Bir bakışta
- Aikido'yu GitHub, GitLab ve Azure DevOps'taki kaynak koduna doğrudan bağlayarak taramaların hemen başlamasını sağladı ve herhangi bir pipeline yönetme ihtiyacını ortadan kaldırdı
- Şirket satın almalarıyla aramıza katılanlar da dahil olmak üzere, kuruluştaki tüm ekipler için güvenlik kapsamı sağladı
- Tüm sistem genelinde bir zero-day maruziyet kontrolünü saniyelere indirdi
- Geliştiricilerin mevcut kaynak kod kontrol hesaplarıyla sisteme dahil olmalarını ve kendi sorunlarını yönetmelerini sağladı
- Konteyner içindeki sorunlar dahil olmak üzere bulguları depodaki (repository) ilgili dosyaya kadar takip etti
- Büyük bir migrasyon sürecine gerek kalmadan Black Duck'tan geçiş yaptı
- Sistemi tarayan ve kullanıma hazır bir rapor sunan Aikido API üzerinde bir AI ajanı oluşturdu
Güvenliği yapay zeka geliştirme süreçleriyle aynı hizada tutmak
NiCE, 150'den fazla ülkede 25.000'den fazla kuruluş için müşteri deneyimi ve finansal suç yazılımları geliştiriyor. 1986 yılında kurulan ve NASDAQ'da işlem gören şirket, birçok ürüne yayılan ve binlerce geliştiriciden oluşan bir mühendislik organizasyonuna sahip; üstelik bu yapı satın almalarla büyümeye devam ediyor.
Matan Keret, yazılımcılıktan baş mimarlığa uzanan yaklaşık 16 yıllık kariyerini NiCE'da geçirdi. Mühendislik organizasyonunun güvenliğine liderlik eden Keret, yapay zeka çağındaki bu görevi tek bir cümleyle özetliyor.
"Yapay zeka çağında ekiplerimizin sanki hiçbir güvenlik endişesi yokmuş gibi çalışmasını sağlarken, her şeyi kontrol altında ve güvenli tutmalıyız."
NiCE ölçeğinde bu testi geçmek işin en zor kısmıdır. Herhangi bir süreci birkaç bin geliştiriciye ölçeklemek zordur, güvenlik ise bunların en başında gelir.
Zorluk
Sonuç almak her şeyi koordine etmeyi gerektiriyordu
NiCE'ın önceki aracı Black Duck'tı. Buradan sonuç almak, taramaları koordine etmeyi ve her şey görünür hale gelmeden önce her şeyi pipeline'lardan geçirmeyi gerektiriyordu. NiCE ölçeğindeki bir kuruluş için, araç değiştirmek adına tüm bu süreci yeniden koordine etmek neredeyse imkansızdı; birçok şirketin artık ihtiyaçlarını karşılamayan bir araçta kalmasının nedeni de tam olarak budur.
Bu eksiklik en çok bir zero-day sırasında ortaya çıkıyordu
Maliyet, yeni bir güvenlik açığı açıklandığında en net şekilde görülüyordu. Eski araca her bir grubu dahil etmek zaman ve manuel çaba gerektirdiğinden, ekip hangi grupların güvence altında olduğunu hızla teyit edemiyordu. Yapılan her satın alma, büyük resmi görmeyi daha da zorlaştırıyordu.
NiCE neden Aikido'yu seçti?
Bir kurtarma hamlesi değil, proaktif bir geçiş
Bu bir kurtarma operasyonu değildi. NiCE, Black Duck'tan memnuniyetsiz de değilti. Anlaşmanın süresi doluyordu, ekip yapay zeka geliştirmeye odaklanıyordu ve aynı aracı üç yıl kullandıktan sonra başka nelerin mevcut olduğunu görmek istediler.
"Anlaşma sona eriyordu ve muhtemelen artık daha yeni, daha iyi alternatiflerin olduğunu düşündük. Bu yüzden etrafa baktık."
Ekibin güvenebileceği bulgular
Kavram kanıtı (PoC) aşamasında ekip, biri bulut tabanlı ve diğeri daha çok şirket içi (on-premise) olan gerçek depolar üzerindeki bulguları karşılaştırdı ve Aikido'nun doğruluğunu, kullandıkları araçtan daha yüksek olarak değerlendirdi. Zararlı yazılımlar diğer her şeyle karışmak yerine ayrı bir görünümde yer alıyor ve kullanım ömrü dolmuş (end-of-life) bileşenler net bir şekilde işaretleniyor; bunların ikisini de önceki araç iyi yapamıyordu.
Hızla hareket eden bir ürün ekibi
Ürünün arkasındaki ekip de en az ürün kadar öne çıktı.
"Ekip beni şaşırttı. Bir kanal açtık ve sorunlar bulduğumuzda bunlar kabul edildi ve çok hızlı bir şekilde giderildi. Bu bambaşka bir seviye."
