Bir bakışta
- Önceki sağlayıcılar ve araçlardan geçiş sırasında tarama kapsamında herhangi bir boşluk yaşanmamaktadır
- Ulaşılabilirlik analizini kullanarak on binlerce bulguyu, önemli olan birkaç tanesine indirgedik
- Kavram kanıtı aşamasında, Aikido’nun isabet oranını önceki araca göre daha yüksek olarak değerlendirdi
- Geçiş süreci boyunca denetçiler ve düzenleyici kurumlar için eksiksiz bir denetim izi tutuldu
- İşlenmemiş bulguların oluşturduğu bir kuyruk yerine, her geliştiricinin önüne tek bir net bildirim koyun
- Slack üzerinden Aikido ekibiyle doğrudan iletişim kurar; aynı gün içinde düzeltmeler ve hızlı yanıtlar sağlanır
Bulguların selinden bir yol açmak
Revolut, 2015 yılında kurulan ve merkezi Londra’da bulunan, şu anda 40 ülkede faaliyet gösteren ve her çeyrekte yeni ürünler ekleyen küresel bir fintech şirketidir. Mühendislik ekibi 2.500’den fazla yazılım geliştiriciden oluşmaktadır ve uygulama katmanı, bulut, ağ ve yapay zeka alanlarında bu kadar hızlı gelişen bir sistemi güvenli hale getirmek, sürekli değişen bir hedeftir.
Arsalan Ghazi, Revolut’ta Uygulama Güvenliği Sorumlusu olarak görev yapmaktadır ve buradaki görevi, şirketin genelinde müşteri verilerini korumaktır. Yazılım bileşimi analizindeki temel sorunu tek bir cümleyle özetlemektedir.
"SCA, bulguların adeta bir sel kapısı gibidir. Her gün, her hafta yüzbinlerce bulgu ortaya çıkıyor ve yapay zekanın araştırmacılara açık kaynak kodlu yazılımda daha fazla bulgu keşfetmelerine yardımcı olmasıyla bu sayılar daha önce hiç görülmemiş bir hızla artıyor."
Asıl zor olan, güvenlik açıklarını bulmak değil; hangilerinin önemli olduğunu bilmektir.
Zorluk
Giderek genişleyen bir su kapakçığı
SCA, hiçbir ekibin manuel olarak önceliklendirme yapamayacağı hacimde bulgular üretir ve araştırmacılar açık kaynak kodda daha fazla sorun ortaya çıkardıkça yapay zeka bu süreci hızlandırmaktadır. Sömürülebilir bulguları gereksiz bilgilerden ayırmanın bir yolu olmadığında, güvenlik ekibi sorunları gidermek yerine bunları sınıflandırmakla zamanını harcar.
Düzenlemeye tabi bir bankanın kesinlikle hataya yer bırakmaması gereken bir geçiş süreci
Revolut halihazırda bir SCA aracı kullanıyordu; bu nedenle Aikido’ya geçiş, sıfırdan bir kurulum değil, tam bir tedarikçi değişikliği anlamına geliyordu. Düzenlemeye tabi bir fintech şirketi için bu, kurum içi otomasyonları yeniden oluşturmak, belgeleri güncellemek ve denetçilere ve düzenleyici kurumlara tarama kapsamının hiçbir zaman kesintiye uğramadığını kanıtlamak anlamına geliyordu.
Revolut neden Aikido’yu seçti?
Gerçek işe yönlendiren erişilebilirlik
Kavram kanıtı çalışmasında öne çıkan unsur, erişilebilirlik analiziydi: Revolut’un geçişli kütüphanelerine fiilen erişebilen güvenlik açıklarını tespit etmek; böylece ekip, hangi bulgulara öncelik vermesi gerektiğini bilebiliyor.
"Erişilebilirlik analizi, geçişli kütüphanelerdeki gerçek güvenlik açıklarını ortaya çıkarır. Yaklaşık 10.000 sorun arasından hangilerine öncelik vermemiz gerektiğini ve işletmenin hangilerine odaklanıp düzeltmesi gerektiğini biliyoruz."
Önceki araca göre daha yüksek doğruluk
Gerçek depolarda kavram kanıtı çalışmasını gerçekleştiren ekip, Aikido’nun doğruluğunu halihazırda kullandıkları araçtan daha yüksek olarak değerlendirdi.
"Kavram kanıtı aşamasında, doğruluk oranı halihazırda kullandığımız araçtan daha iyiydi."
Sanki sizin ekibinizin bir parçasıymış gibi çalışan bir ekip
Destek hizmeti, ürün kadar dikkat çekiciydi.
"Bazen bir sorunu bildirdiğimizde, aynı gün içinde çözüme kavuşturdukları durumlar oluyor. Slack üzerinden doğrudan iletişim kuruyoruz; birisi 15 dakika içinde bildirimi onaylayıp yanıt veriyor. Aikido’yu üçüncü bir taraf olarak görmüyoruz, onları kendi ekibimizin bir parçası olarak görüyoruz."
Geliştiriciler nasıl sadece önemli olanı görürler?
