Em resumo
- Aikido substituiu um conjunto de ferramentas de segurança de código aberto que sobrecarregavam a equipa com falsos positivos
- Os programadores passaram a considerar as conclusões de « Aikido » como uma lista prática de problemas reais a resolver
- Os pedidos de pull com a funcionalidade «AutoFix» com um clique chegam ao ramo de trabalho em poucos minutos, através do próprio pipeline de revisão da Codafication
- Quando um cliente solicitou uma certificação durante um ataque à cadeia de abastecimento, um link para o painel do Aikido tinha a resposta pronta
Uma pilha de software de código aberto tinha transformado a segurança num problema de volume
A Codafication, empresa de software de seguros sediada em Brisbane, protege o código subjacente à sua plataforma de sinistros com o Aikido, após ter substituído um conjunto de ferramentas de segurança de código aberto que os seus próprios engenheiros tinham reunido.
Curtis Wilkinson, Diretor Técnico (CTO), supervisiona todas as funções tecnológicas da Codafication, desde a equipa de segurança e a infraestrutura na nuvem até ao controlo de qualidade, engenharia e produto. Fundada em 2015, a Codafication desenvolve software de gestão de sinistros que a maioria das principais seguradoras da Austrália utiliza para gerir reparações relacionadas com sinistros de bens imóveis e bens móveis. O seu principal produto funciona com 70 a 80 componentes distintos.
Antes do Aikido, a equipa realizava verificações container no seu pipeline de CI/CD, utilizava uma ferramenta SAST e gerava relatórios SBOM que alimentavam um sistema de acompanhamento de código aberto. A configuração funcionava exatamente como previsto, mas o trabalho manual envolvido tinha-se tornado demasiado pesado para se conseguir acompanhar. Surgiam falsos positivos em grande quantidade, sem deduplicação, agrupamento, triagem automática ou reachability analysis para os filtrar.
«Aparecia um aviso e ficávamos a pensar: “Mas o que é isto?” Pesquisávamos no Google e acabávamos por descobrir que era uma coisa estranha da Adobe de 1925. Quase ficávamos surpreendidos por encontrar um problema a sério.»
Para confirmar um único problema real, era necessário verificar manualmente se o código chegava sequer a utilizar a função afetada. Nada disso estava ligado ao Jira, a plataforma em que a equipa trabalha, pelo que cada ticket implicava copiar e colar e atualizar em dois locais. Cada melhoria teria, além disso, implicado um custo adicional em termos de tempo de engenharia.
«A nossa função, enquanto empresa, não é criar a nossa própria plataforma de gestão de segurança em toda a nossa pilha.»
Uma lista de problemas que a equipa realmente resolve
Aikido agora alimenta o programa de correção em curso da Codafication, e a primeira coisa que alterou foi a lista de resultados. A deduplicação e o agrupamento de problemas reúnem os resultados de todos os componentes do produto numa única visualização que mostra todos os locais onde um problema se encontra e qual a equipa responsável pela sua correção.
A equipa também executou a Auditoria de Segurança de Código com IA d Aikido, parte do análise de código com IA, na maior parte do código subjacente à sua plataforma. A execução demorou 14 horas e a equipa ainda não encontrou nenhum falso positivo nos resultados. Isso facilitou a implementação das medidas necessárias: as questões passaram diretamente para o topo do plano de correção e os programadores corrigiram e integraram 39 delas em cerca de seis semanas. Curtis concedeu acesso aos programadores e pediu-lhes a sua opinião.
«O comentário foi: uau, isto é material a sério. Tudo o que aqui está deve ser encarado como um problema que precisamos de resolver, em vez de uma lista de coisas provavelmente inúteis.»
Cerca de três em cada quatro pedidos de integração do AutoFix são integrados sem uma única alteração por parte da equipa. O Aikido cria o pedido de integração, os próprios revisores da Codafication avaliam-no e este segue para a aprovação final de integração, chegando normalmente ao ramo de trabalho em menos de 10 minutos. O Curtis sentiu a diferença quando chegou a primeira vaga de pedidos de integração do AutoFix e ele próprio processou uma lista. Cada correção teria-lhe levado entre meia hora e duas horas se fosse feita manualmente.
