O que mudou desde a nossa última conversa
Desde que esta história foi publicada pela primeira vez, voltámos à conversa com Nicolai Brogaard. Tanto o panorama de ameaças como a forma como a Visma utiliza o Aikido evoluíram. Atualmente, o grupo executa análise de composição de software, SAST, AutoFix e relatórios de conformidade no Aikido em todo o seu portefólio, e duas coisas mudaram em particular: a ameaça contra a qual a Visma se está a defender e até onde está disposta a levar o Aikido.
Um problema de cadeia de abastecimento que agora afeta todos
A deteção de malware passou para o primeiro plano das prioridades da Visma. Onde antes um problema na cadeia de abastecimento significava um único pacote comprometido, os ataques abrangem agora muito mais, e o grupo prepara-se para isso em vez de esperar evitá-lo. O Aikido sinaliza se um pacote transporta conteúdo malicioso, e a equipa trata um pacote malicioso ativo de forma diferente de uma CVE conhecida.
Os ataques à Supply chain costumavam ser limitados a um único pacote que podia ficar comprometido. Agora estão a atacar tudo, todos, ao mesmo tempo. Temos de assumir que as cadeias de abastecimento que estamos a utilizar serão violadas.
Com uma CVE conhecida, poderá não ter reachability para o código vulnerável. Mas, com código malicioso a executar-se num pacote, tem 100 por cento de reachability. Passa a ter um incidente de segurança em curso.
Defender em aberto
Parte do que o Nicolai valoriza é o facto de o Aikido partilhar a sua investigação com a comunidade em geral, e não apenas com os seus próprios clientes.
A segurança é um jogo em que nos estamos todos a defender em simultâneo. Se deixarmos de partilhar os nossos compromissos, as nossas histórias, a nossa investigação, os atacantes ganham, porque ficamos em silêncio.
Testar a proteção de dispositivos
O Nicolai está a testar a proteção de dispositivos, atraído pela leveza com que se mantém nas máquinas dos programadores enquanto protege os ecossistemas de pacotes, e pela possibilidade de definir a sua própria janela de intervalo de atualização em vez de aceitar a predefinição do ecossistema.
pentest de IA e auditoria de código
A equipa está a avaliar o pentest de IA, com o objetivo de apoiar os seus pentesters humanos em vez de os substituir. E está a analisar a auditoria de código, incluindo uma utilização que se enquadra de perto no modelo da Visma: ler o estado de uma base de código como parte da due diligence técnica de empresas que poderá adquirir.
Aproveitar estas ferramentas ajuda a nossa due diligence técnica em potenciais alvos de aquisição.
Se perguntar ao Nicolai o que tudo isto representa, ele volta a centrar-se no foco.
O maior benefício que vejo no Aikido é a clareza e precisão dos alertas, o que me permite saber exatamente o que abordar e priorizar a seguir.
Originalmente publicado a 21 de novembro de 2024
Há pouco tempo, compartilhamos que a Visma escolheu a Aikido Security para suas empresas do portfólio. A Visma desenvolve e entrega software para pequenas e médias empresas, e para o setor público – melhorando a vida profissional de milhões de pessoas em todo o mundo. Seu software simplifica e automatiza processos de trabalho complexos e manuais, capacitando o dia a dia das pessoas.
Recentemente, tivemos o prazer de receber Nicolai Brogaard, Service Owner de SAST & SCA na nossa sede na Bélgica. A Visma desenvolve e fornece software para pequenas e médias empresas e para o setor público — melhorando a vida profissional de milhões de pessoas em todo o mundo. O seu software simplifica e automatiza processos de trabalho complexos e manuais, capacitando o dia a dia das pessoas. O Nikolai faz parte da equipa de testes de segurança da Visma, um grande conglomerado com mais de 150 empresas no seu portefólio. A Visma leva a segurança muito a sério — é algo em que se focam em toda a linha. Com 15 000 colaboradores (dos quais 6 000 são programadores) e uma equipa de segurança dedicada de 100 pessoas, a segurança está no centro das suas operações.
Estas são as suas reflexões sobre o cenário de segurança em evolução e o papel que o Aikido desempenha nele.
Por que Aikido? SCA e uma abordagem all-in-one
Na Visma, pensamos em construir nossas próprias ferramentas de segurança, mas percebemos rapidamente que não seria o melhor uso de nossos recursos. Foi aí que a Aikido entrou. Eles preencheram as lacunas que nossas ferramentas existentes, especialmente SAST (Testes de segurança de aplicações estáticas), não cobriam. Com a Aikido, não precisamos nos desdobrar para desenvolver ferramentas do zero.
Tudo gira em torno da poderosa análise de composição de software (SCA) da Aikido – a ferramenta definitiva para análise de dependências. As empresas da Visma poderão monitorar continuamente seu código, encontrar as vulnerabilidades importantes e corrigi-las rapidamente. Além da ferramenta SCA, a plataforma all-in-one da Aikido oferece soluções como SAST, reunindo as melhores soluções open-source para Ruby, Python, Golang e PHP.
