Em resumo
- Realizou um teste de penetração completo em cerca de cinco horas e meia, enquanto o teste anterior, realizado por pessoas, demorou cerca de 15 dias úteis
- Revelou mais problemas do que o teste de penetração realizado por pessoas, incluindo mais resultados de gravidade elevada
- Reduzir os alertas de dezenas de milhares para algumas centenas, através da consolidação de ferramentas e da eliminação de duplicados e falsos positivos
- Proporcionou aos programadores a funcionalidade «AutoFix» com um único clique, pelo que a correção deixou de consumir horas por problema
- Detetou atempadamente vulnerabilidades na cadeia de abastecimento, incluindo uma verificação rápida durante o incidente da Axios
- Transformou a segurança de um obstáculo numa equipa à qual os programadores recorrem para resolver os seus problemas
Manter a segurança a par do crescimento do setor dos pagamentos
Desde 2003 que a Tyro Payments tem vindo a trabalhar para tornar os pagamentos a parte mais fácil da gestão de um negócio. A empresa, sediada em Sydney, é um banco australiano cotado em bolsa, regulado pela APRA, a autoridade reguladora do setor bancário da Austrália, e presta serviços a mais de 80 000 comerciantes em todo o país, oferecendo pagamentos em loja, online e através de dispositivos móveis, a par de um conjunto crescente de produtos bancários.
Arun Singh é o responsável pela segurança da informação na Tyro. É responsável pela proteção dos dados privados desses comerciantes, incluindo as informações confidenciais de identificação do cliente (KYC) que a empresa detém. Para uma empresa de pagamentos, essa responsabilidade está intimamente ligada à promessa fundamental que faz a cada comerciante.
«Recebemos muitos dados confidenciais dos comerciantes, muita informação relativa ao KYC. Proteger esses dados é uma das principais promessas da nossa empresa. É uma promessa que fazemos quando se inscrevem pela primeira vez: que garantiremos a sua segurança.»
O mais difícil é cumprir essa promessa enquanto os programadores lançam os produtos rapidamente. O sinal mais claro do quanto a Tyro evoluiu é o que aconteceu com os seus testes de penetração.
O desafio
Ferramentas descentralizadas e uma lista de tarefas pendentes cada vez maior
Antes de adotar Aikido, a equipa utilizava várias gerenciamento de vulnerabilidades de gerenciamento de vulnerabilidades distintas, e as descobertas acumulavam-se mais depressa do que qualquer pessoa conseguia processá-las.
«Aikido , tínhamos várias gerenciamento de vulnerabilidades diferentes gerenciamento de vulnerabilidades que funcionavam de forma bastante descentralizada. Havia uma percentagem significativa de falsos positivos e a equipa de segurança, em particular, estava a afogar-se em alertas. O facto de a equipa de engenharia receber milhares de alertas para investigar significava sempre que esse trabalho era relegado para segundo plano. A nossa lista de tarefas pendentes não parava de crescer. Tornou-se insuportável.»
Testes de penetração que não conseguiram acompanhar o ritmo
Os testes de penetração eram morosos e dispendiosos, e raramente compensavam a espera. Um único teste paralisava um projeto durante semanas e trazia poucos resultados.
«Um teste de penetração demoraria cerca de 15 dias úteis. Atrasaria um projeto e custaria algumas dezenas de milhares de dólares. Os resultados não eram muito bons, obteríamos apenas alguns.»
Por que razão a Tyro Payments escolheu Aikido
Resultados em que a equipa podia confiar
A mudança mais importante foi a precisão. As ferramentas mais antigas partiam do princípio de que, se um pacote tivesse um CVE, o Tyro estava exposto, pelo que os programadores perdiam tempo a aplicar correções a código que nunca esteve em risco. Aikido o código-fonte e verifica se o código vulnerável é, de facto, acessível.
«Algo que deveria demorar 10 ou 15 minutos acabava por demorar meio dia, só para nos apercebermos de que a funcionalidade vulnerável descrita no CVE nunca tinha sido realmente utilizada. Por isso, na verdade, não estávamos vulneráveis. Com Aikido, este analisa o nosso código-fonte, contextualiza a vulnerabilidade e indica-nos se o código vulnerável está realmente a ser utilizado.»
Uma escolha baseada nos números
A Tyro não escolheu Aikido reputação. A equipa comparou-o com as alternativas e ele saiu vencedor.
«Comparámos Aikido Snyk, com Checkmarx e com a gestão da postura de segurança de aplicações CrowdStrike. O Aikido destacou-se sempre na forma como apresentava a informação, na forma como reduzia os falsos positivos e na forma como orientava os engenheiros ao longo dos processos de deteção, avaliação do impacto e correção. Foi uma escolha bastante fácil.»
Uma equipa de produto que agiu com rapidez
As pessoas por trás do produto destacaram-se tanto quanto o próprio produto.
«Se houvesse uma nova funcionalidade ou melhoria que desejássemos, enviávamos uma mensagem à Aikido e, no prazo de 24 horas, eles respondiam e lançavam a correção. Tem sido fantástico ver o produto evoluir ao longo dos últimos anos.»
De dezenas de milhares de alertas para algumas centenas
A migração para Aikido à equipa uma visibilidade de ponta a ponta, desde as dependências diretas até às transitivas — que as ferramentas antigas não conseguiam identificar —, e eliminou o ruído que tinha ocultado o trabalho real.
