In sintesi
- L'Aikido ha sostituito una serie di strumenti di sicurezza open source che sommergevano il team di falsi positivi
- Gli sviluppatori considerano ormai i risultati di Aikido come un elenco provvisorio di problemi reali da risolvere
- Le richieste di pull con AutoFix con un solo clic raggiungono il ramo di lavoro in pochi minuti, attraverso la pipeline di revisione propria di Codafication
- Quando un cliente ha chiesto conferma durante un attacco alla catena di approvvigionamento, un link alla dashboard di Aikido aveva già pronta la risposta
Uno stack open source aveva trasformato la sicurezza in un problema di volume
Codafication, l’azienda di Brisbane specializzata in software assicurativo, protegge il codice alla base della propria piattaforma di gestione dei sinistri con Aikido, dopo aver sostituito una serie di strumenti di sicurezza open source messi insieme dai propri ingegneri.
Curtis Wilkinson, CTO, supervisiona tutte le attività tecnologiche di Codafication, dal personale addetto alla sicurezza e all’infrastruttura cloud fino al controllo qualità, all’ingegneria e allo sviluppo dei prodotti. Fondata nel 2015, Codafication sviluppa software per la gestione dei sinistri che la maggior parte delle principali compagnie assicurative australiane utilizza per gestire le riparazioni relative a sinistri su immobili e beni mobili. Il suo prodotto principale si basa su 70-80 componenti distinti.
Prima di passare ad Aikido, il team eseguiva controlli dei container nella propria pipeline CI/CD, utilizzava uno strumento SAST e generava SBOM che venivano inseriti in un tracker open source. Il sistema funzionava esattamente come previsto, ma il carico di lavoro manuale richiesto era diventato troppo oneroso da gestire. I falsi positivi si accumulavano in gran numero, senza alcuna deduplicazione, raggruppamento, triage automatico o analisi di raggiungibilità per filtrarli.
"Ti segnalava qualcosa e tu pensavi: ‘Ma che cos’è?’. Lo cercavi su Google e scoprivi che si trattava di una strana cosa di Adobe del 1925. Quasi ti sorprendeva trovare un vero e proprio problema."
Per verificare la presenza di un singolo problema concreto, era necessario controllare manualmente se il codice utilizzasse effettivamente la funzione interessata. Nessuna di queste operazioni era collegata a Jira, la piattaforma su cui lavora il team, quindi ogni ticket comportava operazioni di copia-incolla e aggiornamento in due posti diversi. Ogni miglioramento avrebbe comportato un ulteriore dispendio di tempo da parte dei tecnici.
"Il nostro compito come azienda non è quello di sviluppare una nostra piattaforma di gestione della sicurezza che copra l'intero stack."
Un elenco dei problemi che il team risolve effettivamente
Aikido è ora alla base del programma di correzione in corso di Codafication, e la prima cosa che ha modificato è stato l'elenco dei risultati. La deduplicazione e il raggruppamento dei problemi riuniscono i risultati relativi a tutti i componenti del prodotto in un'unica vista che mostra ogni punto in cui si verifica un problema e quale team dovrebbe risolverlo.
Il team ha inoltre eseguito l’Aikido AI Code Security Audit, parte dell’AI Code Analysis, sulla maggior parte del codice alla base della propria piattaforma. L’esecuzione ha richiesto 14 ore e il team non ha ancora riscontrato alcun falso positivo nei risultati. Ciò ha reso facile agire sui risultati individuati: sono stati inseriti direttamente in cima alla roadmap delle correzioni e gli sviluppatori ne hanno risolti e integrati 39 in circa sei settimane. Curtis ha concesso l’accesso agli sviluppatori e ha chiesto loro un parere.
"Il commento era: 'Wow, questa roba è davvero valida. Tutto ciò che c'è qui dovrebbe essere considerato come un problema da risolvere, invece che come un elenco di cose probabilmente inutili'."
Circa tre pull request su quattro di AutoFix vengono integrate senza alcuna modifica da parte del team. Aikido genera la pull request, gli agenti di revisione di Codafication la valutano e poi passa all’approvazione finale per l’integrazione, raggiungendo solitamente il ramo di lavoro in meno di 10 minuti. Curtis ha percepito la differenza quando è arrivata la prima ondata di pull request di AutoFix e ha esaminato personalmente l’elenco. Ogni correzione gli avrebbe richiesto da mezz’ora a due ore se fosse stata effettuata manualmente.
