarak alınan bilinçli bir kararla Aikido'yu modül modül sisteme entegre ediyor. Ekip, kod ürünü ile başlayarak ayak izini genişletmeden önce bunu geliştiricilerin ellerine ulaştırmayı önceliklendirdi. Plan şimdiden net: Lansman devam ederken bulgu ve saldırı taramaları sıradaki adımlar olacak ve altyapı ekiplerinin Aikido'nun süreç boyunca oluşturduğu güvenlik duruşuna güvenmesi bekleniyor.
"Aikido'yu yazılım geliştirme yaşam döngümüze entegre etme yolculuğumuza kod ürünüyle başlıyoruz, ancak bulut ve saldırı taraması ihtiyaçlarını da doğrudan görüyoruz."
Daha fazlasını talep eden geliştiriciler
Geliştiricilerin araca yaklaşımı ilk lansmandan itibaren çok olumluydu. Güvenlik birimi, aracı ekiplere dayatmak yerine geliştiricilerin avantajları kendi kendilerine kavramasını izledi ve Aikido'nun çalışma biçimlerine daha derinlemesine entegre edilmesini kendileri talep etti.
"Aikido'yu kullanıma sunduğumuzda karşılaştığımız en iyi geri dönüşlerden birini aldık. Geliştiriciler sağladığı avantajları bizzat fark ettiler ve aracı iş akışlarına daha fazla entegre etmemizi istediler."
Gاونler içinde devreye alınan bir düzeltme
İş birliği, entegrasyon sürecinde kendini gösterdi. KEYES'in, Aikido'nun broker'ını GitOps kullanarak dağıtmak için eksikliğini hissettiği bir özelliğe ihtiyacı vardı; böylece ekip, Aikido'yu kendi özel depolarına (private repositories) karşı çalıştırabilecekti. Fabrice bu durumu dile getirdikten sadece birkaç gün sonra bir PR, düzeltme ve dağıtım gerçekleştirildi. Bu kısa geri bildirim döngüsü, ekibin Aikido'yu herhangi bir tekil özellik kadar benimsemesinde etkili oldu.
"Broker'ı GitOps ile dağıtmak için gereken bir özelliğimiz eksikti. Durumu ilettim ve birkaç gün içinde bir PR, düzeltme ve dağıtım yapıldı. Geri bildirim döngüsü son derece kısa. Bu da Aikido'nun dinlediğini ve hemen harekete geçtiğini gösteriyor."
KEYES'in sonraki adımları
KEYES şu anda kod taraması için Aikido'yu kullanıyor. Lansman devam ettikçe bulut ve saldırı taraması sıradaki planlanan modüller arasında yer alıyor. Yapay zeka destekli pentest (AI pentesting), KEYES'in halihazırda kendi müşterilerine sunduğu pentest hizmetlerinin yanında ek bir araç olarak değerlendiriliyor ve ayrı olarak çalıştırılmak yerine geliştirme yaşam döngüsüne daha otomatize bir şekilde dahil ediliyor.
Nihai karar
Fabrice'in değerlendirmesine göre bu ilişki, satış sürecinin çok ötesine geçerek güçlü kalmaya devam etti.
"Sözleşme imzalandığında tartışmalar sona ermiyor. Aikido ile çalışmaya başlamadan önce de destek gördük ve planlama ile entegrasyon süreçlerimizde bu destek hala devam ediyor."
