In sintesi
- Tre strumenti distinti, Snyk per SCA, Sonar per l'analisi statica e OWASP ZAP per la scansione in fase di build, sono stati consolidati in un unico componente Aikido code
- Analisi della raggiungibilità sfruttata durante un audit PCI per dimostrare che i rilievi critici che bloccavano l'audit erano lato client e non sfruttabili
- Sostituzione dei controlli fittizi con barriere reali che bloccano i rilievi critici e ad alta gravità prima del merge o della build
- Coinvolgimento e vittoria della fiducia dei team di sviluppo che gestivano i vecchi strumenti
- Decisione di procedere al consolidamento dopo che l'attacco alla supply chain di Shai-Hulud ha esposto i limiti del vecchio stack
Troppe segnalazioni, poche correzioni
Reward Gateway sviluppa software per il coinvolgimento e i benefit dei dipendenti, offrendo soluzioni di riconoscimento, premi, benessere e sconti che le aziende utilizzano per prendersi cura del proprio personale. Fondata a Londra nel 2006 e ora parte di Edenred, opera come piattaforma SaaS che gestisce un elevato volume di transazioni e dati sensibili, rientrando pertanto nell'ambito di conformità PCI. La sua piattaforma raggiunge oltre 10 milioni di dipendenti presso le organizzazioni clienti.
Angel Indzhov è il responsabile della cybersecurity presso Reward Gateway, dove guida le operazioni di sicurezza, la product security e i crimini finanziari. Descrive un problema che la maggior parte dei responsabili della sicurezza riconosce ormai chiaramente: individuare le vulnerabilità non è più la parte difficile.
"Siamo sempre più bravi a trovare problemi. Non siamo altrettanto bravi a risolverli."
Il volume continua a crescere, soprattutto con i nuovi modelli che generano un numero maggiore di segnalazioni, e una base di codice legacy è molto più difficile da correggere rispetto a un progetto da zero. Ciò di cui Reward Gateway aveva bisogno non erano altre segnalazioni, ma un modo per capire quali fossero quelle veramente importanti.
La sfida
Uno stack disomogeneo
Prima di Aikido, la sicurezza si basava su tre strumenti separati che non erano mai stati progettati per funzionare insieme.
"Usavamo Sonar per il codice statico, Snyk solo per la SCA e OWASP ZAP nelle pipeline di build. Tanti strumenti che si cerca di usare insieme, ma che in realtà non integrano le loro funzioni."
Un attacco alla supply chain ha fatto emergere il problema
La frammentazione è diventata un problema critico quando è stato sferrato l'attacco alla supply chain Shai-Hulud. La configurazione esistente non era in grado di fornire risposte tempestive alle domande cruciali.
"Quando c'è stato l'attacco Shai-Hulud l'anno scorso, abbiamo capito che i nostri strumenti non erano adeguati allo scopo. Questo ci ha spinto a cercare qualcosa di nuovo e a consolidare la nostra infrastruttura di sicurezza."
La sicurezza non gestiva direttamente gli strumenti
In parte, la frammentazione dello stack era dovuta al fatto che il reparto engineering aveva acquistato ciascuno strumento per risolvere un problema specifico in un determinato momento. Il team di sicurezza non aveva il controllo del processo e il budget era altrove, quindi qualsiasi cambiamento richiedeva prima di tutto di convincere gli ingegneri.
"Tutti questi strumenti erano stati acquistati dall'engineering, quindi abbiamo dovuto convincerli. Non era il nostro budget."
Perché Reward Gateway ha scelto Aikido
Consolidamento, per fasi deliberate
Reward Gateway non ha sostituito tutto in una volta. Ha iniziato a usare Aikido tramite Safe Chain, apprezzandone le potenzialità, e ha poi condotto una proof of concept completa concentrandosi sugli aspetti più critici, ovvero il codice e il lato degli attacchi, evitando di intraprendere un'implementazione totale che non avrebbe potuto completare.
