Em resumo
- Escolheu o Aikido porque nenhuma outra ferramenta no mercado sinalizava software em fim de vida útil.
- Automatizou a triagem diária de 40 a 50 descobertas, economizando para a equipe pelo menos uma hora por dia.
- Substituiu um conjunto de ferramentas pontuais, incluindo um fornecedor separado de monitoramento da dark web, por uma única plataforma.
- Obteve cobertura para Scala que vários outros scanners não conseguiam igualar.
- Implementou todas as capacidades em poucos dias, enquanto ferramentas mais antigas levavam dias ou semanas para configurar apenas uma.
- Liberou a equipe para dedicar tempo à resposta a incidentes e correções, em vez de triagem manual.
Desafio
Kristina Holovka é engenheira de vulnerabilidades e incidentes na Cognism, uma empresa de inteligência de vendas B2B com sede em Londres. A Cognism lida com grandes volumes de dados de contato comercial para milhares de equipes de receita, então segurança e conformidade estão intrinsecamente ligadas ao produto. A equipe de Kristina é responsável pela resposta a vulnerabilidades e incidentes. Eles recebem alertas, decidem o que será corrigido e trabalham com a engenharia para que seja feito.
Uma lacuna moldava tudo antes do Aikido. Nada na stack sinalizava software em fim de vida útil, os pacotes desatualizados e as versões de linguagem sem suporte que silenciosamente se tornam superfícies de ataque sem patches. Encontrá-los significava revisar repositórios manualmente ou perceber por acidente. Para uma equipe responsável pela postura de segurança em toda a base de código, esse era um ponto cego que não conseguiam fechar com as ferramentas que possuíam.
"Não tínhamos uma ferramenta que detectasse software em fim de vida útil. O Aikido era o único no mercado a fazer isso."
A configuração mais ampla era um conjunto fragmentado. A segurança executava várias ferramentas separadas, aproximadamente uma por recurso, sem nada que as conectasse. Cada uma tinha um modo de falha. Algumas eram muito barulhentas, inundando a equipe com descobertas que levavam horas para revisar. Outras eram muito silenciosas, perdendo problemas reais porque lhes faltavam regras para cobrir partes da stack da Cognism. Um fornecedor separado lidava com o monitoramento da dark web para credenciais vazadas, o que significava mais um console para verificar. E implementar qualquer uma delas era lento. Configurar uma única capacidade como SAST poderia levar dias ou semanas.
"Alguns fornecedores eram muito barulhentos, então gastávamos muito tempo revisando descobertas. Outros eram muito silenciosos, sem regras suficientes, por exemplo, para Scala."
Solução
O Aikido substituiu o conjunto fragmentado. A equipe trouxe sua varredura de código, detecção de fim de vida útil e o feed da dark web para uma única plataforma e a colocou em funcionamento em poucos dias. O contraste com a configuração antiga era nítido. O que costumava levar dias ou semanas para configurar uma única capacidade agora cobria tudo no mesmo curto período.
"Configurar nossas ferramentas antigas levava dias ou semanas. O Aikido foi habilitado em poucos dias para tudo."
A detecção se encaixava na stack da Cognism em vez de lutar contra ela. A equipe escreve em Scala, que vários scanners lidam mal porque não é uma linguagem amplamente utilizada. Essa foi a mesma lacuna que havia deixado suas ferramentas antigas muito silenciosas, perdendo problemas que deveriam ter sido detectados. O Aikido detectou Scala bem, e isso por si só eliminou algumas das ferramentas em sua lista restrita. Um scanner que cobre as linguagens que você realmente utiliza permite que uma equipe de segurança confie nos resultados em vez de duvidar deles.
"Muitos fornecedores não cobrem Scala porque não é amplamente utilizada. O Aikido a detecta bem."
A mudança mais clara no dia a dia foi a triagem. Todos os dias, 40 a 50 novas descobertas costumavam chegar à equipe, cada uma revisada manualmente para separar os problemas reais do ruído. AutoTriage, AutoFix e Reachability analysis agora assumem essa carga. A Reachability é o que mais importa aqui. Ela filtra descobertas que não se aplicam porque o código vulnerável não pode ser alcançado, então a equipe para de perseguir problemas que nunca foram um risco real. O que resta chega já classificado, e a equipe ganha pelo menos uma hora de volta todos os dias.
"Costumávamos fazer a triagem de 40 a 50 descobertas por dia manualmente. O Aikido faz isso por nós agora, e nos economiza pelo menos uma hora por dia."
A lacuna original foi fechada no processo. Onde a equipe antes vasculhava repositórios em busca de pacotes desatualizados e versões de linguagem sem suporte, agora eles abrem uma aba e veem o que precisa ser atualizado. O trabalho que antes dependia de alguém se lembrar de procurar está simplesmente lá quando eles precisam.
"Agora eu só abro a aba e vejo o que precisa ser atualizado."
Por que a Cognism escolheu o Aikido
- Detecção de fim de vida que nenhum outro fornecedor na lista restrita oferecia.
- Cobertura de linguagens que se adequava à sua stack, incluindo Scala, onde outras ferramentas ficavam aquém.
- AutoTriage, AutoFix e Reachability analysis que eliminaram o triage diário da equipe.
- Monitoramento da dark web na mesma visualização que as descobertas de código, substituindo um fornecedor separado.
Resultados
Automatizar as 40 a 50 descobertas diárias devolve à equipe pelo menos uma hora todos os dias, e o trabalho manual que costumava preencher as manhãs praticamente desapareceu. Com menos falsos positivos para investigar, esse tempo retorna ao trabalho real da equipe: responder a incidentes e trabalhar com a engenharia nas correções que realmente importam. Os problemas também são resolvidos mais rapidamente, porque as descobertas chegam triadas e priorizadas, em vez de brutas.
"Muito do trabalho manual desapareceu, e resolvemos os problemas mais rapidamente. As horas que recuperamos são dedicadas a um trabalho mais importante."
Trazer o monitoramento da dark web de um fornecedor separado foi a consolidação mais clara, mas não a única. Análise de código, detecção de fim de vida, Reachability e o feed de credenciais vazadas agora residem em um único local, e é de lá que a equipe começa o dia. Em vez de alternar entre consoles que reportavam à sua própria maneira, eles trabalham a partir de uma visão única do que precisa de atenção.
A parceria tem sido ativa. As solicitações chegam diretamente à liderança da Aikido, e a equipe tem obtido respostas e resoluções em menos de um dia. Para uma equipe de segurança que precisa agir rapidamente, um fornecedor que responde nesse ritmo é uma parte real do valor.
"Recebemos feedback diretamente do CEO e do CRO, algo que nunca tivemos em nenhum outro lugar. Cada solicitação foi respondida e cada tarefa concluída em menos de 24 horas."
Como a Cognism está expandindo seu uso do Aikido
Já em uso
- Detecção de fim de vida.
- Varredura SAST e SCA com Reachability analysis.
- AutoTriage e AutoFix.
- Monitoramento da dark web para credenciais vazadas.
Planejando adotar
- Proteção de dispositivos, para visualizar os pacotes e extensões instalados nas máquinas dos desenvolvedores, cobertura que a equipe afirma que outras ferramentas de endpoint não oferecem.
- Safe Chain, a ser implementado para os desenvolvedores.
Veredito final
"Mais tempo, menos falsos positivos e mais tempo para focar no que realmente importa."
