In sintesi
- Abbiamo integrato DAST e SAST in un’unica piattaforma
- Risultati integrati direttamente in Slack, Linear e Vanta
- È stata istituita una riunione settimanale per esaminare e chiudere i casi individuati
- Riduzione del rumore a un livello che il team potesse realisticamente gestire
- L'Aikido ha sostituito Tenable per il DAST e GitHub Advanced Security per il SAST
Sfida
Il team di sicurezza di Render si occupa della sicurezza delle applicazioni, della sicurezza nel cloud e della conformità a livello aziendale. Con circa 50 sviluppatori che lavorano su circa 30 repository attivi, il team necessita di strumenti in grado di garantire una copertura uniforme senza comportare un carico di lavoro di manutenzione costante.
“Ci occupiamo della sicurezza interna: sicurezza delle applicazioni, sicurezza del cloud, conformità. Un po’ di tutto”, ha affermato Sean Doughty, responsabile tecnico del team di sicurezza di Render.
Prima di adottare Aikido, Render utilizzava Tenable per il DAST e GitHub Advanced Security per il SAST. Entrambi gli strumenti erano tecnicamente validi. Tuttavia, le difficoltà emergevano nel modo in cui si integravano nel lavoro quotidiano degli ingegneri. L’organizzazione non disponeva di integrazione con Linear o Slack, il che riduceva la visibilità per gli ingegneri e rendeva più difficile il triage. Nel frattempo, per il team era diventato difficile eseguire scansioni su tutti i propri repository. Per un piccolo team con responsabilità così ampie, sostenere quel livello di carico di lavoro era diventato difficile.
Ripensare il consolidamento
Render ha inizialmente valutato Aikido per il DAST. L'obiettivo iniziale era ben preciso: trovare uno strumento che si integrasse meglio con l'ingegneria dei sistemi già in uso.
«Quando ho avviato DAST, ho pensato: “Vediamo com’è anche SAST”. Bastavano un paio di clic per collegare un repository», ha detto Sean.
Quell’esperienza iniziale ha cambiato il modo di ragionare all’interno dell’azienda. Anziché considerare il DAST e il SAST come categorie distinte che richiedevano strumenti separati, il team ha iniziato a guardare al quadro operativo in senso più ampio. Gestire due piattaforme significava avere due flussi di lavoro, due fonti di verità e due sistemi da mantenere correttamente configurati su decine di repository. Per un team di piccole dimensioni, quella frammentazione creava attrito.
«Con l’Aikido, in un certo senso ha funzionato e continua a funzionare da diversi mesi», ha detto Sean.
L'affidabilità ha reso il processo di consolidamento meno rischioso. L'esecuzione sia di DAST che di SAST su un'unica piattaforma ha ridotto il numero di sistemi che il team doveva gestire ed ha eliminato la necessità di configurare le scansioni a livello di repository. È stato così possibile aggiungere nuovi repository senza dover ripetere le fasi di configurazione né gestire la logica di scansione in più punti. Nel corso del tempo, Render ha trasferito entrambe le funzioni su Aikido.
Cosa è cambiato nella pratica
La differenza più evidente riguardava il modo in cui i risultati si inserivano nel flusso di lavoro quotidiano.
«Credo davvero che le integrazioni siano probabilmente l’aspetto più importante: si collega a Slack, Linear e Vanta.»
Slack e Linear sono le piattaforme su cui si svolgono le discussioni tecniche e viene monitorato il lavoro. Grazie all’integrazione diretta di Aikido in questi sistemi, i risultati vengono visualizzati nel contesto, anziché in una dashboard separata che richiede un monitoraggio attivo. Da un punto di vista operativo, ciò ha cambiato il modo in cui il team esamina e risolve i problemi. Alex Curtiss, ingegnere della sicurezza presso Render, gestisce gran parte dell’utilizzo quotidiano di Aikido ed è riuscito, grazie alle integrazioni, a trasformare la sessione di revisione settimanale incentrata sulla risoluzione dei risultati in un approccio asincrono. Poiché i risultati sono già collegati a Linear e Slack, il follow-up avviene all’interno degli stessi sistemi che gli ingegneri utilizzano per il lavoro sui prodotti. La cadenza settimanale funziona perché il volume è gestibile.
«Prima il volume era molto maggiore. L’Aikido ha un ritmo che riusciamo a gestire.
Questa differenza ha reso possibile mantenere un processo di revisione costante, evitando che i problemi si accumulassero. Anche l'inserimento dei nuovi assunti è risultato più semplice.
"Si tratta di uno strumento a cui è dedicato l'intero nostro team di ingegneri. I nuovi arrivati possono familiarizzarsi con esso con estrema facilità non appena entrano a far parte del team."
Un accesso esteso facilita la ripartizione delle responsabilità in materia di sicurezza all'interno dell'organizzazione.
Supporto alle conversazioni con i clienti
La sicurezza presso Render comporta anche rispondere alle domande dei clienti relative alla copertura delle scansioni e ai controlli. Quando i clienti richiedono prove, il team deve fornirle tempestivamente.
“Un cliente ci ha posto una domanda su una questione e abbiamo appena redatto un rapporto di audit sulla sicurezza. Abbiamo spuntato alcune delle voci relative a ciò che ci aveva chiesto e poi glielo abbiamo inviato.”
Grazie alla possibilità di visualizzare in un unico posto i risultati di DAST, SAST e analisi cloud, la generazione di tali report non richiede più di estrarre le informazioni da più strumenti.
Conclusione
La decisione di Render di consolidare i propri strumenti di sicurezza è stata dettata da esigenze operative. La gestione di sistemi separati richiedeva configurazioni manuali, coordinamento e passaggi da un’attività all’altra che un team di piccole dimensioni non poteva sostenere a tempo indeterminato.
«Avevamo un software molto potente, ma è molto meglio avere uno strumento integrato con gli altri nostri strumenti e che gli ingegneri utilizzino davvero.»
Unendo DAST e SAST in un’unica piattaforma, integrando i risultati in Slack e Linear e stabilendo una cadenza settimanale per le revisioni, Render ha reso la sicurezza delle applicazioni parte integrante del lavoro quotidiano dei tecnici.
