In sintesi
- Sicurezza delle applicazioni e sicurezza del cloud integrate in un’unica piattaforma
- Sono stati messi in sicurezza 139 repository, 246 container e 66 macchine virtuali
- Ha integrato GitHub Advanced Security, la scansione delle dipendenze e gli strumenti cloud in un unico sistema
- Riduzione della manutenzione del flusso di lavoro CI su quasi 200 repository
- Maggiore visibilità sullo stato di sicurezza del cloud, sui rischi legati all’IaC e sulle vulnerabilità delle macchine virtuali
Sfida
SGNL AI sviluppa infrastrutture di sicurezza per la gestione delle identità e degli accessi utilizzate in contesti aziendali. Con l'espansione della piattaforma e dell'organizzazione tecnica dell'azienda, la copertura della sicurezza è risultata frammentata tra diversi strumenti.
Inizialmente, SGNL si affidava a GitHub Advanced Security e Dependabot per individuare le vulnerabilità delle dipendenze, oltre alla scansione dei container nelle pipeline di CI. Ciò garantiva una copertura di base in termini di sicurezza delle applicazioni, ma la visibilità su altre aree, in particolare sull’infrastruttura cloud, rimaneva limitata.
«Avevamo GitHub Advanced Security e Dependabot, che garantivano una copertura discreta. Inoltre, nella maggior parte delle nostre pipeline era in esecuzione Trivy», afferma Brooks Lowe, ingegnere della sicurezza dei prodotti presso SGNL AI. «Ma in realtà non avevamo nulla per il rilevamento del malware».
– Brooks Lowe, ingegnere capo senior per la sicurezza, SGNL
Con l'espansione dell'infrastruttura, la sicurezza del cloud è diventata una preoccupazione sempre più importante. SGNL gestiva carichi di lavoro in container e macchine virtuali, gestendo al contempo l'infrastruttura tramite codice. Allo stesso tempo, gli strumenti di sicurezza cloud-native hanno introdotto ulteriore complessità e costi aggiuntivi.
Mantenere la visibilità su quell'ambiente, gestendo al contempo i flussi di lavoro di scansione basati su CI su quasi 200 repository, stava diventando difficile per un team di piccole dimensioni.
«Abbiamo quasi 200 repository. Gestire flussi di lavoro e pipeline personalizzati per le scansioni di sicurezza è una vera seccatura.»
SGNL aveva bisogno di un modo per semplificare sia la sicurezza degli sviluppatori che quella del cloud senza dover gestire un'altra piattaforma.
Una selezione curata dagli sviluppatori
Quando Brooks Lowe è entrato a far parte di SGNL AI, una delle sue prime priorità è stata quella di consolidare lo stack di sicurezza dell’azienda. Aveva bisogno di una piattaforma in grado di adattarsi sia allo sviluppo delle applicazioni che all’infrastruttura cloud, pur rimanendo di facile utilizzo.
L'Aikido ha attirato la sua attenzione per la prima volta mentre leggeva di un attacco alla catena di approvvigionamento che coinvolgeva un pacchetto open source dannoso.
«Invece di dover esaminare migliaia di SBOM, è bastato un solo clic per verificare se avessimo effettivamente il pacchetto coinvolto nell’attacco.»
Inizialmente, Aikido si è distinta per le sue funzionalità relative all'applicazione e alla sicurezza della catena di approvvigionamento. Tuttavia, durante la fase di valutazione, Lowe si è reso conto che la piattaforma affrontava anche diverse sfide legate alla sicurezza nel cloud con cui il team stava già facendo i conti.
«Quando abbiamo scoperto che Aikido offriva anche funzionalità CSPM e scansione delle macchine virtuali, è stata una vera vittoria per noi.»
Questo era importante perché SGNL operava su più ambienti cloud, ciascuno con i propri account e le proprie configurazioni. La gestione della sicurezza cloud in tutti questi ambienti richiedeva di destreggiarsi tra diversi strumenti, dashboard e flussi di lavoro.
