In sintesi
- Aikido Device Protection per circa 1.000 postazioni, suddivise tra team di ingegneria e team non tecnici
- Un'evoluzione rispetto a Aikido Safe Chain, che Deriv utilizzava già nelle pipeline di GitHub
- Una SBOM (Software Bill of Materials) completa per ogni dispositivo protetto, consultabile tramite le API di Aikido
- Correzioni di CVE critiche che aggirano il limite minimo di 48 ore di età del pacchetto
- Gli avvisi di Device Protection integrati nel flusso di lavoro di analisi di Deriv
- Copertura estesa a un numero maggiore di sistemi operativi man mano che il supporto viene rilasciato
Gli assistenti di codifica basati su IA possono prelevare qualsiasi pacchetto da un registry pubblico
Deriv offre trading 24 ore su 24 su forex, indici sintetici, azioni, indici azionari, materie prime, criptovalute ed ETF, con la missione di rendere il trading accessibile a chiunque, ovunque.
Poiché Deriv è una piattaforma finanziaria, David Usher (VP of Security Engineering) e il suo team considerano la sicurezza la massima priorità, e gran parte di questo lavoro si concentra sulla supply chain del software. Il team utilizza l'IA su entrambi i fronti di questo compito, sia per i test di attacco che per la difesa.
Deriv conta più di 300 sviluppatori e chiunque di loro potrebbe estrarre un pacchetto da un registry pubblico in qualsiasi momento. A maggior ragione, ora lo fanno continuamente anche i loro assistenti di codifica basati su IA, come Cursor e Claude Code.
"Dobbiamo assicurarci che quei pacchetti non siano malware. Perciò disporre di un meccanismo di protezione è estremamente importante."
Deriv aveva già implementato un primo livello di difesa. Prima di acquistare un prodotto commerciale, il team utilizzava Aikido Safe Chain — il wrapper open-source che verifica la presenza di malware nei pacchetti prima che il package manager li installi — nelle proprie pipeline GitHub e sui propri dispositivi. David afferma che ha svolto un ottimo lavoro, ma la visibilità continuava a essere un punto critico: il team non riusciva a vedere tutto ciò che era già installato su ciascuna macchina.
Prevenzione su ogni singolo dispositivo
Per David, Device Protection ha spinto l'approccio di Safe Chain un passo oltre, prevenendo i malware direttamente sul dispositivo. Attualmente Deriv lo esegue su circa 1.000 dispositivi distribuiti su diversi sistemi operativi. Questo garantisce al team di sicurezza una panoramica di ogni dispositivo registrato e delle relative versioni in esecuzione. Ciascun dispositivo riporta inoltre la propria SBOM (Software Bill of Materials), un inventario dei pacchetti installati nei vari ecosistemi.
"Possiamo visualizzare la SBOM completa per ogni dispositivo, e questo ci offre una visibilità aggiuntiva sui pacchetti presenti sui dispositivi."
Il team testa regolarmente la configurazione utilizzando i pacchetti di test forniti da Aikido per gli ecosistemi supportati. David ha inoltre configurato un sistema di automazione degli avvisi: se Device Protection blocca un malware prima che penetri nell'organizzazione, il team di security operations di Deriv indaga immediatamente per capire cosa ha causato il tentativo di installazione.
Perché la scelta della valutazione è ricaduta su un agente installato sul dispositivo
Deriv ha preso in considerazione altri strumenti prima di scegliere Aikido, ma Aikido esegue un agente su ciascun dispositivo e David ha ritenuto questa soluzione più difficile da aggirare rispetto agli approcci centralizzati presi in esame. Offre inoltre al team di sicurezza il contesto necessario quando si verifica un evento.
"Se scatta un allarme, è fondamentale capire chi ha fatto cosa, dove e quando. In questo modo possiamo indagare tempestivamente e assicurarci di contenere qualsiasi altra anomalia in corso su quel dispositivo."
Controlli retrospettivi e patch critiche che non ammettono attese
David ha utilizzato l'inventario dei dispositivi per cercare i vecchi pacchetti ancora presenti sulle macchine risalenti a prima dell'implementazione, trovando la cosa rassicurante. Questa funzione alimenta anche i controlli retrospettivi. Aikido Intel rileva rapidamente i nuovi malware e, quando un pacchetto viene identificato come malware dopo il suo rilascio, l'automazione di Deriv verifica se quella versione sia presente sulla macchina di qualcuno.
Device Protection mantiene inoltre rapidi gli interventi di patch urgenti. Per impostazione predefinita, la sua età minima del pacchetto trattiene le versioni appena pubblicate per 48 ore, bloccando così gli attacchi basati su malware diffusi di recente. Quando una nuova versione risolve una CVE critica, Device Protection ora la lascia passare immediatamente, applicando gli appositi controlli. Questa operazione viene eseguita automaticamente e solo per quella specifica versione, in modo che il team di Deriv non debba configurare nulla.
"Non bisogna aspettare due giorni per poter applicare una patch a una CVE critica. Questo è il punto."
Quest'eccezione era emersa nelle conversazioni tra Deriv e Aikido. David solleva richieste in un canale di supporto condiviso con il team di Aikido e conta almeno due nuovi ecosistemi aggiunti da quando Deriv ha iniziato, inclus il supporto a Homebrew e Linux.
"Molte altre aziende possono essere molto lente nella loro risposta. Lo mettono nella roadmap e si fanno vivi dopo sei mesi, ma a quel punto è troppo tardi e siamo già andati avanti."
Copertura oltre l'ingegneria
Deriv suddivide le sue licenze di Device Protection tra ingegneria e team non tecnici.
"I team non tecnici stanno diventando più tecnici e tutti usano l'IA per svolgere il proprio lavoro, quindi avere Aikido in tutta l'azienda è davvero importante."
Chiunque potrebbe provare a installare qualcosa che non è approvato. Deriv dispone di altri controlli a questo scopo e lo stesso inventario dei dispositivi aiuta anche con la conformità. Per inserire un numero maggiore di macchine in tale inventario, Deriv sta estendendo Device Protection a un numero maggiore di sistemi operativi, ora che Aikido li supporta.
Affrontare insieme il problema della supply chain
David è chiaro sul fatto che nessuna soluzione sia perfetta. Ciò che apprezza è un vendor che si muove al ritmo di Deriv. Deriv utilizza l'IA per rilasciare rapidamente e lui vede la stessa velocità nel modo in cui Aikido risponde:
"Sembra che stiamo lavorando insieme per migliorare il prodotto e anche per risolvere il problema della sicurezza della supply chain."
