DSPM «Code-first» sem acesso aos seus dados confidenciais

DSPM significa «Gestão da Postura de Segurança de Dados». As ferramentas DSPM identificam onde uma organização armazena dados sensíveis, de que tipo de dados se trata e se estes estão em risco, por exemplo, por não estarem encriptados ou por haver demasiadas pessoas com acesso aos mesmos. A maioria das ferramentas DSPM faz isto ligando-se às suas bases de dados e ao armazenamento na nuvem e analisando o seu conteúdo.

Em vez de analisar os seus repositórios de dados, Aikido a aplicação que gere os dados: o seu código, os modelos ORM, as definições de API, a infraestrutura como código e os pipelines de CI/CD. A partir daí, identifica onde os dados sensíveis são criados, armazenados, expostos e divulgados, e qual a alteração de código que resolve cada problema.

Os seus repositórios já contêm a informação que outras ferramentas tentam encontrar através da análise de dados. Os esquemas e os modelos ORM descrevem o que armazena. As chamadas de armazenamento e a configuração da infraestrutura descrevem onde essa informação é guardada. A lógica de encriptação descreve como é protegida. Aikido tudo isto com o mesmo acesso de só leitura que os seus outros scanners.

As ferramentas que analisam o conteúdo dos dados têm de adivinhar o que um determinado dado representa com base na sua aparência, e as suposições erradas resultam em falsos positivos. Em contrapartida, Aikido os nomes dos campos e os esquemas, pelo que sabe o que os dados representam sem ter de adivinhar.

O DSPM Aikido mapeia o que as suas aplicações fazem com os dados. Se existir um bucket antigo, mas nenhum código o referenciar, esta análise não o detetará. Trata-se de um problema de configuração na nuvem, e AikidoCSPM cobre essa situação a partir da mesma plataforma.

CSPM responde à pergunta «A minha nuvem está configurada de forma segura?». O DSPM tradicional responde à pergunta «Onde estão os meus dados sensíveis e quem pode aceder a eles?». O DSPM «code-first» Aikido responde à pergunta «Como é que a minha aplicação cria, transfere e expõe dados sensíveis, e como posso corrigir isso?». Complementam-se mutuamente, e Aikido as três vertentes numa única plataforma.

Não. Aikido o seu código-fonte, nunca as suas bases de dados. Não há nada para descarregar, recolher amostras ou guardar.

Todas as principais linguagens de programação, bem como os ORMs mais comuns (Prisma, SQLAlchemy, Hibernate, ActiveRecord e outros), definições de API e formatos de infraestrutura como código.

Essas ferramentas ligam-se às suas bases de dados e analisam o conteúdo. Isso implica conceder-lhes acesso aos seus dados, aguardar análises demoradas e lidar com falsos positivos resultantes da comparação de padrões. Além disso, limitam-se a indicar onde os dados sensíveis foram detetados, pelo que a correção acaba por se traduzir na criação de tickets. Aikido a partir do código: não concede acesso aos dados de produção, as análises concluem-se em minutos e cada deteção é acompanhada da causa e de um pedido de integração que corrige o problema.