O banco, devidamente licenciado e prestador de serviços de custódia de Bitcoin, integrou o Aikido e o Zen numa infraestrutura de segurança já consolidada, reduzindo o ruído de vulnerabilidades em 95%, diminuindo o tempo das investigações de segurança de horas para minutos e obtendo visibilidade em tempo de execução em mais de 100 serviços.
Em resumo
- Menos 95% de ruído de vulnerabilidades, reduzindo 5.880 resultados iniciais para 275 problemas relevantes
- Horas → minutos para investigação e análise de segurança
- Mais de 100 serviços protegidos pelo Zen em ambientes de staging e produção
- Quase todos os repositórios de código analisados com o Aikido
- Proteção ao nível da aplicação para ataques que contornam as defesas de perímetro
- O Safe Chain fornece um bloqueio preventivo contra pacotes recentemente comprometidos
Desafio
Para o Xapo Bank, a segurança tem stakes invulgarmente elevados. Sendo simultaneamente um banco com licença completa e um custodiante de Bitcoin, o Xapo protege ativos onde as transações podem ser irreversíveis. Os membros confiam as suas economias ao banco, enquanto os clientes institucionais realizam uma extensa due diligence de segurança antes de moverem ativos para a plataforma.
Para Fabio Pires, Head of Security Operations and Product Security, isso torna a segurança fundamental para o negócio.
"Uma falha de segurança para nós não é tempo de inatividade, é a riqueza de alguém. É por isso que a segurança no Xapo não é um departamento, é a base sobre a qual o produto é construído."
Ao contrário de muitas organizações que adotam uma plataforma AppSec moderna, o Xapo não estava a começar a partir de um programa de segurança imaturo. O banco já tinha construído os seus próprios pipelines de ciclo de vida de desenvolvimento de software seguro (SSDLC), orquestrando testes de segurança de aplicações estáticas (SAST), varredura de segredos, análise de composição de software (SCA), infraestrutura como código e análise de runtime em ferramentas independentes. As conclusões foram enriquecidas com contexto do gerenciamento de vulnerabilidades e inventário de ativos do Xapo, associadas a responsáveis e atreladas a SLAs. Um pull request não podia ser fundido assim que uma vulnerabilidade ultrapassava o seu SLA.
No perímetro, a Cloudflare protegia a infraestrutura voltada para o público, enquanto os serviços internos operavam por trás de uma rede zero-trust. O Xapo tinha inclusive construído as suas próprias armadilhas de ilusão (deception traps) e sistemas de resposta automatizados.
Os controlos do Xapo não eram o problema. Diferentes scanners produziam diferentes formatos e falsos positivos para reconciliar, enquanto as pontuações de severidade não estavam conectadas ao facto de uma conclusão ser efetivamente explorável no ambiente do Xapo, e os agentes de runtime conseguiam ver hosts e container, mas careciam de contexto da aplicação, como rotas, cargas úteis, fluxos de dados ou comportamento de saída esperado.
Esse último ponto cego tornou-se particularmente importante para a segurança da cadeia de fornecimento.
Os modelos de ameaça do Xapo colocavam repetidamente o mesmo cenário: uma dependência de confiança é comprometida, executa dentro de um serviço legítimo e exfiltra discretamente dados através de um terceiro idóneo.
Os controlos de perímetro tradicionais focam-se fortemente no que entra numa aplicação. Mas, num compromisso bem-sucedido da cadeia de fornecimento, o sinal crítico pode ser aquilo que começa subitamente a sair.
"Tudo nesta indústria é construído para inspecionar o que entra, mas a exfiltração é um problema de saída, e o único local com contexto suficiente para avaliar o tráfego de saída é a própria camada de aplicação."
O Xapo queria abordar ambos os lados desse cenário: impedir que dependências maliciosas entrassem no ambiente e, depois, assumir que a prevenção podia eventualmente falhar e detetar comportamento malicioso em runtime.
Solução
A Xapo abordou o Aikido como outra camada numa estratégia de defesa em profundidade já madura. O Cloudflare continuou a proteger o perímetro. O Aikido assumiu a segurança de código, dependências e segurança de contêineres em todo o pipeline, cada um executado como uma capacidade líder de categoria em vez de apenas cobertura adicional, com quase todos os repositórios de código da Xapo agora analisados pelas ferramentas do Aikido.
O Aikido Safe Chain adicionou um controlo preventivo em toda a organização. Se um novo pacote for comprometido, a Xapo não tem de depender exclusivamente de descobrir esse comprometimento após a instalação.
O Zen, o firewall incorporado no aplicativo do Aikido, adiciona a camada de runtime em falta dentro das próprias aplicações.
A distinção em relação à segurança de perímetro era importante: julgar um pedido pelo seuaspeto versus rastrear o que ele realmente faz dentro da aplicação, seguindo os dados desde a origem até ao destino para determinar se uma vulnerabilidade é genuinamente explorável.
“O perímetro só consegue julgar um pedido pelo seuaspeto. O firewall incorporado no aplicativo Zen do Aikido julga-o pelo que ele faz.”
O Zen também dá à Xapo visibilidade sobre as ligações de saída a nível de cada serviço. A equipa pode estabelecer qual é o comportamento de saída normal e identificar quando um serviço começa subitamente a comunicar com um novo destino, um sinal importante se uma dependência legítima ficar comprometida.
