A Cube Labs (parte do ecossistema Abstract) está construindo um blockchain de camada 2 de próxima geração projetado para aplicativos Web3 rápidos e prontos para o consumidor. Apoiada pelo Founders Fund, a equipa concentra-se em fornecer uma base segura e escalável para programadores e utilizadores.

Quando a equipa começou a procurar formas de reforçar a sua postura de segurança sem abrandar o desenvolvimento, recorreu ao Aikido.

"O Aikido deu-nos uma grande perceção das potenciais vulnerabilidades e a confiança de que estamos seguros em tempos de crise."

Olá Metarsit! Qual é o teu papel e as tuas responsabilidades?

Sou um Engenheiro Fullstack na Cube Labs Labs. O meu trabalho gira em torno de DevOps, Engenharia de Produto e Engenharia de Produtividade.

O que faz com que o Abstract se destaque no seu sector?

A melhor maneira de o descrever é no nosso blogue: Abstract é uma pilha de blockchain modular que simplifica a forma como os desenvolvedores criam aplicativos Web3. Tornamos a experiência Web3 mais acessível e mais segura para todos.

Qual o objetivo da segurança no seu sector?

É o clássico: evitar invasões e corrigir vulnerabilidades. Mas no espaço Web3, os hackers são incrivelmente criativos. É preciso estar dois passos à frente.

Que tipo de pressão é que os seus clientes ou investidores exercem atualmente sobre as suas práticas de segurança e conformidade?

Pressão forte, e com razão. Há dinheiro envolvido. Temos de garantir que os fundos e os dados de todos estão seguros.

"O nosso CEO e CTO colocam a segurança no topo das nossas prioridades. Estamos sempre à procura de melhores ferramentas para nos manter a nós e a todos em segurança."

Houve algum momento em particular que tenha desencadeado uma maior concentração estratégica na segurança?

O nosso CEO e CTO sempre deram prioridade à segurança. Está incorporada na nossa cultura. Mas quando começámos a crescer, queríamos ferramentas que nos ajudassem a ser proactivos e não apenas reactivos.

Conte-nos mais sobre a decisão de procurar e selecionar o Aikido.

Estávamos familiarizados com o Snyk, mas um amigo apresentou-nos o Aikido. Avaliámo-lo em relação ao Snyk e a algumas ferramentas populares no espaço e percebemos que era o mais adequado para a nossa utilização e fluxo de trabalho.

As ferramentas que utilizávamos antes eram óptimas, mas não nos davam a visibilidade ou a capacidade de resposta de que precisávamos. O Aikido foi diferente. O produto é mais centrado no programador, mais rápido a iterar e construído por uma equipa que se esforça verdadeiramente por obter resultados.

"Avaliámos várias ferramentas, mas o Aikido destacou-se pela rapidez com que a equipa se move e pela plataforma completa."

Quais eram as suas principais preocupações em termos de segurança antes de adotar o Aikido?

Acessibilidade. Estávamos a utilizar as ferramentas de segurança incorporadas no GitHub, que sinalizavam muitos problemas, mas não esclareciam se realmente nos afectavam. Queríamos evitar grandes e arriscadas actualizações de versão que podem introduzir instabilidade, e o Aikido mostrou-nos quais as actualizações que realmente importavam.

Como é que lidava com a segurança antes do Aikido?

Tínhamos boas práticas de engenharia e fluxos de trabalho em vigor, mas eram trabalhosos. O Aikido ajudou-nos a automatizar e a acelerar o que costumava demorar muitas horas de engenharia.

O que é que se destacou no Aikido durante a avaliação?

Antes de mais, a equipa. Foram incrivelmente prestáveis, reactivos e transparentes. E a oferta em si, simplesmente fez sentido para nós.

Foi fácil integrar o Aikido nos vossos fluxos de trabalho?

Quase sempre fácil. Cerca de 80% do sistema funcionou de imediato, o que foi impressionante. O resto foi rápido de configurar.

"Foi muito fácil pôr o Aikido a funcionar nos nossos serviços."

Como tem sido a sua experiência de trabalho com a equipa de Aikido?

Fantástico. São atenciosos e rápidos a responder sempre que precisamos de ajuda.

Qual é a sua caraterística favorita?

Zen, a proteção em tempo de execução da aplicação do Aikido, surpreendentemente. Acrescenta uma nova camada de proteção e dá-nos mais confiança no tratamento dos dados do utilizador.

Antes do Zen, contávamos com ferramentas como o Vercel Security e o Sentry para obter informações sobre o tempo de execução. Elas eram boas em trazer informações à tona, mas o Zen é muito mais agressivo na identificação de ameaças e potenciais explorações, com a opção de bloqueá-las facilmente.

"O Zen revelou coisas que não teríamos analisado antes, como novos pontos de extremidade de saída que podem ser maliciosos."

Houve algum incidente específico que o tenha feito perceber que as protecções existentes não eram suficientes?

Não houve um incidente específico, mas assim que integrámos o Zen, este começou a revelar pontos finais de saída e actividades que nos permitiram ser mais minuciosos na nossa monitorização.

Ao avaliar o Zen, o que o convenceu de que valia a pena adicionar proteção de tempo de execução na aplicação?

Não pensámos muito nisso, era uma camada extra de defesa que podíamos adicionar facilmente a todos os nossos serviços. Assim que o activámos, o Zen começou a revelar potenciais vulnerabilidades que precisavam de atenção, o que foi muito importante para nós.

Qual é a sua capacidade Zen favorita?

"A funcionalidade de descoberta de API é muito fixe. Ajuda-nos a ver o que está realmente exposto e onde, o que é crucial na Web3."

Verificou uma redução nos falsos positivos ou no tempo poupado desde a adição do Zen?

Ainda não efectuamos o bloqueio automático, mas o Zen ajuda-nos a analisar potenciais ameaças que nos poderiam ter escapado. Dá-nos uma imagem mais clara sem aumentar as despesas gerais.

Como é que o Aikido mudou a forma como a Cube Labs aborda a segurança e a gestão de vulnerabilidades?

Agora temos SLAs que garantem que as vulnerabilidades são corrigidas rapidamente. O Aikido ajuda-nos a compreender melhor os problemas e a decidir como resolvê-los com base no impacto real.

Houve algum momento em que o Aikido poupou tempo, stress ou riscos à sua equipa?

"Durante um recente ataque à cadeia de abastecimento, podíamos confiar que estávamos a salvo de qualquer exploração. Isso mudou a nossa vida."

Como é que o Aikido ajuda com as crescentes exigências regulamentares e de proteção de dados?

Somos extremamente cuidadosos com os dados dos utilizadores, e o Zen acrescenta uma camada extra de proteção e conformidade. Ajuda a garantir que cumprimos as nossas promessas de segurança aos utilizadores.

Já viu resultados mensuráveis, como uma correção mais rápida ou menos vulnerabilidades perdidas?

Ainda não em termos quantificados, mas já podemos ver as coisas a funcionar de forma mais suave e eficiente. Estamos a passar menos tempo a gerir a segurança e mais tempo a construir.

Se tivesse de descrever o impacto do Aikido numa frase?

O Aikido deu-nos uma grande perceção das potenciais vulnerabilidades e a confiança de que estamos seguros em tempos de crise.

O resumo

A Cube Labs opera numa das indústrias mais visadas do mundo, a Web3, onde as falhas de segurança podem ter consequências financeiras em segundos. Com o Aikido, a equipa ganha clareza, automatização e paz de espírito. Para a Cube Labs, o Aikido não é apenas uma ferramenta. É uma rede de segurança que os mantém seguros enquanto constroem o futuro da Web descentralizada.