Bir bakışta
- SCA için Snyk, statik analiz için Sonar ve derleme zamanı taraması için OWASP ZAP olmak üzere üç ayrı aracı tek bir Aikido code bileşeninde birleştirdi
- Bir PCI denetiminde, denetimi engelleyen yüksek önem dereceli bulguların istemci tarafında olduğunu ve istismar edilemez olduğunu göstermek için erişilebilirlik analizi kullanıldı
- Merge veya build öncesinde kritik ve yüksek bulguları engelleyen gerçek güvenlik kapıları, kurgusal olanlarla değiştirildi
- Önceki araçların yönetiminden sorumlu mühendislik ekiplerinin desteği kazanıldı
- Shai-Hulud tedarik zinciri saldırısının eski yazılım yığınını ifşa etmesinin ardından birleştirme hamlesi yapıldı
Çok fazla bulgu, yeterli düzeltme yok
Reward Gateway; şirketlerin çalışanlarına destek olmak için kullandığı takdir, ödül, refah ve indirim çözümleri içeren çalışan bağlılığı ve yan haklar yazılımları geliştirir. 2006 yılında Londra'da kurulan ve artık Edenred'in bir parçası olan şirket, yüksek hacimli işlemleri ve hassas verileri işleyen, bu nedenle PCI kapsamına giren bir SaaS platformu olarak çalışmaktadır. Platformu, müşteri kuruluşlardaki 10 milyondan fazla çalışana ulaşmaktadır.
Angel Indzhov, Reward Gateway'de siber güvenlik başkanı olarak görev yapmakta ve güvenlik operasyonları, ürün güvenliği ile finansal suçlar alanlarına liderlik etmektedir. Çoğu güvenlik liderinin artık yakından bildiği bir sorunu şöyle tanımlıyor: Bulguyu elde etmek artık işin zor kısmı değil.
"Sorunları bulma konusunda daha iyi hale geliyoruz. Ancak bunları düzeltme konusunda aynı başarıyı gösteremiyoruz."
Özellikle yeni modellerin daha fazla bulgu üssetmesiyle birlikte hacim artmaya devam ediyor ve sıfırdan kurulan bir kod tabanını düzeltmek, eski bir kod tabanına göre çok daha kolaydır. Reward Gateway'in ihtiyacı olan şey daha fazla bulgu değildi. Hangilerinin gerçekten önem taşıdığını bilmenin bir yoluydu.
Zorluk
Birlikte çalışmayan bir yazılım yığını
Aikido'dan önce güvenlik, asla bir arada çalışmak üzere tasarlanmamış üç ayrı araç üzerinden yürütülüyordu.
"Statik kod için Sonar, yalnızca SCA için Snyk ve build pipeline'larında OWASP ZAP kullanıyorduk. İnsanların birlikte kullanmaya çalıştığı o kadar çok araç vardı ki, hiçbiri düzgün entegre olmuyordu."
Bir tedarik zinciri saldırısı her şeyi açık etti
Bu araç parçalanması, Shai-Hulud tedarik zinciri saldırısı gerçekleştiğinde büyük bir soruna dönüştü. Mevcut yapı, kritik önem taşıyan sorulara yeterince hızlı yanıt veremiyordu.
"Geçen yıl Shai-Hulud vakası yaşandığında, mevcut araçlarımızın amaca uygun olmadığını anladık. Bu durum bizi yeni bir çözüm aramaya ve konsolidasyona yöneltti."
Araçların sahibi güvenlik ekibi değildi
Güvenlik yığınının bu kadar parçalı olmasının bir nedeni de, mühendislik ekibinin her aracı o anki spesifik bir sorunu çözmek için ayrı ayrı satın almış olmasıydı. Sürecin kontrolü güvenlik ekibinde değildi ve bütçe başka bir departmandaydı; bu nedenle herhangi bir değişiklik yapmak, önce mühendislik ekibini ikna etmeyi gerektiriyordu.
"Tüm bu araçlar mühendislik ekibi tarafından satın alınmıştı, dolayısıyla onları ikna etmek zorundaydık. Bütçe bizim elimizde değildi."
Reward Gateway neden Aikido'yu seçti?
Ölçülü ve aşamalı bir konsolidasyon
Reward Gateway her şeyi tek seferde değişt inmedi. Önce Safe Chain aracılığıyla Aikido ile tanıştı, sonuçlardan memnun kaldı ve ardından tamamlayamayacağı kadar büyük çaplı bir lansman yerine, kod ve saldırı yüzeyi gibi en kritik alanları kapsayan eksiksiz bir kavram kanıtlama (PoC) süreci yürüttü.