A Xapo submeteu o Aikido a uma exigente prova de conceito.
A equipa de segurança publicou os seus próprios pacotes npm maliciosos fictícios, enviou payloads de ataque para o Zen e documentou todas as falhas encontradas. O que se destacou não foi apenas o que o produto já conseguia fazer, mas a rapidez com que o Aikido respondeu quando não conseguia.
A Xapo teve acesso direto aos engenheiros do Aikido através de um canal do Slack partilhado. Os bugs foram resolvidos em dias ou semanas, enquanto as capacidades solicitadas foram transformadas em compromissos contratuais com datas de entrega.
A visibilidade e o bloqueio de tráfego de saída foram um deles. Passou da lista de desejos da Xapo para um compromisso contratual e, em seguida, para o produto. O Fabio descreve esse nível de capacidade de resposta do fornecedor como raro.
O Aikido também integrou a infraestrutura de segurança que a Xapo já tinha construído, em vez de forçar a equipa a substituí-la. As APIs e webhooks alimentam o gerenciamento de vulnerabilidades e a automatização da Xapo, transformando descobertas em tickets e deteções em playbooks de resposta sem necessidade de copiar e colar manualmente.
Resultados
O impacto mensurável mais claro é a quantidade de ruído de vulnerabilidades que a equipa de segurança da Xapo deixa de precisar de investigar.
O Aikido reduziu 5.880 descobertas iniciais para 275 problemas relevantes, uma redução de 95% em falsos positivos e ruído.
A acessibilidade e outros fatores contextuais permitem que o Aikido determine se as descobertas representam um risco real antes de chegarem à equipa. Sem esse contexto, a Xapo afirma que precisaria de criar os seus próprios mecanismos para apurar se os componentes afetados estavam efetivamente a ser utilizados e representavam um risco, validando depois manualmente os falsos positivos gerados por esses mecanismos.
Isso dá à equipa de segurança mais tempo para se focar em problemas de segurança reais, em vez de ter de provar quais as descobertas que não importam.
A velocidade de investigação também melhorou. Uma análise que antes demorava horas pode agora demorar apenas alguns minutos.
Os incidentes na cadeia de abastecimento são um bom exemplo. Anteriormente, a equipa precisava de verificar manualmente o seu inventário de ativos e a lista de materiais de software (SBOM) obtida, identificar onde uma biblioteca estava presente e cruzar os dados para apurar se a versão afetada expunha a Xapo a um comprometimento recentemente divulgado.
Hoje, o Aikido notifica a equipa quando uma biblioteca no seu ambiente é afetada, enquanto o Safe Chain adiciona um bloqueio preventivo no CI/CD. Os sistemas principais da Xapo são construídos com recurso a uma única linguagem de programação, mas a equipa valoriza o facto de o Aikido investigar comprometimentos emergentes de pacotes e cruzá-los com a realidade do seu próprio ambiente.
O Zen expandiu-se agora por mais de 100 serviços em staging e produção, proporcionando à Xapo uma visibilidade de runtime por serviço que antes não existia.
Essa camada adicional provou o seu valor durante um ataque de scanning real contra um dos serviços da Xapo.
A primeira vaga de pedidos maliciosos passou pelo perímetro antes de o rate limiting entrar em ação. O Zen sinalizou-os imediatamente, com o contexto da aplicação a mostrar qual o serviço visado, qual a rota acionada, o payload utilizado e se a atividade era efetivamente explorável.
O que antes poderia ter-se transformado numa investigação a posteriori através de registos tornou-se numa deteção em tempo real e de elevada fiabilidade.
"O contexto de runtime do Aikido transforma alertas em respostas. Não gastámos horas a perguntar 'isto é real?'. Já sabíamos."
As defesas perimétricas da Xapo continuam a tratar do que sempre trataram. O Zen adiciona uma camada por trás delas, fortalecendo a arquitetura como um todo.
O edge continua a gerir o volume e as categorias amplas de ataques. O Zen oferece outra perspetiva a partir do interior da aplicação para tudo o que consegue ultrapassar o perímetro. Enquanto isso, a inteligência de dependências e malware do Aikido e o Safe Chain ajudam a reduzir a probabilidade de uma dependência comprometida chegar sequer à aplicação.
A deteção alimenta diretamente a automação da própria Xapo. As descobertas chegam com contexto de explorabilidade e podem acionar respostas automatizadas. Como o Fabio explica, bloquear um utilizador malicioso pode agora consistir numa chamada de API em vez de numa sala de crise.
O resultado é uma arquitetura em que a própria aplicação se tornou numa nova camada de deteção.
Veredito final
A Xapo não estava à procura de outra ferramenta perimétrica. Mais ferramentas perimétricas não teriam colmatado essa lacuna. O que o conseguiu foi o contexto, o tipo de contexto que os controlos existentes da Xapo não conseguiam fornecer.
“O Aikido transformou as nossas aplicações do nosso maior ponto cego numa parte da nossa superfície de deteção, e o Zen significa que tudo o que escapa ao perímetro ainda tem de passar por uma camada que compreende a própria aplicação.”
Para um banco onde a confiança é fundamental para o produto, essa camada adicional fecha uma lacuna importante entre a prevenção e a resposta.
