Bir bakışta
- Tek bir güvenlik mühendisi, günde 70 ila 80 kez sürüm yayınlayan 50 geliştiriciye destek veriyor
- Omnea’da yeni kodların yüzde 80’inden fazlası yapay zeka tarafından üretiliyor
- Altı haftalık bir Snyk kavram kanıtı deneme sürümünün ardından Snyk yerine Aikido’yu tercih ettik
- Omnea’nın ilk özel uygulama güvenliği (AppSec) aracı olarak Aikido’yu benimsedi; daha önce yerini alabilecek başka bir araç yoktu
- Aikido, zamanın yaklaşık yüzde 90’ında geliştirici iş akışında sessizce yer alır
- Yanlış pozitiflerin az olması, tek bir mühendisin her uyarıya güvenip gerekli önlemleri alabileceği anlamına gelir
- SOC 2 kanıtları Vanta’ya aktarılır ve lisans raporları, talep üzerine yatırımcıların durum tespiti sürecini kapsar
- Yapay zeka destekli sızma testlerini deneme aşamasına aldık ve cihaz koruma sistemini yaygınlaştırmayı planlıyoruz
Zorluk
Omnea, Spotify, MongoDB ve Monzo gibi küresel şirketlerin de müşterileri arasında yer aldığı, yapay zeka odaklı bir tedarik şirketidir. Şirket, aktif bir şekilde personel alımı yapan ve sürekli yeni ürünler piyasaya süren bir ekiple müşterilerine hizmet vermektedir. Ekip, Aikido’yu ilk kez benimsediğinde 14 geliştiriciden oluşuyordu ve hızla büyüyordu. Güvenlik, sürüm yayınlarını engellemeden mühendislik ekibiyle birlikte ölçeklenebilmeli ve aynı zamanda kurumsal tedarik denetimlerine de dayanabilmeliydi.
"Aikido'ya ilk başladığımızda, bizimle birlikte büyüyebilecek bir güvenlik aracına ihtiyacımız vardı. O zamanlar 14 geliştiriciden oluşan bir ekiptik ve hızla büyüyorduk. İşlerimizi engellemeden, güvenli kalmamızı ve kurumsal müşterilere ürün sunmamızı sağlayacak bir şeye ihtiyacımız vardı."
Çözüm
Aikido, tek bir platform altında geniş bir uygulama güvenliği (AppSec) alanını kapsıyordu ve arka planda kalarak geliştiriciler tarafından benimsenmeyi başardı. Mühendisleri yalnızca gerçekten incelenmesi gereken bir durum olduğunda rahatsız ediyor.
"Geliştiricilerimiz Aikido'yu her gün kullanıyor, ancak bu büyük bir engel teşkil etmiyor. Zamanın yüzde doksanında arka planda sessizce duruyor. Çoğu geliştirici, zamanın yarısında onun varlığını bile unutuyor. Sadece gerçekten önemli bir durum ortaya çıktığında dikkatlerini çekiyor."
Omnea, Aikido’yu mühendislik ve güvenlik birimlerinin halihazırda kullandığı araçlarla entegre etti: GitHub, Linear ve Vanta. Vanta entegrasyonu, ekibin SOC 2 denetimlerini yürütme şeklini yeniden şekillendirdi.
"Aikido'yu GitHub, Linear ve Vanta'ya entegre ettik. SOC 2 aracımız olan Vanta ile birlikte, Aikido denetçilere hazır kanıtlar sunuyor; geriye dönüp belirli sorunları tek tek aramaya gerek kalmıyor."
Omnea’da yapay zeka tarafından üretilen kod artık bir istisna değil, norm haline gelmiştir. Bu durum, kod tabanının gelişme hızını ve bir güvenlik aracının ayak uydurması gereken unsurları değiştiriyor.
"Günümüzde kodumuzun yüzde sekseninden fazlası yapay zeka tarafından üretiliyor. Her şeyin bu kadar hızlı değiştiği ve geliştiği bir ortamda, yaptıklarımızı kontrol eden bir araca sahip olmak gerçekten çok önemli."
Omnea neden Aikido’yu seçti?
Omnea, Aikido’yu Snyk ve birkaç mevcut çözümle karşılaştırdı. Kararı belirleyen faktör, Aikido ile çalışmanın başından itibaren ne kadar kolay olduğu oldu: şeffaf fiyatlandırma, kullanıma hazır geniş kapsam ve özellik taleplerini birkaç gün içinde hayata geçiren bir ekip.
"Aikido ile çalışmanın ne kadar daha kolay olduğu en başından beri belliydi. Şeffaf fiyatlandırma, daha yaratıcı çözümler ve hızlı yanıt veren bir ekip. Bu da seçimi açık ve kolay hale getirdi."
Snyk değerlendirmesiyle arasındaki fark açıkça görülüyordu. Orada yapılan altı haftalık deneme, yanıt verme hızındaki farkı net bir şekilde ortaya koydu; oysa Aikido, geri bildirimleri ertesi gün iletiyordu.