"Si è ridotto tutto a un semplice clic."
Grazie all’integrazione con Jira, lo stato dei ticket è ora centralizzato in un unico posto. Curtis può scorrere l’elenco e vedere quale sviluppatore è responsabile di ciascuna correzione e quale tester se ne è occupato, mentre le correzioni di sicurezza vengono riportate nei report degli sprint. Ogni volta che sorgevano domande durante la configurazione di tutto questo, il team le sottoponeva direttamente allo staff tecnico di Aikido tramite un canale condiviso.
"Sono stati davvero disponibili e molto collaborativi. Non c'è stato alcun rimpallo di responsabilità. Le persone che potevano effettivamente risolvere i problemi erano proprio lì, sul canale."
Perché Codafication ha scelto l’Aikido
- Una prima esperienza molto positiva con Aikido Safe Chain, lo strumento gratuito che blocca i pacchetti open source dannosi prima che vengano installati e che costituisce il punto di partenza per la protezione dei dispositivi offerta da Aikido. Si tratta dello strumento che il team ha implementato su tutti i dispositivi degli sviluppatori quando gli attacchi alla catena di approvvigionamento di npm hanno colpito l'ecosistema uno dopo l'altro.
- La ricerca sulle minacce condotta da Aikido, che figurava già tra le fonti utilizzate dal team per la propria attività di intelligence sulle minacce
- Un proof of concept che ha permesso al team di esplorare le funzionalità e scegliere quali attivare per prime
"Avevamo avuto un'ottima esperienza con Safe Chain e sapevamo che Aikido era un'azienda affidabile. Ci è sembrato quindi logico venire a vedere cosa offrivano."
L'Aikido aveva già la risposta prima ancora che il cliente la ponesse
I clienti di Codafication operano in un settore regolamentato caratterizzato da una tolleranza al rischio molto bassa. Per questo motivo, monitorano attentamente gli attacchi alla catena di approvvigionamento. Quando se ne verifica uno di grave entità, iniziano ad arrivare e-mail e telefonate.
Durante un recente attacco, Curtis era in viaggio per lavoro. Il team di account di Aikido ha pubblicato un link alla dashboard nel canale condiviso. Bastava uno sguardo per vedere il segno di spunta verde: Codafication non era stata colpita. Nel giro di mezz’ora, un cliente ha inviato un’e-mail chiedendo a Codafication di attestare che il suo sistema di produzione non avesse subito alcun impatto.
"È stato molto più facile dire semplicemente di sì."
Prima di iniziare a praticare l’Aikido, Curtis avrebbe aspettato l’esecuzione del prossimo controllo programmato, che, a seconda dei tempi, avrebbe richiesto un paio d’ore, prima di poter rispondere. Questa volta, invece, aveva già la risposta prima ancora che il cliente ponesse la domanda.
Come Codafication utilizza l'Aikido oggi
"Man mano che procediamo, stiamo mettendo in luce diversi aspetti dell'Aikido. In gran parte si tratta di sostituire contenuti creati manualmente, ma in parte si tratta semplicemente di nuove funzionalità."
- I controlli delle pull request come primo livello di sicurezza per i repository relativi a strumenti interni, automazione e infrastruttura
- AutoFix e controlli proattivi dei rami nei repository principali dei prodotti
- Audit di sicurezza del codice AI, eseguito sulla maggior parte del codice alla base della piattaforma di gestione delle richieste di risarcimento
- Controlli sulla qualità del codice e monitoraggio della copertura del codice
- Integrazione con Jira per l'alimentazione dei report tecnici relativi agli sprint
- Monitoraggio dei domini, i cui primi risultati hanno evidenziato la presenza di due problemi già noti riportati nell'ultimo rapporto sul test di penetrazione esterno
- Successivamente: accesso al repository dei container e un test di penetrazione basato sull’intelligenza artificiale (AI) con lo stesso ambito del test di penetrazione esterno effettuato due volte all’anno, al fine di confrontare i risultati
Verdetto finale
"Abbiamo sempre avuto strumenti che coprivano un aspetto specifico. Nessuno, però, riuniva tutto in un unico posto in modo da renderlo gestibile e permetterci di capire se avevamo la situazione sotto controllo."
