Cube Labs (parte dell'ecosistema Abstract) sta sviluppando una blockchain Layer-2 di nuova generazione pensata per applicazioni Web3 veloci e pronte per il grande pubblico. Con il sostegno di Founders Fund, il team si concentra sulla creazione di una base sicura e scalabile sia per gli sviluppatori che per gli utenti.
Quando il team ha iniziato a cercare modi per rafforzare il proprio livello di sicurezza senza rallentare lo sviluppo, si è rivolto ad Aikido.
«L’Aikido ci ha aiutato a comprendere meglio le nostre potenziali vulnerabilità e ci ha dato la certezza di essere al sicuro nei momenti di crisi.»
Ehi, Metarsit! Qual è il tuo ruolo e quali sono le tue responsabilità?
Sono un ingegnere full-stack presso Cube Labs. Il mio lavoro verte sui settori DevOps, ingegneria di prodotto e produttività ingegneristica.
Cosa distingue Abstract nel vostro settore?
Il modo migliore per descriverlo è quello che abbiamo illustrato nel nostro blog: Abstract è uno stack blockchain modulare che semplifica il processo di sviluppo delle app Web3 da parte degli sviluppatori. Rendiamo l'esperienza Web3 più accessibile e più sicura per tutti.
Qual è lo scopo della sicurezza nel vostro settore?
È il solito discorso: prevenire gli attacchi hacker e correggere le vulnerabilità. Ma nel mondo del Web3, gli hacker sono incredibilmente creativi. Bisogna stare sempre due passi avanti a loro.
Che tipo di pressione esercitano oggi i vostri clienti o investitori sulle vostre pratiche in materia di sicurezza e conformità?
Una forte pressione, e a ragione. Ci sono dei soldi in ballo. Dobbiamo assicurarci che i fondi e i dati di tutti siano al sicuro.
«Il nostro amministratore delegato e il nostro direttore tecnico considerano la sicurezza una priorità assoluta. Siamo sempre alla ricerca di strumenti migliori per garantire la nostra sicurezza e quella di tutti».
C'è stato un momento particolare che ha determinato una maggiore attenzione strategica alla sicurezza?
Il nostro CEO e il nostro CTO hanno sempre dato la priorità alla sicurezza. È parte integrante della nostra cultura. Ma quando abbiamo iniziato a crescere, volevamo strumenti che ci aiutassero a rimanere proattivi, non solo reattivi.
Raccontaci qualcosa in più sulla decisione di cercare e scegliere l’Aikido.
Conoscevamo già Snyk, ma è stato un amico a farci scoprire Aikido. Lo abbiamo valutato rispetto a Snyk e ad alcuni altri strumenti diffusi nel settore e ci siamo resi conto che era la soluzione più adatta alle nostre esigenze e al nostro flusso di lavoro.
Gli strumenti che utilizzavamo prima erano ottimi, ma non ci garantivano la visibilità né la reattività di cui avevamo bisogno. Con Aikido è stato diverso. Il prodotto è più orientato agli sviluppatori, consente iterazioni più rapide ed è realizzato da un team che si impegna davvero per ottenere risultati.
«Abbiamo valutato diversi strumenti, ma Aikido si è distinto per la rapidità con cui opera il team e per la completezza della piattaforma.»
Quali erano le tue principali preoccupazioni in materia di sicurezza prima di iniziare a praticare l’Aikido?
Accessibilità. Utilizzavamo gli strumenti di sicurezza integrati in GitHub, che segnalavano numerosi problemi, ma non chiarivano se questi ci riguardassero effettivamente. Volevamo evitare aggiornamenti di versione di ampia portata e rischiosi, che possono causare instabilità, e Aikido ci ha mostrato quali aggiornamenti fossero effettivamente rilevanti.
Come gestivi la sicurezza prima di iniziare a praticare l’Aikido?
Avevamo già messo in atto buone pratiche ingegneristiche e flussi di lavoro efficaci, ma richiedevano un grande impiego di manodopera. Aikido ci ha aiutato ad automatizzare e velocizzare ciò che prima richiedeva molte ore di lavoro da parte degli ingegneri.
Cosa ha colpito di più dell’Aikido durante la valutazione?
Innanzitutto, il team. Sono stati incredibilmente disponibili, reattivi e trasparenti. E l’offerta in sé era proprio quella che faceva al caso nostro.
Quanto è stato facile integrare l'Aikido nei tuoi flussi di lavoro?