Revolut, sorunların ele alınmasını bireysel geliştiricilere bırakmaz. Uygulama güvenliği ekibi, tüm hizmetler genelinde sorunların dağıtım sürecinden sorumludur; önceliklendirme işlemini gerçekleştirir ve ortaya çıkan binlerce sorundan hangilerinin gerçekten düzeltilmesi gerektiğini belirler. Geliştiriciler, kendi işlerini aramak için hiçbir zaman bir kuyruğa giriş yapmazlar. Revolut’un güvenlik açığı yönetim sisteminde, Aikido’ya bir bağlantı, ilgili CVE numarası ve geçmeleri gereken sürümü içeren tek bir bilet alırlar.
"Geliştiricilerimize, kendilerine atanan bir bilet gönderiliyor; bu bilette Aikido’ya yönlendiren bir bağlantı, CVE bilgileri ve hangi sürümü güncellemeleri gerektiği belirtiliyor. Geri bildirimler olumlu. İhtiyaç duydukları bilgileri bilette buluyorlar ve hemen düzeltme işlemine başlıyorlar."
Bu kontrol, Revolut’un yeni paket sürümlerini nasıl ele aldığına da uzanmaktadır. Yeni bir sürümün güvenlik açığına sahip çıkma riskine karşı önlem olarak, ekibin kendi politikası, geliştiricilere önerilen bir sürümü üretim ortamına geçirmeden önce beş gün beklemelerini öngörmektedir.
Önceki tedarikçilerden kesintiye uğramadan geçiş yapmak
Anahtarın sağlaması gereken fark, süreklilikti: depolar genelinde SCA taramasının tutarlı bir kapsamda gerçekleştirilmesi ve ekibin sorunları tespit edemediği hiçbir boşluk olmaması.
"Bir tedarikçiyi değiştirmek kolay değildir. Otomasyonları yeniden kurmanız, belgeleri güncellemeniz ve denetçilerinize ile düzenleyici kurumlara eksiksiz bir denetim izi sunmanız gerekir. Anlaşmayı imzaladıktan sonra, Aikido’yu sisteme entegre etmek oldukça basit ve hızlı oldu."
Bu geçiş, gerçekleştirilen tek konsolidasyon değildi. Revolut, mümkün olduğunda kendi çözümlerini geliştirme tercihine uygun olarak şirket içinde kendi DAST aracını geliştirmişti; ancak bu araç, yoğun bir bakım yükü ve manuel iş yükü gerektiriyordu. Aikido’nun bu tür bir ek yük olmadan çalıştığını gördükten sonra, onu Aikido ile değiştirdiler.
"Revolut'ta mümkün olduğunca her şeyi şirket içinde geliştiriyoruz; bu nedenle kendi DAST aracımız vardı. Bu araç, çok fazla bakım ve manuel çalışma gerektiriyordu. Aikido ile değiştirdik çünkü bu araç, kurulumdan hemen sonra sorunsuz bir şekilde çalışmaya başladı."
Revolut’un bundan sonraki adımları
Revolut şu anda, erişilebilirlik analizi içeren yazılım bileşim analizi ve dinamik uygulama güvenlik testi (DAST) için Aikido’yu kullanmaktadır.
Ekip, Arsalan’ın açıkça ifade ettiği bir açığı kapatmak amacıyla Zen ile çalışma zamanı koruması üzerinde çalışıyor.
"Shift Left yaklaşımını benimsiyoruz, ancak sağ tarafta herhangi bir koruma mekanizması yok. Kütüphane güncellemesinin zaman aldığı sıfır gün saldırıları gibi durumlar için çalışma zamanında koruma sağlayan bir çözüm istiyoruz."
Geliştirici bilgisayarlarındaki tedarik zinciri risklerini ele almak amacıyla cihaz koruması deneme aşamasındadır; bu sistemlerde güvenliği ihlal edilmiş paketler ve iş istasyonları giderek artan bir endişe kaynağı haline gelmiştir. Yapay zeka destekli sızma testi, gelecek çeyreğe yönelik yol haritasında yer almaktadır; bu konuda erken aşamadaki deneme çalışması halen doğrulama sürecindedir. Arsalan’ın ekibine belirlediği hedef, harici programların tespit ettiklerinden daha fazla sorunu kurum içinde bulmak, dengeyi daha fazla kurum içine kaydırmak ve sorunları geliştirme döngüsünün daha erken aşamalarında tespit etmektir.
Statik analiz konusunda Revolut, kendi bünyesinde bir kapasite oluşturdu. Yıllar önce denediği bir üçüncü taraf SAST aracı, gerçekten kritik güvenlik açıklarını ortaya çıkarmakta zorlanmıştı; bu nedenle ekip, hata ödül programı ve sızma testi bulgularından yola çıkarak kendi kurallarını yazdı ve tüm kod tabanını ve her yeni çekme isteğini taramaya başladı. Şu anda takip ettikleri konu, Aikido’nun analizinin, kural tabanlı sistemlerinin yakalayamadığı sorunları tespit edip etmediğidir.
"Aikido'nun ne bulduğunu yakından takip ediyoruz. Son zamanlarda ortaya çıkan bazı bulgular, basit kural tabanlı değildi; SAST için bir LLM kullanıyorlar ve şu anda bizim eksikliğimiz de tam olarak bu."
Nihai karar
Arsalan, bu ortaklık konusundaki görüşüne tekrar geri dönüyor.
"Kodumuzu ve verilerimizi korumamıza yardımcı oluyorlar ve gözlemlerimize ve neyin işe yarayacağını düşündüğümüze dayanarak bu aracı daha da olgunlaştırmamıza destek oluyorlar. Benim için en önemli nokta da bu."