Doğrudan depolara bağlanma
Aikido; GitHub, GitLab ve Azure DevOps'taki kaynak depolara doğrudan bağlanır ve tarama hemen başlar. Değişiklik, araç geçişini imkansız gibi gösteren orkestrasyon iş yükünü ortadan kaldırdığı için, NiCE'ın ölçeğinde bu aracı kullanılabilir kılan şey oldu.
Bağımlılıklar gerçek proje dosyalarından okunduğu için ekip, herhangi bir bulgunun tam olarak nereden kaynaklandığını takip edebilir. Matan, bir sonuca şüpheyle yaklaşan bir geliştiriciye verdiği yanıtı anlatıyor.
"Bir kütüphane kullandığımızı düşünmediklerini söylüyorlar. Depoyu açıyorum, erişilebilirlik (reachability) seçeneğine tıklıyorum ve GitHub'daki tam dosyayı gösteriyor. Onlara hayır, burada, deponuzda diyebiliyorum. Başka bir yerden gelmiyor."
Kapsayıcılar da (container) aynı muameleyi görüyor. NiCE, konteynerlerinin çoğunu AWS üzerindeki ECR'da çalıştırıyor ve bunları kaynak depolara bağlamak, bir konteynerdeki sorunun aslında nerede bulunduğunu görmeyi kolaylaştırıyor. Önceki araçta, temel imajlar ile ekiplerin kendi imajları birlikte taranıp karıştırılıyordu, bu nedenle ekipler neyin düzeltilmesi gerektiğini anlayamıyordu. Depolara bağlanmak ikisini ayırdı.
Kendi kendini sisteme dâhil eden (onboard) geliştiriciler
Sisteme katılım süreci de aynı modeli izliyor. Geliştiriciler mevcut kaynak kontrol hesaplarıyla oturum açıyor, depolarını görüyor ve başka kimsenin iznini beklemeden kendi sorunlarıyla ilgileniyorlar. NiCE'ın çalışan sayısı göz önüne alındığında, bu bağımlılığın ortadan kalkması büyük önem taşıyordu.
Ekibin üzerine hareket edebileceği daha temiz bulgular
Kavram kanıtındaki doğruluk günlük kullanıma da yansıdı. Bir bulgu gerçek dosya ve sürüme bağlı olduğundan, daha az şüpheye yol açar ve düşük değerli, düşük riskli bulgular otomatik olarak göz ardı edilir; bu da ekibin önemsiz detaylar yerine asıl meseleye odaklanmasını sağlar.
Saniyeler içinde bir sıfır gün (zero-day) açığına yanıt vermek
En net değişim, yeni bir zafiyet ortaya çıktığında görülüyor. Ekip, Aikido'nun üzerine tüm sistemi tarayan, bağlı kaynak kontrole erişen ve kullanıma hazır bir rapor döndüren bir yapay zeka ajanı inşa etti.
"Bir sıfır gün açığı geldiğinde, her çalışma alanını saniyeler içinde arayabilir ve eğer varsa, tam olarak nerede açıkta olduğumuzu tam olarak öğrenebiliriz. Daha önceden böyle bir görünürlüğümüz yoktu."
Bu güven, şirket satın almalarına da uzanıyor. Eski aracın, ekibin yeni bir grubun kapsama alınıp alınmadığını teyit edemediği durumlarda, artık manuel bir takibe gerek kalmadan güvence sağlanmış oluyor.
NiCE bundan sonra nereye gidiyor?
NiCE; yazılım bileşimi analizi (SCA), konteyner taraması, lisans taraması, zararlı yazılım ve kullanım ömrü sonu tespiti, erişilebilirlik analizi, AutoTriage ile API ve MCP sunucusu üzerinden erişim için Aikido'ya güveniyor ve her ürün kendi kategorisinde kendini kanıtlıyor.
Bundan sonraki en net yönelim, yapay zeka destekli çalışmalardır. Ekip, kodun yazıldığı anda kontrol edilmesi için her geliştiricinin kodlama aracından MCP sunucusu aracılığıyla Aikido'ya ulaşmasını istiyor ve kuruluş genelinde raporlama yapmak amacıyla Aikido API üzerinde bir Power BI panosu oluşturuyor. Cloud posture management, EPSS puanlaması, SLA takibi ve Device Protection değerlendirme aşamasındadır.
Nihai karar
Matan'ın diğer büyük işletmelere tavsiyesi oldukça net.
"Eğer geleneksel araçlar kullanıyorsanız ve etrafa bakınma fırsatınız olursa, uygun bir karşılaştırma yapın. Karşılaşacağınız sonuçlar sizi şaşırtabilir."
NiCE üzerindeki etkiyi özetlemesi istendiğinde, konuyu aracın başarmak üzere yola çıktığı noktada tuttu.
"Yapay zeka geliştirme iş akışlarımızı çok daha güvenli hale getirmemize yardımcı oldu ve ürünlerimiz genelindeki güvenlik duruşumuzu yükseltti."