Nel complesso è stato facile. Circa l’80% ha funzionato subito, il che è stato davvero notevole. Il resto si è configurato in un attimo.
"È stato sorprendentemente facile implementare Aikido su tutti i nostri servizi."
Come è stata la tua esperienza di collaborazione con il team di Aikido?
Fantastico. Sono attenti e rispondono subito ogni volta che abbiamo bisogno di aiuto.
Qual è la tua funzione preferita?
Zen, la protezione in-app di Aikido, a sorpresa. Aggiunge un nuovo livello di protezione e ci dà maggiore sicurezza nella gestione dei dati degli utenti.
Prima di Zen, ci affidavamo a strumenti come Vercel Security e Sentry per ottenere informazioni sul runtime. Erano efficaci nel fornire informazioni, ma Zen è molto più efficace nell’identificare minacce e potenziali vulnerabilità, con la possibilità di bloccarle facilmente.
«Lo Zen ha portato alla luce aspetti che prima non avremmo mai preso in considerazione, come nuovi endpoint in uscita che potrebbero essere dannosi.»
C'è stato un episodio specifico che ti ha fatto capire che le misure di protezione di cui disponevi non erano sufficienti?
Non c'è stato un episodio specifico, ma una volta integrata la soluzione Zen, abbiamo iniziato a individuare gli endpoint in uscita e le attività correlate, il che ci ha permesso di rendere il nostro monitoraggio più accurato.
Nel valutare Zen, cosa ti ha convinto che valesse la pena aggiungere la protezione runtime integrata nell'app?
Non ci abbiamo riflettuto troppo: era un ulteriore livello di protezione che potevamo aggiungere facilmente a tutti i nostri servizi. Non appena l’abbiamo attivato, Zen ha iniziato a individuare potenziali vulnerabilità che richiedevano attenzione, e questo è stato fondamentale per noi.
Qual è la funzionalità Zen che preferisci?
"La funzione di individuazione delle API è davvero fantastica. Ci aiuta a capire cosa è effettivamente esposto e dove, il che è fondamentale nel Web3."
Da quando avete adottato Zen, avete riscontrato una riduzione dei falsi positivi o un risparmio di tempo?
Non utilizziamo ancora il blocco automatico, ma Zen ci aiuta a esaminare le potenziali minacce che in passato avremmo potuto trascurare. Ci offre un quadro più chiaro senza comportare un carico di lavoro aggiuntivo.
In che modo l’Aikido ha cambiato l’approccio di Cube Labs alla sicurezza e alla gestione delle vulnerabilità?
Ora disponiamo di accordi SLA che garantiscono una rapida risoluzione delle vulnerabilità. Aikido ci aiuta a comprendere meglio i problemi e a decidere come affrontarli in base al loro impatto effettivo.
C'è stato un momento in cui l'Aikido ha permesso alla tua squadra di risparmiare tempo, ridurre lo stress o evitare rischi?
«Durante un recente attacco alla catena di approvvigionamento, abbiamo potuto contare sul fatto di essere al sicuro da qualsiasi exploit. È stata un’esperienza che ci ha cambiato la vita.»
In che modo l’Aikido può aiutare a far fronte alle crescenti esigenze in materia di regolamentazione e protezione dei dati?
Prestiamo la massima attenzione ai dati degli utenti e Zen aggiunge un ulteriore livello di protezione e conformità. Ci aiuta a garantire il rispetto degli impegni presi con gli utenti in materia di sicurezza.
Avete riscontrato risultati misurabili, come una risoluzione più rapida dei problemi o un minor numero di vulnerabilità non individuate?
Non ancora in termini quantitativi, ma possiamo già constatare che le cose procedono in modo più fluido ed efficiente. Dedichiamo meno tempo alla gestione della sicurezza e più tempo allo sviluppo.
Se dovessi descrivere l'impatto dell'Aikido in una sola frase?
L'Aikido ci ha fornito una profonda consapevolezza delle nostre potenziali vulnerabilità e la certezza di essere al sicuro nei momenti di crisi.
Il riassunto
Cube Labs opera in uno dei settori più esposti al rischio di attacchi al mondo, il Web3, dove le falle nella sicurezza possono avere conseguenze finanziarie in pochi secondi. Grazie ad Aikido, il team ottiene chiarezza, automazione e tranquillità. Per Cube Labs, Aikido non è solo uno strumento: è una rete di sicurezza che garantisce la protezione del team mentre costruisce il futuro del web decentralizzato.
