Em resumo
- Consolidou três ferramentas separadas, Snyk para SCA, Sonar para análise estática e OWASP ZAP para varredura no momento da compilação, num único componente do Aikido code
- Utilizou a Reachability analysis numa auditoria PCI para mostrar que as descobertas altas que bloqueavam a auditoria eram do lado do cliente e não exploráveis
- Substituiu barreiras fictícias por barreiras reais que bloqueiam descobertas críticas e altas antes de um merge ou de um build
- Conquistou as equipas de engenharia que eram responsáveis pelas ferramentas anteriores
- Avançou para a consolidação após o ataque à cadeia de fornecimento Shai-Hulud ter exposto a pilha antiga
Demasiadas descobertas, poucas correções
A Reward Gateway cria software de envolvimento e benefícios para colaboradores — reconhecimento, prémios, bem-estar e descontos que as empresas utilizam para cuidar das suas equipas. Fundada em Londres em 2006 e atualmente parte da Edenred, opera como uma plataforma SaaS que gere um elevado volume de transações e dados sensíveis, o que a coloca no âmbito do PCI. A sua plataforma chega a mais de 10 milhões de colaboradores em organizações clientes.
Angel Indzhov é chefe de cibersegurança na Reward Gateway, onde lidera as operações de segurança, a segurança de produtos e o crime financeiro. Descreve um problema que a maioria dos líderes de segurança reconhece atualmente: a descoberta já não é a parte difícil.
"Estamos a melhorar na deteção de problemas. Não estamos a melhorar na correção deles."
O volume continua a aumentar, especialmente com modelos mais recentes a gerar mais descobertas, e uma base de código antiga é muito mais difícil de corrigir do que uma nova. O que a Reward Gateway precisava não era de mais descobertas. Era de uma forma de saber quais eram aquelas que realmente importavam.
O desafio
Uma stack que não funcionava em conjunto
Antes do Aikido, a segurança dependia de três ferramentas separadas que nunca foram desenhadas para funcionar como uma só.
"Utilizábamos o Sonar para código estático, o Snyk apenas para SCA e o OWASP ZAP nos pipelines de compilação. Tantas ferramentas que as pessoas tentam usar em conjunto, mas que não funcionam verdadeiramente."
Um ataque à cadeia de abastecimento expôs o problema
A fragmentação tornou-se um problema real quando o ataque à cadeia de abastecimento Shai-Hulud ocorreu. A configuração existente não conseguia responder às perguntas essenciais com a rapidez necessária.
"Quando o Shai-Hulud aconteceu no ano passado, sentimos que as nossas ferramentas não eram adequadas ao propósito. Isso levou-nos a procurar algo novo e a consolidar."
A segurança não geria as ferramentas
Parte da razão pela qual a stack estava tão fragmentada é que a engenharia tinha comprado cada ferramenta para resolver um problema específico na altura. A segurança não geria o processo e o orçamento estava noutro lado, pelo que qualquer alteração exigia primeiro convencer a engenharia.
"Toda esta ferramenta foi comprada pela engenharia, por isso tivemos de os convencer. Não era o nosso orçamento."
Porque é que a Reward Gateway escolheu o Aikido
Consolidação, em fases ponderadas
A Reward Gateway não substituiu tudo de uma só vez. Chegou ao Aikido primeiro através do Safe Chain, gostou do que viu e, em seguida, realizou uma prova de conceito completa focada nas partes mais importantes — o código e a vertente de ataque —, em vez de avançar com uma implementação abrangente que não conseguiria concluir.
Reachability analysis em que a equipa podia confiar
A funcionalidade que decidiu a questão foi a reachability analysis. Com tantos resultados e tantos deles de baixa prioridade, a equipa precisava de uma forma de separar o que podia realmente ser explorado daquilo que não podia.
"Para mim, a resposta é a reachability analysis. Mostra o que tem realmente de acontecer para explorar algo, para sabermos qual a vulnerabilidade que vai ser um problema a sério. Isso foi ouro."
Uma equipa que respondeu rapidamente
As pessoas por trás do produto destacaram-se tanto quanto o próprio produto durante a prova de conceito.
"Não há outro fornecedor com quem tenhamos trabalhado que comunique tanto e se preocupe genuinamente com o que dizemos. Apresentamos um problema, sentamo-nos e resolvemo-lo."
Reachability analysis numa auditoria PCI
A prova mais evidente surgiu durante uma auditoria PCI. A Reward Gateway tinha alertas de alta gravidade no seu repositório de pagamentos — o tipo de problemas que têm de ser resolvidos antes de uma auditoria ser aprovada — e o prazo era apertado.
"Tivemos uma auditoria PCI e, no Snyk, havia alertas de alta gravidade no repositório de pagamentos que tinham de ser resolvidos muito rapidamente, mesmo antes do prazo limite. A reachability analysis do Aikido mostrou que eram problemas do lado do cliente que não afetavam em nada o lado do servidor. Isso eliminou o risco e mostrou a todos que era isto que precisábamos."
Essa auditoria fez mais do que apenas limpar as vulnerabilidades detetadas. Foi o que convenceu as equipas de engenharia que geriam as ferramentas antigas a adotar o Aikido, pois mostrou-lhes onde estava o verdadeiro risco e, com igual utilidade, onde ele não estava.
Filtros que impedem verdadeiramente os problemas
A Reachability mudou os resultados em que a equipa atuava. Os filtros mudaram o que acontecia quando um problema escapava.
"Antes, tínhamos filtros fictícios. Quase nada era verdadeiramente bloqueado. Agora, tudo o que é crítico e de alta gravidade é bloqueado. Não é possível fazer o merge do PR nem compilar."
O próximo passo consiste em aplicar as mesmas verificações de forma consistente em todas as fases, para que uma verificação que seja ignorada numa fase seja, ainda assim, detetada noutra.
Substituição total das ferramentas de ponta
Com a acessibilidade e as portas reais já implementadas, as ferramentas separadas deixaram de ter qualquer função a desempenhar.
«Estamos a utilizar o componente de código de cima a baixo: análise estática de código, análise de segredos e licenciamento. Snyk, Sonar, OWASP ZAP; estamos a substituí-los na totalidade.»
O que o futuro reserva para a Reward Gateway
O Reward Gateway executa o componente de código do Aikido em análise estática de código, análise de segredos, análise de composição de software com verificação de acessibilidade e verificação de licenças, com mecanismos de bloqueio para resultados críticos e de alto risco.
A partir daqui, a equipa está a alargar esses controlos a mais fases do pipeline. Está a avaliar o pentest de IA, embora pretenda preparar primeiro os ambientes adequados para que os resultados sejam significativos. Assinalou a proteção de dispositivos como uma prioridade elevada após um incidente, visando diretamente a lacuna nas extensões do navegador e do IDE, onde não existe fixação de versões nem consistência em que se possa confiar. A auditoria de código do Aikido também está na lista de coisas a experimentar. Nenhuma destas medidas está ainda em funcionamento.
Veredito final
A acessibilidade proporcionou à equipa um filtro, a consolidação proporcionou-lhes um único local a partir do qual trabalhar e os controlos de acesso reais proporcionaram-lhes algo que realmente impede a execução de código arriscado.
«O objetivo é ir obtendo melhorias gradualmente, e é essa a parte que mais gosto neste produto.»