«Resumiu-se a um simples clique num botão.»
Com a integração com o Jira, o estado dos tickets está agora centralizado num único local. O Curtis pode percorrer a lista e ver qual o programador responsável por cada correção e qual o testador que a assumiu, e as correções de segurança aparecem nos relatórios de sprint. Sempre que surgiram dúvidas durante a configuração de tudo isto, a equipa encaminhou-as diretamente para a equipa técnica do Aikido num canal partilhado.
«Foram extremamente prestáveis e muito cooperantes. Não houve qualquer jogo de empurra. As pessoas que podiam realmente resolver os problemas estavam ali mesmo, no canal.»
Por que é que a Codafication escolheu Aikido
- Uma primeira experiência muito positiva com a Safe Chain da Aikido , a ferramenta gratuita que bloqueia pacotes de código aberto maliciosos antes da sua instalação e que constitui o ponto de partida da Proteção de Dispositivos do Aikido. É a ferramenta que a equipa implementou em todos os dispositivos dos programadores, à medida que os ataques à Supply chain do npm foram surgindo no ecossistema, um após o outro.
- Aikidoa investigação sobre ameaças, que já constava entre as fontes que a equipa utilizou para o seu próprio Threat Intelligence
- Uma demonstração de conceito que permitiu à equipa explorar as funcionalidades e escolher quais ativar em primeiro lugar
«Tínhamos tido uma boa experiência com a Safe Chain e sabíamos que a Aikido era uma boa empresa. Fazia todo o sentido vir ver o que eles tinham para oferecer.»
Aikido já tinha a resposta antes de o cliente perguntar
Os clientes da Codafication operam num setor regulamentado com uma tolerância ao risco muito baixa. Por isso, acompanham de perto ataques à Supply chain . Quando ocorre um incidente de grande dimensão, começam a chegar e-mails e telefonemas.
Durante um ataque recente, Curtis estava em viagem de trabalho. A equipa de contas da Aikido publicou um link para o painel de controlo no canal partilhado. Bastou um olhar para ver um sinal de visto verde: a Codafication não tinha sido afetada. Em menos de meia hora, um cliente enviou um e-mail a pedir à Codafication que atestasse que o seu sistema de produção não tinha sido afetado.
«Ficou muito mais fácil simplesmente dizer que sim.»
Antes de Aikido, o Curtis teria de esperar pela próxima verificação programada, o que demorava algumas horas, dependendo do momento, antes de poder responder. Desta vez, já tinha a resposta antes mesmo de o cliente perguntar.
Como a Codafication utiliza hoje o « Aikido »
«Estamos a implementar novas funcionalidades em diferentes partes do Aikido à medida que avançamos. Grande parte delas vem substituir funcionalidades criadas manualmente, mas algumas são simplesmente novas funcionalidades.»
- Verificações de pull requests como principal mecanismo de segurança para repositórios de ferramentas internas, automação e infraestrutura
- AutoFix e verificações proativas de ramos nos principais repositórios de produtos
- Auditoria de segurança do código de IA, realizada na maior parte do código subjacente à plataforma de reclamações
- Verificações da qualidade do código, além do acompanhamento da cobertura do código
- Integração com o Jira para a elaboração de relatórios de engenharia dos sprints
- Monitorização de domínios, cujas primeiras conclusões corresponderam a dois problemas já conhecidos do último relatório de testes de penetração externos
- A seguir: acesso ao repositório « container » e um teste de penetração com IA com o mesmo âmbito que o teste de penetração externo que realizam duas vezes por ano, para comparar os resultados
Veredito final
«Sempre tivemos ferramentas que abrangiam uma parte específica. Nada reunia tudo isso de uma forma que tornasse o processo mais fácil de gerir e que nos permitisse perceber se estamos a controlar a situação.»
