Bir bakışta
- Kötü amaçlı ve savunmasız paketler, yapay zeka araçlarıyla kod yazan mühendis olmayanlar da dahil olmak üzere şirketteki her cihazda yükleme sırasında engellenir
- Bağımlılık ve konteyner taraması tüm depolar ve konteynerler genelinde çalışır
- GitHub'daki zorunlu bir Aikido kontrolü, savunmasız kodun üretime ulaşmasını engeller
- Geliştiriciler başka bir araç öğrenmek zorunda kalmadan normal iş akışlarında kalır
- Aikido, uyumluluk zincirini besleyerek tarihli biletler oluşturur ve kaçırılan SLA'leri daha görünür hale getirir
Yeni risk açık kaynaklıydı ve eski yapılandırma yalnızca üretime odaklanıyordu
Dünyanın en büyük gıda fazlası pazarının arkasındaki şirket olan Too Good To Go; kötü amaçlı ve savunmasız açık kaynaklı paketleri bir geliştirici cihazına veya üretime ulaşmadan önce yakalamak ve güvenlik çalışmalarını uyumlulukla bağlantılı tutmak için Aikido'yu kullanıyor.
Mühendislikten Sorumlu Başkan Yardımcısı Robert Christiansen, şirketin tüm yazılım ekiplerinde mühendislik, geliştirici deneyimi ve uyumluluk konularından sorumludur. Too Good To Go, 2016 yılından bu yana artan gıda pazarı platformunu işletmektedir ve şu anda 20 ülkede 150 milyondan fazla kayıtlı kullanıcıyı 200.000’den fazla aktif iş ortağıyla bir araya getirmektedir; tüm bu faaliyetler, yaklaşık 1.300 kişilik bir şirket bünyesindeki mühendislik ekibi tarafından desteklenmektedir.
Bir buçuk yıl önce ekibin önceliği, enfekte olmuş kütüphaneler üretime ulaşmadan önce onları durdurmaktı. Son altı ayda açık kaynaklı paketlere ve bunları yükleyen geliştiricilere yönelik saldırılar hızla arttı ve açık kaynaklı projeler yeni açıkları beraberinde getiriyor. Artık daha büyük risk sürecin daha erken aşamalarında ortaya çıkıyor: Herhangi bir şey yayınlanmadan önce bir geliştiricinin cihazını tehlikeye atan bir paket. Geliştiriciler genellikle herkesinkinden daha fazla erişim yetkisine sahiptir, bu da cihazlarını en değerli hedef haline getirir.
Riskler yalnızca mühendislikle de sınırlı kalmadı. Diğer iş birimlerindeki kişiler de yapay zeka araçlarıyla kod yazmaya başladı ve hiçbir güvenlik sürecinin tasarlanmadığı cihazlara Node ve Python paketleri indirdi. Robert bunu daha da tehlikeli olarak nitelendiriyor. Ekibin mevcut araçları yalnızca derleme sonrasında tarama yapıyordu. Bu da üretimi koruyor ancak geliştirme tarafını açık bırakıyordu.
Uyumluluk gereklilikleri durumu daha da kritik hale getirdi. Too Good To Go, NIS2 ve PCI standartlarına uyum sağlamak için çalışıyor ve PCI, ekibin bir açığa ne kadar hızlı tepki vermesi gerektiğine dair kendi kurallarını belirliyor. Ekibin hem cihazdaki hem de derleme zamanındaki sorunları durdurabilecek ve takip sürecinin zamanında gerçekleştiğini kanıtlayabilecek tek bir ürüne ihtiyacı vardı.
Cihazdan pipeline'a kadar tek araç
Aikido Safe Chain artık organizasyon genelindeki her cihazda çalışıyor. Node veya Python'ın yüklü olup olmadığını kontrol ediyor ve yükleme adımını koruyor; böylece yükleyen kişi kim olursa olsun, sorunlu bir paket daha sisteme yerleşmeden durduruluyor. Cihaz koruması, ister kod yazsınlar ister yazmasınlar, şirketin mühendis olarak sınıflandırdığı yaklaşık 160 kişiyi kapsıyor.
