Tam lisanslı banka ve Bitcoin saklama hizmeti sağlayıcısı, olgun bir güvenlik altyapısına Aikido ve Zen’i ekleyerek güvenlik açıklarına ilişkin uyarıları %95 oranında azalttı, güvenlik incelemelerini saatlerden dakikalara indirdi ve 100’den fazla hizmette çalışma zamanı görünürlüğü elde etti.
Bir bakışta
- %95 daha az zafiyet gürültüsü; 5.880 ilk bulgu, 275 ilgili soruna indirgendi
- Güvenlik incelemesi ve analizi için saatler → dakikalar
- Staging ve üretim ortamlarında Zen ile korunan 100+ servis
- Kod depolarının neredeyse tamamı Aikido ile tarandı
- Çevre (perimeter) savunmalarını aşan saldırılara karşı uygulama düzeyinde koruma
- Safe Chain, yeni ele geçirilmiş paketlere karşı önleyici bir bariyer sağlar
Zorluk
Xapo Bank için güvenliğin önemi, alışılmışın çok ötesindedir. Hem tam lisanslı bir banka hem de bir Bitcoin saklayıcısı (custodian) olan Xapo; işlemlerin geri alınamayabileceği varlıkları korur. Üyeler tasarruflarını bankaya emanet ederken, kurumsal müşteriler varlıklarını platforma taşımadan önce kapsamlı bir güvenlik durum tespiti (due diligence) yürütür.
Güvenlik Operasyonları ve Ürün Güvenliği Başkanı Fabio Pires için bu durum, güvenliği işin temel taşı haline getirmektedir.
"Bizim için bir güvenlik açığı kesinti (downtime) demek değildir; birinin servetidir. Bu yüzden Xapo'da güvenlik sadece bir departman değil, ürünün üzerine inşa edildiği temeldir."
Modern bir AppSec platformunu benimseyen birçok kuruluşun aksine Xapo, olgunlaşmamış bir güvenlik programıyla yola çıkmamıştı. Banka; bağımsız araçlar genelinde statik uygulama güvenliği testi (SAST), gizli veri (secrets) taraması, yazılım bileşen analizi (SCA), altyapı olarak kod (IaC) ve çalışma zamanı (runtime) analizini koordine eden kendi güvenli yazılım geliştirme yaşam döngüsü (SSDLC) boru hatlarını (pipelines) çoktan kurmuştu. Bulgular, Xapo'nun zafiyet yönetimi ve varlık envanterinden gelen bağlamla zenginleştiriliyor, sahipleri atanıyor ve SLA'lere bağlanıyordu. Bir zafiyet SLA'sini ihlal ettiğinde, ilgili pull request birleştirilemiyordu (merge edilemiyordu).
Cloudflare ağ sınırında kamuya açık altyapıyı korurken, iç servisler sıfır güven (zero-trust) ağı arkasında çalışıyordu. Xapo kendi aldatma tuzaklarını (deception traps) ve otomatik müdahale sistemlerini bile kurmuştu.
Xapo'nun kontrollerinde bir sorun yoktu. Farklı tarayıcılar uzlaştırılması gereken farklı formatlar ve yanlış pozitifler (false positive) üretiyordu; önem (severity) puanları, bir bulgunun Xapo ortamında gerçekten istismar edilebilir olup olmadığıyla bağlantılı değildi ve çalışma zamanı ajanları host'ları ve konteynerleri görebiliyor ancak rotalar, yükler (payloads), veri akışları veya beklenen dışarıdan giden trafik davranışı gibi uygulama bağlamından yoksun kalıyordu.
Bu son kör nokta, özellikle tedarik zinciri güvenliği için kritik bir önem kazandı.
Xapo'nun tehdit modelleri defalarca aynı senaryoyu ortaya çıkardı: Güvenilir bir bağımlılık ele geçiriliyor, meşru bir servisin içinde çalıştırılıyor ve güvenilir bir üçüncü taraf aracılığıyla sessizce veri sızdırıyor (exfiltration).
Geleneksel çevre (perimeter) kontrolleri büyük ölçüde bir uygulamaya ne girdiğine odaklanır. Ancak başarılı bir tedarik zinciri ihlalinde, kritik sinyal aniden dışarı çıkmaya başlayan veri olabilir.
"Bu sektördeki her şey içeri gireni denetlemek üzere kurulmuştur, ancak veri sızdırma (exfiltration) dışarı yönlü bir sorundur ve dışarı giden trafiği değerlendirecek yeterli bağlama sahip tek yer uygulama katmanının kendisidir."
