Em resumo
- Ligou a Aikido diretamente ao código-fonte no GitHub, GitLab e Azure DevOps, com a análise a iniciar imediatamente e sem necessidade de orquestrar pipelines
- Proporcionou cobertura de segurança a todas as equipas da organização, incluindo as equipas integradas através de aquisições
- Reduziu para segundos a verificação de exposição a uma vulnerabilidade zero-day em todo o património tecnológico
- Permitiu que os programadores se integrassem de forma autónoma com a sua conta de controlo de versões existente e gerissem os seus próprios problemas
- Rastreou os resultados encontrados, incluindo problemas dentro de containers, até ao ficheiro exato no repositório
- Abandonou a Black Duck sem uma migração complexa
- Criou um agente de IA na API da Aikido que pesquisa no património tecnológico e devolve um relatório pronto a usar
Manter a segurança a par do desenvolvimento de IA
A NiCE desenvolve software de experiência do cliente e de combate à criminalidade financeira para mais de 25 000 organizações em mais de 150 países. Fundada em 1986 e cotada na NASDAQ, gere uma organização de engenharia com vários milhares de programadores distribuídos por muitos produtos, e esse ecossistema continua a crescer através de aquisições.
Matan Keret passou cerca de 16 anos na NiCE, progredindo de programador de software a arquiteto principal. Lidera a segurança da organização de engenharia e resume a sua função na era da IA numa única frase.
"Na era da IA, precisamos de capacitar as nossas equipas para trabalharem como se não tivessem preocupações de segurança, enquanto mantemos tudo sob controlo e protegido."
Atender a esse requisito com a dimensão da NiCE é a parte mais difícil. Escalar qualquer prática por vários milhares de programadores é difícil, e a segurança é, acima de tudo, a mais complexa.
O desafio
Obter resultados exigia orquestrar tudo.
A ferramenta anterior da NiCE era a Black Duck. Obter resultados com ela exigia orquestrar análises e executar tudo através de pipelines antes que qualquer coisa aparecesse. Para uma organização da dimensão da NiCE, reorquestrar tudo isso para mudar de ferramenta era quase inviável, razão pela qual muitas empresas continuam a usar uma ferramenta que já não se adequa.
A lacuna tornou-se mais evidente durante um ataque de dia zero.
O custo tornou-se mais evidente quando uma nova vulnerabilidade foi divulgada. A equipa não conseguía confirmar rapidamente quais os grupos que estavam abrangidos, uma vez que integrar cada grupo na ferramenta antiga exigia tempo e esforço manual. Cada aquisição tornava o panorama mais difícil de gerir.
Porque é que a NiCE escolheu o Aikido
Uma mudança proativa, e não um salvamento
Isto não foi um salvamento. A NiCE não estava insatisfeita com a Black Duck. O contrato estava a terminar, a equipa estava a transitar para o desenvolvimento de IA e, após três anos com a mesma ferramenta, decidiram ver o que mais havia no mercado.
"O contrato estava a terminar e achámos que provavelmente havia coisas mais recentes e melhores agora. Por isso, explorámos as opções."
Resultados em que a equipe podia confiar
Na prova de conceito, a equipa comparou os resultados em repositórios reais, um baseado na Cloud e outro mais on-premise, e atribuiu ao Aikido uma classificação de precisão superior à da ferramenta que estavam a utilizar. O malware aparece na sua própria vista em vez de estar misturado com tudo o resto, e os componentes em fim de vida são assinalados claramente, duas coisas que a ferramenta anterior não fazia bem.
Uma equipe de produto que agia rápido
A equipa por trás do produto destacou-se tanto quanto o próprio produto.
"A equipa em si surpreendeu-me. Abrimos um canal e, quando encontrámos problemas, foram reconhecidos e corrigidos muito rapidamente. Isso está a um nível diferente."
Ligação direta aos repositórios
O Aikido liga-se diretamente aos repositórios de origem no GitHub, GitLab e Azure DevOps, e a análise começa imediatamente. Essa alteração foi o que tornou a ferramenta viável à escala da NiCE, pois eliminou o trabalho de orquestração que fazia com que a mudança parecesse impossível.
Como as dependências são lidas a partir dos ficheiros reais do projeto, a equipa consegue rastrear qualquer resultado até ao local exato de onde provém. O Matan descreve a forma como respondeu a um programador que duvidava de um resultado.
"Alguém diz que acha que não utilizamos uma biblioteca. Abro o repositório, clico em 'reachability' e é mostrado o ficheiro exato no GitHub. Posso dizer-lhes: não, está aqui, no vosso repositório. Não vem de mais nenhum lado."
Os Container recebem o mesmo tratamento. A NiCE executa a maioria dos seus Container no ECR na AWS, e ligá-los aos repositórios de origem torna mais fácil ver onde reside realmente um problema num Container. Com a ferramenta anterior, as imagens base e as imagens das próprias equipas eram analisadas em conjunto e misturadas, pelo que as equipas não conseguiam distinguir o que era da sua responsabilidade corrigir. A ligação aos repositórios separou ambos.
Programadores que integram os seus próprios projetos
A integração segue o mesmo padrão. Os programadores iniciam sessão com a respetiva conta de controlo de fontes existente, visualizam os seus repositórios e gerem os seus próprios problemas sem terem de esperar por permissões de mais ninguém. Com o número de colaboradores da NiCE, remover essa dependência era fundamental.
Resultados mais limpos sobre os quais a equipa pode agir
A precisão da prova de conceito manteve-se na utilização diária. Como um resultado está associado ao ficheiro e à versão reais, exige menos adivinhação, e os resultados de baixo valor e baixo risco são ignorados automaticamente, o que mantém a equipa focada no que realmente importa.
Responder a um ataque de dia zero em segundos
A mudança mais evidente surge quando surge uma nova vulnerabilidade. A equipa construiu um agente de IA sobre o Aikido que pesquisa em toda a infraestrutura, acede ao controlo de fontes ligado e devolve um relatório pronto a usar.
"Quando surge um dia zero, podemos pesquisar todos os espaços de trabalho em segundos e saber exatamente onde estamos expostos, se é que estamos expostos. Não tínhamos essa visibilidade antes."
Essa confiança estende-se às aquisições. Enquanto a ferramenta antiga deixava a equipa incapaz de confirmar se um novo grupo estava abrangido, a cobertura está agora garantida sem necessidade de acompanhamento manual.
Para onde a NiCE vai a seguir
A NiCE confia na Aikido para análise de composição de software, verificação de container, verificação de licenças, detecção de malware e de fim de vida útil, Reachability analysis, AutoTriage e acesso através da API e do servidor MCP, e cada produto destaca-se na sua categoria.
A direção mais clara a partir daqui é o trabalho auxiliado por IA. A equipa quer que cada programador aceda ao Aikido através do servidor MCP a partir do seu agente de programação, para que o código seja verificado à medida que é criado, e está a construir um painel Power BI na API do Aikido para gerar relatórios em toda a organização. A gestão da postura da Cloud, a pontuação EPSS, o acompanhamento de SLA e a Proteção de Dispositivos estão sob avaliação.
Veredito final
O conselho de Matan para outras grandes empresas é direto.
"Se utiliza ferramentas tradicionais e tiver a oportunidade de explorar outras opções, faça uma comparação adequada. Poderá ficar surpreendido com o que vai encontrar."
Quando solicitado a resumir o impacto na NiCE, focou-se no objetivo a que o conjunto de ferramentas se propôs.
"Ajudou-nos a tornar os nossos fluxos de trabalho de desenvolvimento de IA muito mais seguros e elevou a nossa postura de segurança em todos os nossos produtos."
