Bir bakışta
- DAST ve SAST’ı tek bir platformda birleştirdik
- Bulgular doğrudan Slack, Linear ve Vanta’ya entegre edildi
- Bulguları gözden geçirmek ve sonuçlandırmak üzere haftalık bir toplantı düzenlendi
- Gürültüyü, ekibin gerçekçi bir şekilde yönetebileceği bir düzeye indirildi
- Aikido, DAST için Tenable’ın, SAST için ise GitHub Advanced Security’nin yerini aldı
Zorluk
Render’ın güvenlik ekibi, kurum genelinde uygulama güvenliği, bulut güvenliği ve uyumluluk konularını kapsamaktadır. Yaklaşık 30 aktif depoda çalışan 50 civarında geliştiriciden oluşan ekip, sürekli bakım yükü yaratmadan tutarlı bir kapsama sağlayan araçlara ihtiyaç duymaktadır.
“İç güvenlikten sorumluyuz: Uygulama güvenliği, bulut güvenliği, mevzuata uygunluk. Her şeyden biraz var.” dedi Render Güvenlik Ekibi Mühendislik Müdürü Sean Doughty.
Aikido’ya geçmeden önce Render, DAST için Tenable’ı, SAST için ise GitHub Advanced Security’yi kullanıyordu. Her iki araç da teknik açıdan yeterliydi. Ancak, bu araçların günlük mühendislik çalışmalarına nasıl entegre edilebileceği konusunda bazı zorluklar ortaya çıktı. Kurumda Linear veya Slack ile entegrasyon eksikliği vardı ve bu da mühendislerin görünürlüğünü azaltıyordu. Ayrıca, sorunların önceliklendirilmesini de zorlaştırıyordu. Öte yandan, ekibin tüm depolarında tarama yapması da zordu. Geniş sorumlulukları olan küçük bir ekip için bu düzeydeki ek yükü sürdürmek zorlaşmıştı.
Konsolidasyonu yeniden düşünmek
Render, DAST için ilk olarak Aikido’yu değerlendirdi. Başlangıçtaki hedef oldukça dar kapsamlıydı: halihazırda kullanılmakta olan sistem mühendisliği ile daha iyi entegre olabilecek bir araç bulmak.
“DAST’ı çalıştırdığımda, ‘Hadi SAST’ın nasıl bir şey olduğuna da bir bakalım’ diye düşündüm. Bir depoyu bağlamak için sadece birkaç tıklama yetti,” dedi Sean.
Bu erken dönemdeki deneyim, ekip içindeki bakış açısını değiştirdi. Ekip, DAST ve SAST’ı ayrı araçlar gerektiren ayrı kategoriler olarak görmek yerine, daha geniş bir operasyonel bakış açısıyla değerlendirmeye başladı. İki platformu idare etmek, iki iş akışı, iki veri kaynağı ve düzinelerce depo genelinde doğru şekilde yapılandırılması gereken iki sistem anlamına geliyordu. Küçük bir ekip için bu parçalanma, iş akışında aksaklıklara yol açıyordu.
“Aikido ile her şey bir şekilde yolunda gitti ve birkaç aydır da böyle devam ediyor,” dedi Sean.
Bu güvenilirlik, konsolidasyon sürecini daha az riskli hale getirdi. Hem DAST hem de SAST’ı tek bir platformda çalıştırmak, ekibin yönetmesi gereken sistem sayısını azalttı ve depo düzeyinde tarama yapılandırmasını ortadan kaldırdı. Yeni depolar, kurulum adımlarını tekrarlamaya veya tarama mantığını birden fazla yerde yönetmeye gerek kalmadan eklenebildi. Zamanla Render, her iki işlevi de Aikido’ya taşıdı.
Uygulamada neler değişti?
En dikkat çekici fark, bulguların günlük iş akışına nasıl entegre edildiğiydi.
“Bence entegrasyonlar muhtemelen en önemli unsurlar – Slack, Linear ve Vanta ile entegre oluyor.”
Slack ve Linear, mühendislik görüşmelerinin yapıldığı ve işlerin takip edildiği platformlardır. Aikido’nun bu sistemlere doğrudan entegre edilmesi sayesinde, bulgular aktif izleme gerektiren ayrı bir kontrol panelinde değil, bağlam içinde görüntülenir. Operasyonel açıdan bakıldığında, bu durum ekibin sorunları inceleme ve çözme şeklini değiştirmiştir. Render’da güvenlik mühendisi olarak görev yapan Alex Curtiss, Aikido’nun günlük kullanımının büyük bir kısmını yönetiyor ve bu entegrasyonlar sayesinde, bulguları kapatmaya odaklanan haftalık inceleme oturumunu asenkron bir yaklaşıma dönüştürmeyi başardı. Bulgular zaten Linear ve Slack’e bağlı olduğundan, takip işlemleri mühendislerin ürün çalışmaları için kullandıkları sistemler içinde gerçekleşiyor. Hacim yönetilebilir düzeyde olduğu için haftalık ritim işe yarıyor.
“Eskiden çok daha yoğun bir tempoydu. Aikido ise bizim kaldırabileceğimiz bir tempoda ilerliyor.”
Bu fark, sorunların birikmesine izin vermek yerine istikrarlı bir inceleme sürecini sürdürmeyi mümkün kılmıştır. İşe alım süreci de daha basit hale gelmiştir.
"Bu, mühendislik ekibimizin tamamının görevlendirildiği bir araçtır. Ekibe katıldıklarında bu araca çok kolay bir şekilde erişebilirler."
Geniş erişim, güvenlik sorumluluğunun kurum genelinde dağıtılmasını kolaylaştırır.
Müşteri görüşmelerine destek olmak
Render’da güvenlik, tarama kapsamı ve denetimlerle ilgili müşteri sorularına yanıt vermeyi de içerir. Müşteriler kanıt talep ettiğinde, ekibin bunu hızlı bir şekilde sunması gerekir.
“Bir müşterimizden bir konuda soru aldık ve hemen harekete geçip bir güvenlik denetim raporu hazırladık. Talep ettikleri hususların bir kısmını işaretledikten sonra raporu onlara gönderdik.”
DAST, SAST ve bulutla ilgili bulguların tek bir yerde görüntülenebilmesi sayesinde, bu raporları oluşturmak için artık birden fazla araçtan bilgi toplamak gerekmiyor.
Sonuç
Render’ın güvenlik araçlarını tek bir çatı altında birleştirme kararı, operasyonel gerçekliklerden kaynaklandı. Ayrı sistemlerin çalıştırılması, küçük bir ekibin sonsuza kadar sürdüremeyeceği manuel kurulum, koordinasyon ve görevler arası geçiş gerektiriyordu.
“Elimizde çok güçlü bir yazılım vardı, ancak diğer araçlarımızla entegre olan ve mühendislerin gerçekten kullandığı bir şeye sahip olmak çok daha iyi.”
DAST ve SAST’ı tek bir platformda birleştirerek, bulguları Slack ve Linear’a entegre ederek ve haftalık inceleme döngüsü oluşturarak, Render uygulama güvenliğini rutin mühendislik çalışmalarının bir parçası haline getirdi.