Xapo bu senaryonun her iki tarafını da ele almak istiyordu: Kötü amaçlı bağımlılıkların ortama girmesini engellemek, ardından önlemenin bir noktada başarısız olabileceğini varsayarak çalışma zamanında (runtime) kötü amaçlı davranışları tespit etmek.
Çözüm
Xapo, Aikido'yu halihazırda olgunlaşmış olan derinlemesine savunma (defense-in-depth) stratejisinin bir başka katmanı olarak değerlendirdi. Cloudflare uç noktayı korumaya devam etti. Aikido; boru hattı boyunca kod, bağımlılık ve konteyner güvenliğini devraldı; Xapo kod depolarının neredeyse tamamı Aikido araçları tarafından taranırken, her biri yalnızca ek bir kapsam olarak değil, kategorisinde lider bir yetenek olarak çalıştırıldı.
Aikido Safe Chain, kuruluş genelinde önleyici bir bariyer ekledi. Yeni bir paket ele geçirildiğinde Xapo, bu ihlali yalnızca kurulduktan sonra keşfetmek zorunda kalmaz.
Zen (Aikido'nun uygulama içi güvenlik duvarı), uygulamaların içinde eksik olan çalışma zamanı katmanını tamamlar.
Çevre güvenliğinden farkı şuydu: Bir isteği dış görünüşüne göre yargılamak yerine, uygulamanın içinde aslında ne yaptığını izlemek; bir zafiyetin gerçekten istismar edilebilir olup olmadığını belirlemek için verileri kaynaktan hedefe (source to sink) takip etmek.
“Çevre (perimeter) bir isteği yalnızca neye benzediğine göre değerlendirebilir. Aikido'nun uygulama içi güvenlik duvarı Zen ise onu ne yaptığına göre değerlendirir.”
Zen ayrıca Xapo'ya servis bazında dış bağlantılar konusunda görünürlük sağlar. Ekip, normal dışa dönük davranışın ne olduğunu belirleyebilir ve meşru bir bağımlılığın ele geçirilmesi durumunda kritik bir sinyal olarak, bir servisin aniden yeni bir hedefle iletişim kurmaya başladığını tespit edebilir.
Xapo, Aikido'yu zorlu bir kavram kanıtlama (PoC) sürecinden geçirdi.
Güvenlik ekibi kendi sahte kötü amaçlı npm paketlerini yayınladı, Zen'e saldırı yükleri (payloads) gönderdi ve bulduğu her açığı belgeledi. Dikkat çeken şey, ürünün halihazırda yapabildikleri değil, yapamadığı durumlarda Aikido'nun ne kadar hızlı tepki verdiğiydi.
Xapo, ortak bir Slack kanalı üzerinden Aikido mühendisleriyle doğrudan iletişim kurdu. Hatalar günler veya haftalar içinde giderilirken, talep edilen özellikler teslim tarihleriyle birlikte sözleşmeli taahhütlere dönüştürüldü.
Giden trafik görünürlüğü ve engelleme de bunlardan biriydi. Xapo'nun istek listesinden sözleşmeli bir taahhüde ve ardından ürüne dönüştü. Fabio, tedarikçinin bu düzeydeki duyarlılığını nadir görülen bir durum olarak tanımlıyor.
Aikido ayrıca, ekibin mevcut altyapısını değiştirmek zorunda kalmak yerine Xapo'nun halihazırda kurduğu güvenlik altyapısıyla entegre oldu. API'ler ve webhook'lar, bulguları Xapo'nun zaafiyet yönetimi ve otomasyon sistemine aktararak; manuel kopyala-yapıştır işlemine gerek kalmadan bulguları kayıtlara (ticket), tespitleri ise müdahale playbook'larına dönüştürüyor.
Sonuçlar
Ölçülebilir en net etki, Xapo güvenlik ekibinin artık araştırmasına gerek kalmayan zaafiyet gürültüsü miktarıdır.
Aikido, 5.880 ilk bulguyu 275 ilgili soruna indirgeyerek yanlış alarm ve gürültüde %95 oranında bir azalma sağladı.
Erişilebilirlik ve diğer bağlamsal faktörler, Aikido'nun bulguların ekibe ulaşmadan önce anlamlı bir risk oluşturup oluşturmadığını belirlemesine olanak tanır. Xapo, bu bağlam olmadan; etkilenen bileşenlerin gerçekten kullanılıp kullanılmadığını ve risk oluşturup oluşturmadığını tespit etmek için kendi mekanizmalarını kurması ve ardından bu mekanizmaların ürettiği yanlış alarmları manuel olarak doğrulaması gerekeceğini belirtiyor.
