Bir bakışta
- Önceki manuel testin yaklaşık 15 iş günü sürdüğü ortamda, tam bir pentest yaklaşık beş buçuk saatte tamamlandı
- Daha yüksek severlikteki bulgular dahil olmak üzere, manuel pentest'ten çok daha fazla sorun tespit edildi
- Araçlar konsolide edilerek, mükerrer kayıtlar ve yanlış pozitifler (false positive) temizlenerek uyarı sayısı on binlerden birkaç yüze düşürüldü
- Geliştiricilere tek tıkla AutoFix özelliği sunuldu, böylece her bir sorunun giderilmesi saatler sürmekten çıktı
- Axios olayı sırasındaki hızlı kontrol de dahil olmak üzere, tedarik zinciri zafiyetleri erken aşamada yakalandı
- Güvenlik, işleri yavaşlatan bir engel olmaktan çıkıp geliştiricilerin sorunlarla geldiği bir merkeze dönüştü
Büyüyen ödeme sektörüyle güvenliği aynı hizada tutmak
Tyro Payments, 2003 yılından bu yana işletmeler için ödeme süreçlerini kolaylaştırmak amacıyla çalışıyor. Merkezi Sidney'de bulunan şirket, Avustralya'nın bankacılık düzenleyicisi APRA tarafından denetlenen halka açık bir Avustralya bankasıdır. Şirket; mağaza içi, çevrim içi ve mobil ödemelerin yanı sıra giderek zenginleşen bankacılık ürünleriyle ülke genelinde 80.000'den fazla üye iş yerine altyapı sağlamaktadır.
Arun Singh, Tyro'da Bilgi Güvenliği Görevlisidir. Şirketin sahip olduğu hassas Müşterini Tanı (KYC) bilgileri dahil olmak üzere bu üye iş yerlerinin özel verilerini korumaktan sorumludur. Bir ödeme şirketi için bu sorumluluk, her üye iş yerine verdiği temel sözün tam merkezinde yer alır.
"Üye iş yerlerinden çok sayıda hassas veri ve pek çok KYC bilgisi alıyoruz. Bunları korumak, işimizin temel taahhütlerinden biridir. Bu, sisteme ilk katıldıklarında onları güvende tutacağımıza dair verdiğimiz bir sözdür."
İşin zor kısmı, geliştiriciler hızla kod üretmeye devam ederken bu sözü tutmaktır. Tyro'nun kat ettiği mesafenin en net göstergesi, pentest süreçlerinde yaşanan dönüşümdür.
Zorluk
Merkeziyetsiz araçlar ve büyüyen bir iş yükü yığını
Aikido'yu benimsemeden önce ekip, birbirinden bağımsız çok sayıda zafiyet yönetim aracı kullanıyordu ve bulgular kimsenin baş edemeyeceği kadar hızlı bir şekilde birikiyordu.
"Aikido'dan önce oldukça merkeziyetsiz olan birkaç farklı zafiyet yönetim aracımız vardı. Yanlış pozitiflerin oranı oldukça yüksekti ve özellikle güvenlik ekibi uyarılar altında boğuluyordu. Mühendislik ekibine incelemesi için binlerce uyarı vermek, bu işin her zaman ikinci plana atılmasına neden oluyordu. İş yükü yığınımız sürekli büyüdü ve işin içinden çıkılamaz bir hâl aldı."
Hızına yetişilemeyen pentest süreçleri
Pentest işlemleri yavaş ve maliyetliydi; ayrıca harcanan zamana neredeyse hiç değmiyordu. Tek bir test bir projeyi haftalarca geciktiriyor ancak çok az şey ortaya koyuyordu.
"Bir pentest yaklaşık 15 iş günü sürüyordu. Projeyi geciktiriyor ve on binlerce dolara mal oluyordu. Çıkan bulgular pek tatmin edici değildi, elimize sadece bir avuç sonuç geçiyordu."
Tyro Payments neden Aikido'yu seçti?
Ekibin güvenebileceği bulgular
En çok fark yaratan unsur doğruluk oldu. Eski araçlar, bir pakette CVE bulunuyorsa Tyro'nun zafiyete açık olduğunu varsayıyordu; bu nedenle geliştiriciler asla risk altında olmayan kodları düzeltmekle saatler harcıyordu. Aikido ise kaynak kodunu inceler ve zafiyet barındıran kodun gerçekten erişilebilir olup olmadığını kontrol eder.