Ekibin güvenebileceği erişilebilirlik analizi
Kararı belirleyen özellik, erişilebilirlik (reachability) analizi oldu. Binlerce bulgu ve bunların önemli bir kısmının düşük öncelikli olması nedeniyle ekip, gerçekten istismar edilebilecek durumları edilemeyecek olanlardan ayıracak bir yönteme ihtiyaç duyuyordu.
"Benim için en önemli nokta erişilebilirlik analizi. Bir açığı istismar etmek için nelerin gerçekleşmesi gerektiğini gösteriyor, böylece hangi açığın gerçekten sorun yaratacağını anlıyorsunuz. Bu paha biçilmezdi."
Hızlı yanıt veren bir ekip
Kavram kanıtlama sürecinde, ürünün arkasındaki ekip de ürünün kendisi kadar öne çıktı.
"Bu kadar çok iletişim kuran, geri bildirimlerimizi gerçekten önemseyen başka bir tedarikçi ile çalışmadık. Bir sorun bildiriyoruz, oturup hemen çözüyoruz."
PCI denetiminde erişilebilirlik
En net kanıt bir PCI denetimi sırasında ortaya çıktı. Reward Gateway'in ödeme havuzunda, denetim onay vermeden önce temizlenmesi gereken yüksek riskli bulgular vardı ve süre oldukça kısıtlıydı.
"Bir PCI denetimimiz vardı ve Snyk'te, son teslim tarihinden hemen önce çok hızlı bir şekilde düzeltilmesi gereken, ödeme havuzundaki yüksek riskli bulgular bulunuyordu. Aikido'nun erişilebilirlik analizi, bunların sunucu tarafını hiçbir şekilde etkilemeyen, yalnızca istemci taraflı sorunlar olduğunu gösterdi. Bu sayede risk ortadan kalktı ve herkese tam olarak neye ihtiyacımız olduğunu kanıtlamış olduk."
Bu denetim, sadece bulguları temizlemekle kalmadı; eski araçların yönetiminden sorumlu olan mühendislik ekiplerine Aikido'yu kabul ettirdi. Çünkü gerçek riskin nerede olduğunu (ve aynı derecede önemli olarak nerede olmadığını) onlara açıkça gösterdi.
Gerçekten durdurabilen güvenlik kapıları
Erişilebilirlik analizi, ekibin hangi bulgulara müdahale edeceğini değiştirdi. Güvenlik kapıları (gates) ise aradan kaçan bir açık olduğunda ne olacağını değiştirdi.
"Eskiden hayali güvenlik kapılarımız vardı. Neredeyse hiçbir şey gerçekten engellenmiyordu. Artık kritik ve yüksek seviyeli tüm açıklar bloke ediliyor. PR'ınızı merge edemiyor ve build alamıyorsunuz."
Sıradaki adım, aynı güvenlik kapılarını her aşamada tutarlı bir şekilde uygulamak; böylece bir yerde atlanan bir kontrol, başka bir yerde mutlaka yakalanmış olacak.
Tekil araçların tamamen değiştirilmesi
Erişilebilirlik analizleri ve gerçek engeller sayesinde, ayrı ayrı kullanılan araçlara artık gerek kalmadı.
"Kod bileşenini baştan sona kullanıyoruz: statik kod analizi, gizli veri taraması ve lisanslama. Snyk, Sonar, OWASP ZAP gibi araçları tamamen değiştiriyoruz."
Reward Gateway'in sonraki adımları
Reward Gateway; statik kod analizi, gizli veri taraması, erişilebilirlik özellikli yazılım bileşeni analizi ve lisans taraması dahil olmak üzere Aikido'nun kod bileşenini çalıştırıyor ve kritik ile yüksek seviyeli bulgularda engelleme kuralları uyguluyor.
Ekip buradan hareketle bu kuralları pipeline'ın daha fazla aşamasına yayıyor. Anlamlı sonuçlar elde etmek için önce uygun ortamları hazırlamak istese de yapay zeka destekli pentestleri değerlendiriyor. Yaşanan bir olay sonrasında cihaz korumasını yüksek öncelikli olarak belirlediler; bu hamle, sürüm sabitlemenin ve güvenilebilecek bir tutarlılığın bulunmadığı tarayıcı ile IDE eklentisi boşluğunu doğrudan hedefliyor. Aikido'nun kod denetimi de denenecekler listesinde yer alıyor. Bunların hiçbiri henüz canlı ortamda değil.
Nihai karar
Erişilebilirlik ekibe bir filtre sağladı, konsolidasyon çalışmaları tek bir merkezden çalışabilmelerine olanak tanıdı ve gerçek engeller riskli kodları fiilen durduran bir mekanizma sundu.
"Amaç, iyileştirmeleri kademeli olarak gerçekleştirmek ve ürünün en çok sevdiğim yönü de tam olarak bu."