Pipeline'da yapılan her değişikliğin üretime gidebilmesi için GitHub'da bir Aikido kontrolünden geçmesi gerekiyor. Bu kontrol normal geliştirme akışının içinde yer aldığı için güvenlik asla unutulmaması gereken ayrı bir adıma dönüşmüyor. Aikido; 200'ün hemen altındaki depoyu ve 200'den fazla konteyneri (en sağlam Docker imajlarının bile taşıdığı derin geçişli bağımlılık zincirleri dahil) kapsayacak şekilde savunmasız bağımlılıkları ve konteyner imajlarını takip eder.
Görevi kütüphaneleri güncellemek olan geliştiriciler, bir bulgunun gerçek bir sorun olup olmadığını ve dokunmadan önce bir güncellemenin herhangi bir şeyi bozma olasılığını görmek için IntelliJ eklentisini kullanır.
Geliştiricilerin her zaman Aikido'ya girmelerine bile gerek kalmıyor. Araç, iş akışının doğal bir parçası haline geldi.
Too Good To Go neden Aikido'yu seçti?
- Cihaz üzerinde ve derleme zamanında koruma (eski sistemin açık bıraktığı iki nokta)
- Hızlı ve zahmetsiz kurulum
- Basit bir arayüz ve şeffaf fiyatlandırma
Aikido, normalde gözden kaçacak olan şeyleri yakalar
En büyük değişiklik, artık hiçbir şeyin gözden kaçmamasıdır. Safe Chain ve cihaz koruması, geliştirici cihazlarındaki paketleri şimdiden durdurdu ve Robert'a Aikido'nun gerçek tehditleri yakalayıp yakalamadığı sorulduğunda cevabı şu oldu: "Kesinlikle evet, normalde gözden kaçacak şeyleri yakalıyor."
Artık hem altyapı hem de kod için hangi kütüphaneleri düzeltmemiz gerektiği konusunda tam bir görünürlüğe sahibiz.
Robert, diğer tüm iş sonuçlarının ötesinde bir sonuca özellikle vurgu yapıyor: Ekip, güvenliği tehlikeye girmiş bir kütüphaneden kaynaklanan hiçbir olay yaşamadı.
Uyumluluk tarafında Aikido, tarihlerle işaretlenmiş biletler oluşturur; böylece bir düzeltme SLA süresinin gerisinde kaldığında herkes bunu hemen görebilir. PCI yanıt süreleri konusunda katı beklentiler belirlediğinden, bu kayıt Too Good To Go'nun durumları manuel olarak takip etmek zorunda kalmadan uyumlu kalmasına yardımcı olur.
Too Good To Go Aikido'yu bugün nasıl kullanıyor?
Şu anda kullanılıyor
- Bağımlılık taraması (Dependency scanning)
- Konteyner taraması
- Şirket genelinde Aikido Safe Chain
- Tüm mühendislik ekibinde cihaz koruması
- GitHub pipeline kontrolü
- Düzeltmeleri yapan geliştiriciler için IntelliJ eklentisi
Sıradaki planlama
- Her bulguyu gerçek maruziyet düzeyiyle eşleştiren bir önem derecesi modeli; böylece internet erişimi olmayan dahili servisler aylık döngüde yamanırken, dışarıya açık olanlar hemen düzeltilir
Değerlendiriliyor
- Ekibin güvenlik mühendisinin test etmek istediği AI pentesting; böylece her yıl halihazırda gerçekleştirdikleri pentest'lerin yanında otomatik testleri daha sık çalıştırabilirler
Nihai karar
Ürünün kurulumu kolaydı ve çalışıyor. Bunu yaptığımıza sevindim ve keşke daha önce kullansaydık.