"10-15 dakika sürmesi gereken bir şey yarım günümüzü alıyor, sonunda da CVE içindeki zafiyetli fonksiyonu aslında hiç kullanmadığımızı fark ediyorduk. Yani gerçekte bir zafiyetimiz yokmuş. Aikido ise kaynak kodumuzu inceliyor, zafiyeti bağlamına oturtuyor ve zafiyetli kodun gerçekten kullanımda olup olmadığını bize söylüyor."
Rakamlara dayalı bir karar
Tyro, Aikido'yu adına güvendiği için seçmedi. Ekip, aracı alternatifleriyle karşılaştırmalı olarak test etti ve Aikido açık ara öne çıktı.
"Aikido'yu Snyk, Checkmarx ve CrowdStrike'ın uygulama güvenliği duruş yönetimi ile karşılaştırdık. Bilgileri sunma şekli, yanlış alarm (false positive) oranlarını düşürmesi ve mühendisleri keşif, etki ile düzeltme süreçlerinde yönlendirmesi açısından her seferinde öne çıktı. Oldukça kolay bir seçim oldu."
Hızla hareket eden bir ürün ekibi
Ürünün arkasındaki ekip, en az ürünün kendisi kadar öne çıktı.
"İstediğimiz yeni bir özellik veya iyileştirme olduğunda Aikido ekibine mesaj atıyorduk ve 24 saat içinde bu düzeltmeyi hayata geçiriyorlardı. Son birkaç yılda ürünün evrimleştiğini görmek harikaydı."
On binlerce uyarıdan birkaç yüze
Aikido'da konsolidasyon yapmak; ekibe, eski araçların yetersiz kaldığı geçiş bağımlılıklarından (transitive dependencies) doğrudan bağımlılıklara kadar uçtan uca görünürlük kazandırdı ve gerçek işleri gölgeleyen gürültüyü ortadan kaldırdı.
"Diğer araçlarımızın birçoğunun sunmadığı, doğrudan bağımlılıklardan geçiş bağımlılıklarına kadar bize uçtan uca görünürlük sağlıyor. Önceliklendirme yapıyor, mükerrer kayıtları (de-dupe) temizliyor ve yanlış alarmları ortadan kaldırıyor. Herhangi bir anda on binlerce olan uyarı sayısını birkaç yüze indirdik."
Kalan sorunları çözmek de hızlandı. Geliştiricilerin bir şeyin nasıl yamanacağını ve düzeltmenin herhangi bir şeyi bozup bozmayacağını anlamak için saatler harcaması yerine, AutoFix işi hallediyor ve onlara inceleyebilecekleri bir değişiklik sunuyor.
"Aikido'nun AutoFix özelliği sayesinde bir düğmeye tıklıyorlar, gerçek düzeltmeyi alıyorlar, inceliyorlar, PR açıyorlar, test ediyorlar ve bitiyor. İş akışlarını gerçekten çok kolaylaştırdı."
Saatler içinde tamamlanan bir pentest
En net sonuç yapay zeka destekli pentest'ten geldi. Tyro, piyasaya sürmeye hazırlandığı yeni bir sağlık ürünü için bir kavram kanıtlaması (PoC) çalışması yürüttü ve AI pentest'i mevcut insan test uzmanlarıyla yan yana değerlendirdi.
"Mevcut sızma testi uzmanlarımız yaklaşık 15 günde tamamladı. Aynı şeyi Aikido ile yaptık; beş buçuk saat sürdü ve yaklaşık 30 sorun buldu (bunların 9'u yüksek seviyedeydi). İnsan test uzmanları ise 1'i yüksek seviyede olmak üzere 5 sorun bulmuştu."
Bundan sonraki plan, ekibi korurken hızı artırmak; kapsamı genişletmek için yapay zekadan, bunu doğrulamak için de insan incelemecilerden yararlanmak.
"Planımız hibrit bir model; yapay zeka destekli sızma testi ve yapay zeka kod denetimini, pentest ortaklarımızdan insan incelemesiyle birleştirmek. Maliyetler ödediğimiz miktara göre önemli ölçüde daha düşük, böylece elimizdekilerle çok daha fazlasını yapabiliyoruz."