A Expertise Regional Importa
Por estarmos sediados na UE, é muito importante para nós trabalhar com fornecedores que compreendam as regulamentações específicas que enfrentamos – especialmente coisas como GDPR e requisitos de residência de dados. O Aikido entende isso. Eles conhecem os detalhes das regulamentações da UE, o que torna muito mais fácil para nós cumprir requisitos como manter os dados em solo nacional.
A Aikido monitora de perto a Legislação Europeia de Cibersegurança e Privacidade, como GDPR, NIS2, CRA, DORA, etc. Através do recurso de relatórios da Aikido, o rastreamento da conformidade de segurança técnica da sua empresa se torna extremamente simples.
Como a Visma Avalia Softwares de Segurança
Ao analisar novos fornecedores, seguimos a regra 80/20: se uma solução atende às necessidades de 80% das nossas empresas do portfólio, vale a pena considerar. A Aikido acertou em cheio para nós. Além da SCA, eles oferecem recursos adicionais, como abordar pontos cegos de segurança e auxiliar com CSPM (Gerenciamento de Postura de Segurança na Nuvem). Esses benefícios adicionais realmente fecharam o negócio para nós.
Tentar reduzir o ruído que [outras] ferramentas realmente geram – mergulhar na relação sinal-ruído – é um pesadelo. O Aikido resolveu isso para nós.
Os Benefícios do Aikido
A Aikido não apenas aprimorou nossa postura de segurança – ela também nos ajudou a descobrir coisas que estávamos perdendo com nossas ferramentas anteriores. Inicialmente, os trouxemos para SCA, mas rapidamente percebemos que eles poderiam fazer muito mais, especialmente na redução do tempo e esforço gastos lidando com falsos positivos. Seu recurso de auto-remediação é uma grande economia de tempo para nossas equipes. Ele elimina o ruído, para que nossos desenvolvedores possam se concentrar no que realmente importa.
O recurso de auto-remediação do Aikido é uma grande economia de tempo para nossas equipes. Ele elimina o ruído, para que nossos desenvolvedores possam focar no que realmente importa.
Transição Suave
A rede da Visma é colossal e está em constante crescimento, então o software que usamos não deve apenas fortalecer a postura de segurança de nossas empresas de portfólio, mas também deve ser livre de problemas. Em termos práticos, a Visma valoriza a simplicidade do onboarding, e o Aikido entrega exatamente isso: onboarding rápido, fácil e eficaz em toda a rede da Visma.
Na Visma, temos um portal interno de desenvolvedores de segurança chamado Hubble, que torna o onboarding de novas ferramentas super simples. Com o Aikido, foi apenas uma questão de integrá-los ao Hubble e dar um leve empurrão às nossas empresas de portfólio para fazer a mudança. A maioria das empresas fez a transição rapidamente, e o restante segue ao longo do tempo, à medida que monitoramos os riscos internamente. A API do Aikido se integra perfeitamente com o gerenciamento de inventário da Visma. Assim, com alguns cliques rápidos, a rede da Visma pode começar a usar o Aikido em pouco tempo.
O Que a Visma Adora no Aikido
O melhor do Aikido? Eles são super proativos. Temos um canal compartilhado no Slack com eles, e estão sempre prontos para responder e resolver quaisquer problemas que nossas equipes encontrem. É ótimo sentir que somos mais do que apenas um cliente — eles realmente se preocupam em garantir que estamos aproveitando ao máximo o produto deles.
Aikido não é apenas um fornecedor para nós — eles são um verdadeiro parceiro. A capacidade de resposta e a dedicação deles em nos ajudar a ter sucesso fazem toda a diferença.
O ponto de dor da Visma no orçamento de segurança
Brogaard aponta: “Ferramentas de segurança custam muito caro.”
A maioria das plataformas similares possui um modelo de precificação focado no desenvolvedor, criando custos imprevisíveis e tornando o orçamento uma dor de cabeça desnecessariamente desafiadora e persistente. Consequentemente, para a Visma, o modelo de precificação se torna um ponto de dor de segurança de alta prioridade. Considerando o tamanho da Visma e a contínua expansão da rede, o aumento dos custos e a imprevisibilidade em torno do orçamento tornam-se insustentáveis.
A Aikido Security resolve a dor do modelo de precificação problemático anterior da Visma com seu plano empresarial de usuários ilimitados – uma taxa fixa conhecida antecipadamente. Sem custos desconhecidos = uma enorme vantagem para o orçamento.
Destaques Principais:
- Preenchendo Lacunas de Segurança: Aikido ilumina os pontos cegos que nossas outras ferramentas não detectam.
- Automação que Economiza Tempo: O recurso de auto-remediação reduz o ruído, permitindo que nossos desenvolvedores se concentrem em problemas reais.
- Onboarding Simples: Com o portal interno da Visma, integrar empresas ao Aikido é muito fácil.
- Suporte Proativo: O suporte rápido e responsivo do Aikido via plataformas de mensagens instantâneas (como Slack) nos faz sentir em boas mãos.
- Preços previsíveis: Aikido utiliza faixas de preço com usuários e pacotes de recursos incluídos. Preços transparentes, sem cobranças ocultas por usuário ou por uso.
