Bir bakışta
- Tek bir platformda birleştirilmiş uygulama güvenliği ve bulut güvenliği
- 139 depo, 246 konteyner ve 66 sanal makineyi güvenli hale getirildi
- GitHub Advanced Security, bağımlılık taraması ve bulut araçlarını tek bir sistemde birleştirdik
- Yaklaşık 200 depo genelinde CI iş akışı bakım yükü azaltıldı
- Bulut güvenliği durumu, IaC riskleri ve sanal makine güvenlik açıklarına ilişkin daha fazla görünürlük
Zorluk
SGNL AI, kurumsal ortamlarda kullanılan kimlik ve erişim güvenliği altyapısını oluşturmaktadır. Şirket, platformunu ve mühendislik birimini büyütürken, güvenlik kapsamı birden fazla araca dağılmış hale geldi.
Başlangıçta SGNL, bağımlılık güvenlik açıklarını tespit etmek için GitHub Advanced Security ve Dependabot’a, ayrıca CI boru hatlarındaki konteyner taramalarına güveniyordu. Bu, temel uygulama güvenliği kapsamı sağlıyordu; ancak diğer alanlara, özellikle de bulut altyapısına ilişkin görünürlük sınırlı kalmaya devam ediyordu.
“GitHub Advanced Security ve Dependabot’u kullanıyorduk; bunlar bize yeterli bir koruma sağlıyordu. Ayrıca, iş akışlarımızın çoğunda Trivy’yi de çalıştırıyorduk,” diyor SGNL AI’da Ürün Güvenlik Mühendisi olarak görev yapan Brooks Lowe. “Ancak kötü amaçlı yazılım tespiti konusunda elimizde pek bir şey yoktu.”
– Brooks Lowe, Kıdemli Baş Güvenlik Mühendisi, SGNL
Altyapı kapsamı genişledikçe, bulut güvenliği daha büyük bir endişe kaynağı haline geldi. SGNL, altyapıyı kod yoluyla yönetirken konteyner tabanlı iş yüklerini ve sanal makineleri çalıştırıyordu. Aynı zamanda, bulut tabanlı güvenlik araçları ek karmaşıklık ve maliyet getiriyordu.
Bu ortam genelinde görünürlüğü sağlamak ve aynı zamanda yaklaşık 200 depo genelinde CI tabanlı tarama iş akışlarını yönetmek, küçük bir ekip için giderek zorlaşmaya başlamıştı.
“Yaklaşık 200 depomuz var. Güvenlik taramaları için özel iş akışlarını ve iş akış zincirlerini yönetmek oldukça zahmetli.”
SGNL, bakımı gereken bir platform daha eklemeden hem geliştirici güvenliğini hem de bulut güvenliğini basitleştirecek bir yol arıyordu.
Geliştiriciler tarafından belirlenen bir seçim
Brooks Lowe, SGNL AI’ya katıldığında öncelikli hedeflerinden biri, şirketin güvenlik altyapısını tek bir çatı altında birleştirmekti. Hem uygulama geliştirme hem de bulut altyapısı alanlarında ölçeklenebilir ve aynı zamanda kullanımı kolay bir platforma ihtiyacı vardı.
Aikido, kötü amaçlı bir açık kaynak paketinin yer aldığı bir tedarik zinciri saldırısı hakkında bir yazı okurken ilk kez dikkatini çekti.
“Binlerce SBOM’u tek tek incelemek yerine, saldırıda kullanılan paketin elimizde olup olmadığını görmek için tek bir tıklama yeterli oldu.”
Aikido, başlangıçta uygulama ve tedarik zinciri güvenliği alanındaki yetenekleriyle dikkat çekti. Ancak değerlendirme sürecinde Lowe, platformun ekibin uzun süredir başa çıkmakta zorlandığı çeşitli bulut güvenliği sorunlarına da çözüm sunduğunu fark etti.
“Aikido’nun CSPM özelliklerine ve sanal makine tarama işlevine de sahip olduğunu öğrendiğimizde, bu bizim için büyük bir kazanç oldu.”
Bu durum önemliydi çünkü SGNL, her biri kendi hesaplarına ve yapılandırmalarına sahip olan birden fazla bulut ortamında faaliyet gösteriyordu. Bu ortamlar genelinde bulut güvenliğini yönetmek, farklı araçlar, kontrol panelleri ve iş akışları arasında gidip gelmeyi gerektiriyordu.
Aikido sayesinde bu karmaşıklık ortadan kalktı.
“Artık güvenlik açısından 2 ila 3 bulut ortamını ayrı ayrı incelemek zorunda kalmıyoruz. Aikido kullanıcı arayüzünde konektörleri devreye alarak yönetimi çok daha kolay hale getirdik.”