- Zorunlu çok haftalık değerlendirme döngüsü olmaksızın şeffaf fiyatlandırma
- Tek başına bir SCA aracının ötesinde, SAST, SCA ve AutoFix’i de içeren kapsamlı ve kullanıma hazır çözüm
- Özellik taleplerine çeyrekler değil, günler içinde yanıt veren bir ekip
- GitHub, Linear ve Vanta ile yerel entegrasyonlar
- AI odaklı bir mühendislik ekibinin çalışma hızına uygun olarak tasarlanmış bir platform
Sonuçlar
Ekstra personel alımı gerektirmeden gelişmelere ayak uyduran güvenlik
Omnea, Aikido sayesinde daha gürültülü veya daha fazla manuel çalışma gerektiren bir araçla sürdürülmesi zor olacak bir oranı sağlıyor: elli geliştiriciye bir güvenlik mühendisi düşüyor. Bu oran, Aikido’nun kod, bulut ve bağımlılıkları tek bir yerden kapsayarak gürültüyü düşük tutması sayesinde korunuyor; böylece tek bir mühendis tüm alanı görebiliyor ve sistemin işaretlediği sorunlara güvenebiliyor.
"Aikido, yüksek güvenlik düzeyimizi koruyarak kurumsal müşterilere dağıtım yapmamızı sağladı. Günde 70 ila 80 kez üretim ortamına dağıtım yapıyoruz. 50 geliştiriciye bir güvenlik mühendisimiz var ve Aikido en zorlu işleri üstlendiği için bu mühendis tüm iş yükünü yönetebiliyor."
Ekibin güvenebileceği uyarılar
Yalın bir güvenlik sistemi, ancak her uyarıya müdahale etmeye değer olduğunda işe yarar. Omnea’da, yanlış pozitif uyarıların olmaması, tek bir mühendisin işin üstesinden gelmesini sağlar ve bu da, araç bir uyarı verdiğinde geliştiricilerin onu ciddiye almasının sebebidir.
"Geliştiriciler, Aikido bir sorun tespit ettiğinde bunun gerçek bir sorun olduğuna güvenirler. Gereksiz uyarılar ve yanlış pozitif sonuçların olmaması, bir şeye baktığınızda düzeltilmesi gereken gerçek bir sorun olduğunu bilmenizi sağlar."
Artık gözle görülür hale gelen tedarik zinciri riski
Aikido, Omnea’nın bağımlılıkları üzerinden geçen tedarik zinciri risklerinin hacmini, kayıt sistemlerine dağınık halde değil, tek bir yerde ortaya koyuyor. Önceki çeyreğe kıyasla yedi kat daha fazla tedarik zinciri güvenlik açığı tespit edilen yakın zamandaki üç aylık bir dönemde, tüm bu güvenlik açıkları ekip tarafından görülebiliyordu.
"Geliştiricilerin güvenlik açığı bulunan veya ele geçirilmiş bir paketi yüklemesi çok kolay olduğundan, yüklenen öğeyi engelleyen bir mekanizmanın olması gerçekten çok değerli."
İnceleme odasında karşılığını veren güvenlik
Sermaye artırımı yapan bir şirket için Aikido, Omnea’nın hiç beklemediği bir noktada meyvesini verdi. Yatırımcılar, olgun bir güvenlik yapısına dair kanıt talep ettiklerinde, cevap çoktan hazırlanmış ve bekliyordu.
"Aikido, yatırımcıların durum tespiti sürecinde bile bize yardımcı oldu. Her lisans türüyle ilgili raporlar anında oluşturuldu. Yatırımcılarımız sorana kadar böyle bir özelliğin olduğunu bile bilmiyorduk ve bu, sorunu anında çözdü."
Bu durum, yatırımcıların şirketi nasıl değerlendirdiğini de değiştirdi. Talep edildiğinde, o menkul kıymetin nasıl yönetildiğini gösterebilmek, bir dizi sorunun daha başlamadan ortadan kalkmasını sağladı.
"Sermaye artırımı yaparken, yatırımcılar güvenlik konusunda her açıdan olgun bir yaklaşım sergilediğinizi görmek isterler. Aikido ile ilgili olarak ise başından beri hiçbir endişe yoktu. Bu konuyu tam olarak kontrol altında tuttuğumuzu ve proaktif bir tutum sergilediğimizi söyleyebiliriz."
Aynı kanıt izi, ekibin SOC 2 denetimlerinde de kullanılıyor; bu denetimlerde Aikido, denetçilere SLA kapsamında düzeltme işlemlerine ilişkin kanıtları sunuyor ve böylece hiç kimse sorunları manuel olarak takip etmek zorunda kalmıyor.
Omnea, Aikido'nun kullanım alanını nasıl genişletiyor?
Zaten kullanıyorsanız
- SAST ve SCA taraması
- AutoFix
- SOC 2 kanıtları için Vanta entegrasyonu
- Lisans raporlaması
- Aikido Safe Chain
Deneme uygulaması
- Yapay zeka destekli sızma testi; ilk denemeler tamamlandı ve sürekli olarak uygulanması planlanıyor
"Eskiden yılda sadece bir kez siber güvenlik testi yapardık; bu genellikle formalite icabı bir işlemden ibaretti. Yapay zeka destekli siber güvenlik testleri sayesinde, sorunları yayınladığımız anda tespit edebiliyoruz. Birisi fark etmeden önce bunları düzeltebiliyoruz."
Evlat edinmeyi planlıyorsunuz
- Cihaz koruması
Bir sonraki adımın değerlendirilmesi
- Aikido Zen Firewall, dışa giden trafiğe yönelik ve öğrenme tabanlı kurallar açısından AWS WAF’ın olası bir alternatifi olarak
Nihai karar
"Bizim için Aikido’nun en önemli etkisi, yıldırım hızında hareket ederken sürekli güvende kalabilmemizdir."