Geliştiricilerin gerçekten kullandığı eğitimler
Güvenlik farkındalığı eskiden ayrı bir kalemdi ve pek de sevilmezdi. Tyro'nun ücretini ödediği araç işin dışındaydı ve geliştiricilere çok az şey öğretiyordu. Aikido'nun YouTube ve diğer sosyal medya platformlarında sürekli paylaştığı kısa ve öz eğitici videolar, o ana kadar tercih edilen kapsamlı güvenlik farkındalığı platformlarından daha fazla geliştiricinin ilgisini çekti.
"İşe başladığımda maliyeti yaklaşık 100.000 dolar olan bir geliştirici güvenlik programımız vardı. Geliştiriciler her zaman bunun hakkında olumsuz geri bildirimde bulunuyordu. Asla onların iş yüküne uyarlanmamıştı, bu yüzden bundan gerçekten bir şey öğrenemiyorlardı. Daha çok bir bürokratik zorunluluk (tick-box exercise) gibiydi. Aikido ile birlikte bir açığı önlemeyi öğrenmek için izleyebileceğiniz kısa bir video haline geldi. Yıllardır savunduğumuz güvenli geliştirme pratiklerinin artık erken aşamalarda gerçekten hayata geçirildiğini fark etmeye başladık."
Tedarik zincirinin tamamını görmek
Tedarik zinciri riski Tyro'da yönetim kurulu düzeyinde bir konu ve zararlı yazılım taraması ile tehdit istihbaratının (threat intel) hak ettiği yeri bulduğu, tehlikeye atılmış paketleri üretime ulaşmadan yakaladığı alan. Bu değer, Axios olayında ekip zor bir soruya hızlıca yanıt verebildiğinde net bir şekilde ortaya çıktı.
"Tedarik zinciri güvenliği en önemli önceliklerimizden biri ve bunu yönetim kurulu düzeyinde konuşuyoruz. Aikido'nun zararlı yazılım taraması ve tehdit istihbaratı sayesinde bulguları erkenden yakalıyor ve üretime ulaşmadan önliyoruz. Axios ihlali gerçekleştiğinde ekibimiz bunu kullanmadığımızı söyledi. Aikido'ya girdik, verileri sunduk, versiyonu doğruladık ve tehlikeye girip girmediğimizi kontrol ettik. Neyse ki girmemiştik ama bu göz açıcı bir deneyimdi."
Bir kırmızı takım (red team) tatbikatı daha sonra bir sonraki açığı gün yüzüne çıkardı. Tyro, VS Code marketinde yayınlanan ve bir geliştiricinin gizli verilerini çalan kötü amaçlı bir IDE eklentisini simüle etti ve bu katmanda hiçbir kapsama sahip olmadığını fark etti. Cihaz korumasının listede bir sonraki sırada olmasının nedeni bu açığı kapatmaktır.
Tyro Payments'ın sonraki adımları
Tyro şu anda yazılım bileşimi analizi, statik analiz (SAST), dinamik analiz (DAST), AutoFix, erişilebilirlik analizi, zararlı yazılım taraması, tehdit istihbaratı ve geliştirici eğitimi için Aikido'yu kullanıyor.
Buradan sonraki yönelim; yapay zeka pentest'ini insan incelemesi içeren hibrit modele genişletmek, bunun yanı sıra yapay zeka kod denetimini araştırmak ve kırmızı takım tatbikatının ortaya çıkardığı geliştirici-cihaz açığını kapatmak için bir cihaz koruma pilot uygulaması yürütmek.
Nihai karar
Arun için en çok değişen şey, geliştiricilerin artık güvenliğe nasıl yaklaştığı oldu.
"Daha önce güvenliğe bakış açıları oldukça olumsuzdu. Şimdiyse aradaki ilişki son derece iyi. Bir sorunla karşılaştıklarında veya bir veri ihlali duyduklarında hemen bize geliyorlar, işin içine dahil olmak ve öğrenmek istiyorlar."
Bunun ne anlama geldiği sorulduğunda durumu kısa ve net özetliyor.
"Eldeki imkanlarla eskisine göre çok daha fazlasını yapabiliyoruz."
