Em resumo
- Aikido Device Protection para cerca de 1.000 postos, divididos entre engenharia e equipas não técnicas
- Uma evolução em relação ao Aikido Safe Chain, que a Deriv já executava nos pipelines do GitHub
- Uma lista de materiais de software (SBOM) completa para cada dispositivo protegido, pesquisável através da API do Aikido
- Correções de CVE críticas que ignoram o período mínimo de 48 horas do pacote
- Alertas do Device Protection integrados no fluxo de trabalho de investigação da própria Deriv
- Cobertura alargada a mais sistemas operativos à medida que o suporte for lançado
Os assistentes de programação de IA podem puxar qualquer pacote de um registo público
A Deriv oferece negociação 24 horas por dia em forex, índices derivados, ações, índices acionistas, matérias-primas, criptomoedas e ETFs, com a missão de disponibilizar a negociação a qualquer pessoa, em qualquer lugar.
Como a Deriv é uma plataforma financeira, David Usher (VP de Engenharia de Segurança) e a sua equipa tratam a segurança como a principal prioridade, e grande parte desse trabalho centra-se na cadeia de fornecimento de software. A equipa utiliza IA em ambas as frentes dessa tarefa: para testes de ataque e para defesa.
A Deriv tem mais de 300 programadores, e qualquer um deles podia sempre puxar um pacote de um registo público. Mais ainda, os respetivos assistentes de programação de IA, como o Cursor e o Claude Code, também o fazem agora a toda a hora.
"Precisamos de garantir que esses pacotes não são malware. Por isso, ter um mecanismo de proteção é muito importante."
A Deriv já tinha uma primeira camada implementada. Antes de comprar um produto comercial, a equipa executava o Aikido Safe Chain, o wrapper de código aberto que verifica pacotes quanto a malware antes de um gestor de pacotes os instalar, nos seus pipelines do GitHub e nos seus dispositivos. O David refere que teve um excelente desempenho, mas a visibilidade continuava a ser uma lacuna: a equipa não conseguia ver tudo o que já estava instalado em cada máquina.
Prevenção em cada dispositivo
Para o David, o Device Protection levou a abordagem do Safe Chain mais além, ao prevenir malware no próprio dispositivo. A Deriv executa-o agora em cerca de 1.000 dispositivos em vários sistemas operativos. Isto dá à equipa de segurança uma visão geral de cada dispositivo registado e das versões que cada um executa. Cada dispositivo também reporta a sua lista de materiais de software (SBOM), um inventário dos pacotes instalados em todos os ecossistemas.
"Podemos ver a lista de materiais de software (SBOM) completa de cada dispositivo, o que nos dá uma visão adicional sobre que pacotes estão nos dispositivos."
A equipa testa a configuração regularmente com os pacotes de teste que o Aikido disponibiliza para os ecossistemas suportados. O David também criou uma automação de alertas complementar: se o Device Protection impedir a entrada de malware na organização, a equipa de operações de segurança da Deriv investiga imediatamente o que originou a tentativa de instalação.
Porque é que um agente no dispositivo venceu a avaliação
A Deriv analisou outras ferramentas antes de escolher o Aikido, mas o Aikido executa um agente em cada dispositivo, e o David considerou esse design mais difícil de contornar do que as abordagens centralizadas que a Deriv avaliou. Também fornece à equipa de segurança o contexto de que necessita quando algo acontece.
"Se disparar um alerta, é muito importante perceber quem fez o quê, onde e quando. Depois, podemos investigar imediatamente e garantir que estamos a conter qualquer outra coisa que possa estar a acontecer nesse dispositivo."
Verificações retroativas e correções críticas que não esperam
O David utilizou o inventário de dispositivos para procurar pacotes antigos que ainda estavam em máquinas desde antes do lançamento, o que considerou tranquilizador. Também alimenta verificações retroativas. O Aikido Intel deteta novo 'malware' rapidamente e, quando um pacote é identificado como 'malware' após o seu lançamento, a automação da Deriv verifica se essa versão está presente na máquina de alguém.
A Proteção de Dispositivos também mantém a correção urgente rápida. A sua idade mínima de pacotes retém as versões recém-publicadas durante 48 horas por predefinição, o que bloqueia ataques que dependem de 'malware' recém-publicado. Quando uma nova versão corrige uma CVE crítica, a Proteção de Dispositivos permite agora a sua passagem imediata, com controlos implementados. Faz isto automaticamente e apenas para essa versão, para que a equipa da Deriv não tenha nada para configurar.
"Não tem de esperar dois dias para poder corrigir uma CVE crítica. Essa é a questão."
Essa exceção tinha surgido nas conversas da própria Deriv com o Aikido. O David levanta pedidos num canal de suporte partilhado com a equipa do Aikido, e conta com pelo menos dois novos ecossistemas adicionados desde que a Deriv começou, incluindo suporte para Homebrew e Linux.
"Muitas outras empresas podem ser muito letárgicas na sua resposta. Colocam-no no plano de rumo e verificam daqui a seis meses, e nessa altura já é tarde demais e nós já avançámos."
Cobertura para além da engenharia
A Deriv divide os seus lugares de Proteção de Dispositivos entre a engenharia e as equipas não técnicas.
"As equipas não técnicas estão a tornar-se mais técnicas e toda a gente está a usar IA para fazer o seu trabalho, por isso ter o Aikido em toda a empresa é realmente importante."
Qualquer pessoa pode tentar instalar algo que não seja aprovado. A Deriv tem outros controlos para isso, e o mesmo inventário de dispositivos também ajuda com a conformidade. Para trazer mais das suas máquinas para esse inventário, a Deriv está a estender a Proteção de Dispositivos a mais sistemas operativos agora que o Aikido os suporta.
Trabalhar em conjunto no problema da cadeia de abastecimento
O David é claro ao afirmar que nenhuma solução é perfeita. O que ele valoriza é um fornecedor que se mova ao ritmo da Deriv. A Deriv utiliza IA para entregar rapidamente, e ele vê a mesma velocidade na forma como o Aikido responde:
"Sente-se que estamos a trabalhar em conjunto para melhorar o produto e também para melhorar o problema de segurança da cadeia de abastecimento."