«Proporciona-nos visibilidade de ponta a ponta, desde as dependências diretas até às transitivas, algo que muitas das nossas outras ferramentas não faziam. Classifica, elimina duplicados e remove falsos positivos. Passámos de dezenas de milhares de alertas em qualquer momento para apenas algumas centenas.»
A correção do que restava também ficou mais rápida. Em vez de os programadores passarem horas a tentar descobrir como corrigir algo e se a correção iria causar algum problema, o AutoFix faz o trabalho e apresenta-lhes uma alteração para revisão.
«Com o AutoFix Aikido, basta clicar num botão para obter a correção propriamente dita, revê-la, criar o PR, testá-la e está feito. Isto simplificou bastante os seus fluxos de trabalho.»
Um teste de penetração que terminou em poucas horas
O resultado mais revelador veio do pentest de IA. A Tyro realizou uma demonstração de viabilidade num novo produto de saúde que estava a lançar e comparou o teste de penetração com IA com o realizado pelos seus testadores humanos habituais.
«Os nossos testadores de penetração internos demoraram cerca de 15 dias. Fizemos o mesmo com Aikido. Demorou cinco horas e meia e foram detetadas cerca de 30 falhas, nove das quais de gravidade elevada, enquanto os testadores de penetração humanos detetaram cinco falhas, uma das quais de gravidade elevada.»
A partir daqui, o plano é manter a equipa e aumentar a rapidez, recorrendo à IA para alargar a cobertura e a revisores humanos para a confirmar.
«O nosso plano consiste num modelo híbrido, que inclui testes de penetração com IA e auditorias de código com IA, acompanhados por uma revisão humana realizada pelos nossos parceiros especializados em testes de penetração. Os custos são significativamente inferiores ao que pagávamos anteriormente, pelo que podemos fazer muito mais com os recursos de que dispomos.»
Formação que os programadores utilizam efetivamente
A sensibilização para a segurança tinha sido um item orçamental à parte, e não um dos mais apreciados. A ferramenta que a Tyro pagava ficava à margem do trabalho e pouco ensinava aos programadores. Os vídeos educativos curtos que Aikido partilha Aikido no YouTube e noutras plataformas de redes sociais conseguiram envolver mais os programadores do que as plataformas completas de sensibilização para a segurança que tinham sido escolhidas até então.
«Quando entrei para a empresa, tínhamos um programa de segurança para programadores que custava cerca de 100 000 dólares. Os programadores faziam sempre comentários negativos sobre ele. Nunca era adaptado à sua carga de trabalho, por isso nunca aprendiam realmente com ele. Era mais um exercício de preenchimento de formulários. Com Aikido, uma vulnerabilidade é agora um vídeo curto que se vê para aprender a evitá-la. Começámos a notar que as práticas de desenvolvimento seguro que defendíamos há anos estavam, de facto, a ser implementadas logo desde o início.»
Ter uma visão global de toda a cadeia de abastecimento
O risco da cadeia de abastecimento é um tema abordado ao nível do conselho de administração na Tyro, e é aqui que a deteção de malware e a informação sobre ameaças ganham o seu lugar, identificando pacotes comprometidos antes de estes chegarem à produção. O valor disso ficou patente durante o incidente da Axios, quando a equipa conseguiu responder rapidamente a uma questão complexa.
«A segurança da cadeia de abastecimento é uma prioridade. Discutimos o assunto ao nível do conselho de administração. Com a análise de malware e as informações sobre ameaças Aikido, detetamos os problemas numa fase inicial e prevenimo-los antes de chegarem à produção. Quando ocorreu a violação da Axios, a equipa afirmou que não utilizávamos essa solução. Recorremos ao Aikido, apresentámos os resultados, validámos a versão e verificámos se tínhamos sido comprometidos. Felizmente, não fomos, mas foi uma experiência reveladora.»
Um exercício de «red team» revelou, em seguida, a falha seguinte. A Tyro simulou uma extensão IDE maliciosa publicada no marketplace do VS Code que roubava secrets de um programador e constatou que não havia qualquer proteção nessa camada. Colmatar essa falha é a razão pela qual a proteção dos dispositivos é o próximo ponto da lista.
O que o futuro reserva para a Tyro Payments
Atualmente, a Tyro utiliza Aikido análise de composição de software, análise estática (SAST), análise dinâmica (DAST), AutoFix, reachability analysis, deteção de malware e informações sobre ameaças, bem como para a formação de programadores.
A partir daqui, o objetivo é expandir pentest de IA um modelo híbrido com revisão humana, explorar a auditoria de código por IA em paralelo e realizar um projeto-piloto de proteção de dispositivos para colmatar a lacuna entre os programadores e os dispositivos que o exercício da equipa vermelha revelou.
Veredito final
O que mais mudou para o Arun foi a forma como os programadores abordam agora a segurança.
«A perceção que tinham em relação à segurança era bastante negativa no passado. Agora, a relação é excelente. Recorrem a nós quando detetam problemas ou tomam conhecimento de uma violação, com vontade de colaborar e de aprender.»
Quando lhe perguntam o que isso significa, ele responde de forma simples.
«Podemos fazer muito mais com o que temos do que conseguíamos anteriormente.»