Un'analisi della raggiungibilità affidabile per il team
La funzione che ha fatto la differenza è stata l'analisi della raggiungibilità. Con un numero così elevato di segnalazioni, la maggior parte delle quali a bassa priorità, il team aveva bisogno di un metodo per distinguere ciò che poteva essere effettivamente sfruttato da ciò che non lo era.
"Per me la risposta è la raggiungibilità. Mostra cosa deve accadere realmente per sfruttare una falla, permettendoti di capire quale vulnerabilità rappresenti un problema concreto. È stato fantastico."
Un team che rispondeva rapidamente
Le persone dietro il prodotto si sono distinte tanto quanto la piattaforma stessa durante la proof of concept.
"Non c'è nessun altro fornitore con cui abbiamo lavorato che comunichi così tanto e si interessi realmente alle nostre opinioni. Segnaliamo un problema, ci sediamo a parlarne e lo risolviamo."
La raggiungibilità durante l'audit PCI
La prova più evidente è arrivata durante un audit PCI. Reward Gateway aveva segnalazioni di livello alto nel suo repository di pagamenti, il tipo di problemi che devono essere risolti prima che un audit dia il via libera, e i tempi erano stretti.
"Avevamo un audit PCI e, secondo Snyk, c'erano vulnerabilità di livello alto nel repository dei pagamenti che dovevano essere corrette molto rapidamente, appena prima della scadenza. La funzionalità di reachability di Aikido ha dimostrato che si trattava di problemi lato client che non influivano affatto sul lato server. Questo ha azzerato il rischio e ha dimostrato a tutti che era esattamente ciò di cui avevamo bisogno."
Quell'audit ha fatto molto di più che risolvere le segnalazioni. Ha convinto i team di ingegneri che gestivano i vecchi strumenti ad adottare Aikido, perché ha mostrato loro dove risiedesse il rischio reale e, con pari utilità, dove invece non ci fosse.
Filtri che bloccano davvero le minacce
La reachability ha cambiato le segnalazioni su cui il team è intervenuto. I filtri hanno cambiato ciò che accade quando una vulnerabilità sfugge ai controlli.
"Prima avevamo filtri fittizi. Quasi nulla veniva bloccato realmente. Ora tutto ciò che è critico e con gravità alta viene fermato. Non puoi fare il merge della tua PR né completare la build."
Il passo successivo consiste nell'applicare gli stessi filtri in modo coerente in ogni fase, in modo che un controllo saltato in un punto venga comunque intercettato in un altro.
La sostituzione completa dei tool puntuali
Con la reachability e filtri reali operativi, i singoli tool non avevano più alcuna utilità.
"Stiamo utilizzando il modulo di sicurezza del codice in ogni sua parte: analisi statica del codice, secret scanning e gestione delle licenze. Snyk, Sonar, OWASP ZAP: li stiamo sostituendo completamente."
I prossimi passi per Reward Gateway
Reward Gateway utilizza il modulo di codice di Aikido per l'analisi statica del codice, il secret scanning, la software composition analysis con reachability e la scansione delle licenze, con filtri di blocco sulle segnalazioni critiche e ad alta gravità.
Da qui, il team sta estendendo tali filtri a un numero maggiore di fasi della pipeline. Sta valutando il pentesting basato su IA, sebbene voglia prima preparare gli ambienti adeguati affinché i risultati siano significativi. Ha identificato la protezione dei dispositivi come una priorità assoluta in seguito a un incidente, puntando direttamente sulle lacune relative alle estensioni per browser e IDE, dove non esiste un blocco delle versioni né coerenza su cui fare affidamento. Anche l'audit del codice di Aikido è nella lista delle cose da provare. Nessuna di queste funzioni è ancora attiva.
Verdetto finale
La reachability ha offerto al team un filtro efficace, il consolidamento ha fornito un'unica piattaforma di lavoro e i filtri reali hanno introdotto un meccanismo che blocca concretamente il codice a rischio.
"L'obiettivo è ottenere miglioramenti graduali, ed è questo l'aspetto che apprezzo di più del prodotto."