Bu durum, güvenlik ekibine hangi bulguların önemsiz olduğunu kanıtlamakla uğraşmak yerine gerçek güvenlik sorunları üzerinde çalışmak için daha fazla zaman kazandırıyor.
İnceleme hızı da arttı. Eskiden saatler süren analizler artık sadece birkaç dakika sürebiliyor.
Tedarik zinciri olayları buna güzel bir örnektir. Eskiden ekibin, varlık envanterini ve elde edilen yazılım malzeme listesini (SBOM) manuel olarak kontrol etmesi, bir kütüphanenin nerede bulunduğunu belirlemesi ve etkilenen sürümün Xapo'yu yeni açıklanan bir zafiyete maruz bırakıp bırakmadığını çapraz referansla incelemesi gerekirdi.
Bugün ise ortamındaki bir kütüphane etkilendiğinde Aikido ekibi bilgilendirirken, Safe Chain CI/CD süreçlerinde önleyici bir filtre ekliyor. Xapo'nun çekirdek sistemleri tek bir programlama dili etrafında kuruludur, ancak ekip; Aikido'nun yeni ortaya çıkan paket açıklarını araştırmasını ve bunları kendi ortamının gerçekliğiyle eşleştirmesini son derece değerli buluyor.
Zen, artık test (staging) ve canlı (production) ortamlardaki 100'den fazla servise yayılarak Xapo'ya daha önce var olmayan, servis bazlı bir çalışma zamanı (runtime) görünürlüğü kazandırdı.
Bu ek katman, Xapo servislerinden birine yönelik gerçek bir tarama saldırısı sırasında değerini kanıtladı.
Kötü amaçlı isteklerin ilk dalgası, oran sınırlaması (rate limiting) devreye girmeden önce çevreden (perimeter) geçti. Zen bunları derhal işaretledi; uygulama bağlamı sayesinde hangi servisin hedef alındığı, hangi rotaya istek atıldığı, kullanılan payload ve faaliyetin gerçekten istismar edilebilir olup olmadığı net bir şekilde görüldü.
Eskiden loglar üzerinden gerçekleştirilen sonradan incelemeler, bu sayede gerçek zamanlı ve yüksek güvenilirlikli bir tespite dönüştü.
"Aikido'nun çalışma zamanı (runtime) bağlamı uyarıları yanıta dönüştürür. 'Bu gerçek mi?' diye sormak için saatler harcamadık. Zaten biliyorduk."
Xapo'nun çevre savunması (perimeter defense) her zaman yaptığı görevi yürütmeye devam ediyor. Zen bunların arkasına bir katman ekleyerek mimariyi bir bütün olarak güçlendiriyor.
Sınır güvenliği hacmi ve geniş saldırı türlerini yönetmeye devam ederken Zen, sızmayı başaran her şey için uygulama içinden farklı bir perspektif sunar. Bu arada, Aikido'nun bağımlılık ve zararlı yazılım istihbaratı ile Safe Chain, tehlikeye atılmış bir bağımlılığın uygulamaya ulaşma olasılığını ilk etapta azaltmaya yardımcı olur.
Tespit edilen bulgular doğrudan Xapo'nun kendi otomasyonuna aktarılır. Bulgular istismar edilebilirlik bağlamıyla birlikte gelir ve otomatik müdahale eylemlerini tetikleyebilir. Fabio'nun açıkladığı gibi, kötü amaçlı bir kullanıcıyı engellemek artık kriz masası toplantıları yerine bir API çağrısı ile yapılabilmektedir.
Sonuçta uygulamanın kendisinin de bir diğer tespit katmanı haline geldiği bir mimari elde edilmiştir.
Nihai karar
Xapo başka bir çevre (perimeter) aracı aramıyordu. Daha fazla çevre aracı bu boşluğu kapatamazdı. Bunu başaran şey, Xapo'nun mevcut kontrollerinin sağlayamadığı türden bir bağlam oldu.
“Aikido, uygulamalarımızı en büyük kör noktamız olmaktan çıkarıp tespit yüzeyimizin bir parçası haline getirdi. Zen sayesinde ise çevreden sızan herhangi bir şey, uygulamanın kendisini anlayan bir katmandan yine de geçmek zorunda kalıyor.”
Ürünün temelinde güvenin yattığı bir banka için bu ek katman, önleme ve müdahale arasındaki önemli bir boşluğu kapatmaktadır.