Görünürlük açısından ötesinde, konsolidasyon aynı zamanda çok sayıda bulut tabanlı güvenlik çözümüne duyulan ihtiyacı da azalttı.
Uygulama güvenliği, altyapı güvenliği ve bulut durum yönetimi için ayrı araçları bir araya getirmek yerine, SGNL tüm bunları tek bir platformda birleştirebilir.
Çözüm
SGNL AI, Aikido’yu tüm geliştirme ortamlarında ve bulut altyapısında devreye aldı. Günümüzde platform şu unsurları izlemektedir:
- 139 depo
- 246 konteyner
- 66 sanal makine
Aikido, SGNL’nin farklı ortamlarda bulut güvenliğini yönetme sürecini de basitleştirdi. Ekip, her bulut hesabı için ayrı araçlar yapılandırmak ve bakımını yapmak yerine, hafif konektörler kullanarak tek bir arayüz üzerinden ortamları sisteme entegre edebiliyor ve izleyebiliyor.
SGNL, artık güvenliği bir dizi CI aracı ve bulut tabanlı tarayıcı aracılığıyla yönetmek yerine, merkezi bir platform üzerinden sağlıyor. Aikido, aşağıdakiler dahil olmak üzere hem yazılım geliştirme yaşam döngüsü hem de bulut altyapısı genelinde kapsam sunuyor:
- Özel kod için uygulama güvenliği taraması
- Açık kaynak bağımlılık analizi ve zararlı paket tespiti
- Konteyner güvenlik açığı taraması
- Altyapı-Olarak-Kod güvenlik kontrolleri
- Bulut güvenlik durumu yönetimi (CSPM)
- VM güvenlik açığı taraması
Bu sayede SGNL, birden fazla tarama boru hattını yönetmeye gerek kalmadan kod, kapsayıcılar ve altyapı genelinde görünürlük sağlar.
SGNL AI neden Aikido’yu seçti?
SGNL, kendi ortamında güvenlik görünürlüğünü artırmaya yönelik çeşitli yaklaşımları değerlendirdi.
Ekibin incelediği Wiz gibi bazı platformlar, öncelikle bulut altyapısı güvenliğine odaklanarak bulut kaynakları ve yapılandırma riskleri hakkında ayrıntılı bilgiler sunuyor. Bu alanda güçlü olsalar da, söz konusu araçlar genellikle uygulama güvenliği, bağımlılık taraması ve geliştirici iş akışlarını kapsayabilmek için ek ürünlere ihtiyaç duyuyor.
SGNL’nin, sorunun her iki yönünü de ele alan bir platforma ihtiyacı vardı.
Aikido , uygulama güvenliği, tedarik zinciri güvenliği ve bulut güvenliği yönetimini tek bir sistemde bir araya getirmesiyle öne çıktı.
SGNL için bu şu anlama geliyordu:
- yönetilmesi gereken daha az araç
- bakımı yapılacak CI boru hatlarının sayısı daha az
- hem yazılım tedarik zinciri hem de bulut altyapısı genelinde daha net bir görünürlük
SGNL, uygulama güvenliği ve bulut güvenliği için ayrı platformlar kurmak yerine, her şeyi tek bir sistem üzerinden yönetebilir.
Sonuçlar
Aikido’nun devreye girmesiyle SGNL, uygulamaları, konteynerleri ve bulut altyapısı genelinde tutarlı bir görünürlük elde etti.
Daha önce manuel bağımlılık analizi gerektiren güvenlik incelemeleri artık anında tamamlanabilmektedir.
“Binlerce bağımlılığı tek tek incelemek yerine, etkilenip etkilenmediğimizi görmek için tek bir tıklama yeterli.”
Bu platform, yüzlerce depo genelinde CI tabanlı tarama iş akışlarını yönetmenin operasyonel yükünü azaltırken, bulut altyapısı risklerine ilişkin daha kapsamlı bir görünürlük sağladı.
Büyüyen bir mühendislik organizasyonunu destekleyen küçük bir güvenlik ekibi için, uygulama güvenliği (AppSec) ile bulut güvenliği kapsamının bu birleşimi, günlük operasyonları önemli ölçüde basitleştirdi.
Geleceğe bakış
SGNL’nin büyümesine paralel olarak, şirket mühendislik ve altyapı alanındaki faaliyetlerini genişletmeye devam ediyor. Aikido’nun devreye girmesiyle SGNL, hem geliştirme projelerini hem de bulut ortamlarını tek bir yerden güvence altına alan bir platforma sahip oldu.
Uygulama güvenliği, tedarik zinciri görünürlüğü ve bulut güvenliği yönetimini tek bir çatı altında birleştiren SGNL, güvenlik araç zincirini genişletmeden platformunu büyütmeye devam edebilir.
