In sintesi
- Aikido SAST e SCA in esecuzione su ogni repository tramite l'integrazione con GitHub
- Il plugin per IntelliJ fornisce feedback agli sviluppatori mentre scrivono il codice
- L'integrazione con Jira converte i problemi rilevati in ticket di correzione assegnati agli sviluppatori
- Aikido AI Pentest sul nuovo portale clienti completato in 1 ora e 40 minuti
- Un problema a gravità elevata risolto prima che il portale diventasse pubblico
- Il pentest è stato eseguito in modalità white-box poiché Aikido aveva già accesso al repository
- Valutato rispetto a Veracode, Checkmarx e Snyk
Sfida
First National Bank of America è una banca a gestione familiare, con sede a East Lansing, nel Michigan. FNBA concede prestiti in tutto il paese a mutuatari che non rientrano nei criteri standard per i mutui e, fino a poco tempo fa, quasi tutto ciò che i suoi sviluppatori realizzavano rimaneva all'interno della banca.
Man mano che la banca cresceva, crescevano anche le aspettative delle autorità di regolamentazione nei suoi confronti, e la FNBA ha deciso di integrare la revisione della sicurezza in un processo di sviluppo che già comprendeva la qualità del codice e la revisione Java. Eric Tucker, responsabile dello sviluppo software, desiderava inoltre colmare le lacune note presenti nelle applicazioni interne più datate, che girano su un framework Java fortemente basato sui database risalente ai primi anni 2000.
Poi è arrivato il portale clienti. Matt Keeler, Identity and Access Management Engineer, aveva eseguito pentest di rete interni ed esterni presso FNBA per anni, ma il codice applicativo della banca era rimasto protetto da altri controlli fino a questo progetto. Il portale ha cambiato le cose e, in quanto istituzione regolamentata a livello federale, FNBA ha dovuto sottoporre l'applicazione a pentest prima di renderla pubblica.
Soluzione
Il team di sviluppo si è mosso per primo. Eric e i suoi colleghi hanno eseguito la valutazione e la rapidità con cui Aikido si è integrato con i sistemi esistenti di FNBA ha pesato notevolmente sulla decisione.
"L'integrazione con GitHub è stata davvero semplice. È stato facile e veloce renderla operativa su tutti i nostri repository."
Eric Tucker
Aikido ora segnala i risultati dell'analisi statica del codice e delle dipendenze open source nei repository di FNBA, e il team di Eric li esamina regolarmente. Il plugin IntelliJ fornisce feedback agli sviluppatori mentre scrivono il codice, i risultati compaiono nelle pull request su GitHub e le notifiche segnalano i nuovi problemi critici non appena si presentano. L'integrazione con Jira trasforma tali risultati in ticket che qualsiasi sviluppatore può prendere in carico.
"Assegniamo loro aggiornamenti di versione o modifiche per le SQL injection mentre cerchiamo di ridurre le vulnerabilità sulle nostre applicazioni interne. Qualsiasi nostro sviluppatore con un login GitHub può accedere, scegliere una vulnerabilità e risolverla, creare il ticket e quindi possiamo integrarla nel nostro SDLC. A quel punto è facilissimo."
Eric Tucker
Quando il portale era pronto, il team di sicurezza è entrato in azione. Matt ha eseguito un test di penetration con l'AI di Aikido a marzo 2026. Il processo è durato 1 ora e 40 minuti e ha restituito i problemi aperti, ciascuno con un livello di gravità e un tempo di stima per la risoluzione, il che ha permesso a Matt di valutarne la priorità e affidare la correzione direttamente agli sviluppatori. Il pentest ha rilevato un problema ad alta gravità e FNBA lo ha risolto prima del lancio pubblico del portale.
Perché First National Bank of America ha scelto Aikido
FNBA ha valutato quattro o cinque prodotti, menzionando Veracode, Checkmarx e Snyk tra questi. Durante il processo, il team ha riscontrato una lacuna di rilevamento che doveva essere coperta nel proprio codebase. Aikido l'ha sviluppata e rilasciata mentre FNBA stava ancora completando le altre valutazioni, il che ha chiuso la questione.
La decisione di eseguire un pentest è arrivata in un secondo momento, come conseguenza logica della prima. Aikido era già connessa ai repository di FNBA per la sicurezza del codice, consentendo così a un pentest di analizzare il codice in modo più approfondito anziché attaccare l'applicazione dall'esterno.
"Questo pentest white-box ha avuto un impatto maggiore perché disponeva del contesto di tutti i repository ed è stato in grado di correlare il funzionamento reale dei componenti."
Matt Keeler
FNBA stava inoltre lavorando contro il tempo e aveva bisogno di un pentest rapido e affidabile nel minor tempo possibile.
"Eravamo sotto scadenza e potevamo semplicemente avviare un pentest, il che è stato fantastico. Siamo stati in grado di lanciare un pentest entro un giorno dalla decisione di usare Aikido."
Matt Keeler
Cosa ha guidato la decisione:
- L'integrazione con GitHub che ha coperto rapidamente ogni repository
- La funzione di rilevamento richiesta da FNBA, sviluppata e rilasciata a metà valutazione
- Il plugin per IntelliJ per un feedback immediato agli sviluppatori
- L'integrazione con Jira che si adatta all'SDLC esistente
- Il contesto del repository che ha reso il pentest di tipo white-box per impostazione predefinita
- Un pentest che il team ha potuto avviare entro un giorno dalla decisione di eseguirlo
Risultati
Il portale è andato online con il problema ad alta gravità risolto, grazie alla rapidità con cui il pentest è stato completato. Secondo la stima di Matt, il team ci sarebbe arrivato comunque, ma con settimane o un paio di mesi di ritardo.
Dal punto di vista dello sviluppo, il risultato è un documento che Eric può presentare ai revisori interni ed esterni.
"Stiamo eliminando costantemente i problemi riscontrati e ottenendo report regolari su nuove vulnerabilità e problemi di dipendenze, provvedendo poi alla loro correzione."
Eric Tucker
Anche il tempo di configurazione ha avuto il suo peso: Eric ha trovato la configurazione e l'integrazione di Aikido semplici rispetto ai costi che gli altri prodotti imponevano al suo team ancor prima di poter iniziare la valutazione.
Verdetto finale
"Poter avviare immediatamente un pentest, e al prezzo a cui lo abbiamo fatto, ci ha offerto un valore incredibile."
Matt Keeler