Con l’Aikido, quella complessità è scomparsa.
«Non dovevamo più controllare separatamente la sicurezza di 2 o 3 ambienti cloud. È molto più semplice gestirli semplicemente implementando i connettori nell’interfaccia utente di Aikido.»
Oltre a garantire una maggiore visibilità, il consolidamento ha anche ridotto la necessità di ricorrere a più soluzioni di sicurezza cloud-native.
Anziché combinare strumenti separati per la sicurezza delle applicazioni, la sicurezza dell'infrastruttura e la gestione della postura nel cloud, SGNL potrebbe riunire tutto in un'unica piattaforma.
Soluzione
SGNL AI ha implementato Aikido in tutti i propri ambienti di sviluppo e nell'infrastruttura cloud. Attualmente, la piattaforma monitora:
- 139 archivi
- 246 container
- 66 macchine virtuali
L'Aikido ha inoltre semplificato il modo in cui SGNL gestisce la sicurezza del cloud in tutti gli ambienti. Anziché configurare e gestire strumenti distinti per ogni account cloud, il team può integrare e monitorare gli ambienti tramite un'unica interfaccia utilizzando connettori leggeri.
Anziché gestire la sicurezza tramite una serie di strumenti di CI e scanner cloud-native, SGNL gestisce ora la sicurezza attraverso una piattaforma centralizzata. Aikido garantisce una copertura sia del ciclo di vita dello sviluppo software che dell’infrastruttura cloud, includendo:
- Analisi della sicurezza delle applicazioni per codice proprietario
- Analisi delle dipendenze open source e rilevamento di pacchetti dannosi
- Analisi delle vulnerabilità dei container
- Controlli di sicurezza per l’Infrastructure-as-Code
- Gestione dello stato di sicurezza nel cloud (CSPM)
- Analisi delle vulnerabilità delle macchine virtuali
Ciò garantisce a SGNL la visibilità su codice, container e infrastruttura senza dover gestire più pipeline di scansione.
Perché SGNL AI ha scelto l'Aikido
SGNL ha valutato diversi approcci volti a migliorare la visibilità della sicurezza in tutto il proprio ambiente.
Alcune piattaforme esaminate dal team, tra cui Wiz, si concentrano principalmente sulla sicurezza dell’infrastruttura cloud, fornendo analisi dettagliate sulle risorse cloud e sui rischi legati alla configurazione. Pur essendo efficaci in tale ambito, tali strumenti richiedono spesso prodotti aggiuntivi per garantire la sicurezza delle applicazioni, l’analisi delle dipendenze e i flussi di lavoro degli sviluppatori.
SGNL aveva bisogno di una piattaforma che affrontasse entrambi gli aspetti del problema.
L'Aikido si è distinto perché ha riunito in un unico sistema la sicurezza delle applicazioni, la sicurezza della catena di approvvigionamento e la gestione della postura nel cloud.
Per SGNL, ciò significava:
- meno strumenti da gestire
- un numero inferiore di pipeline CI da gestire
- una maggiore trasparenza sia nella catena di fornitura del software che nell'infrastruttura cloud
Anziché implementare piattaforme separate per la sicurezza delle applicazioni e la sicurezza cloud, SGNL potrebbe gestire il tutto tramite un unico sistema.
Risultati
Grazie all'implementazione di Aikido, SGNL ha ottenuto una visibilità coerente su tutte le proprie applicazioni, i container e l'infrastruttura cloud.
Le indagini di sicurezza che in precedenza richiedevano un'analisi manuale delle dipendenze possono ora essere completate in un istante.
«Invece di dover setacciare migliaia di dipendenze, basta un clic per capire se siamo coinvolti.»
La piattaforma ha inoltre ridotto i costi operativi legati alla gestione dei flussi di lavoro di scansione basati su CI su centinaia di repository, garantendo al contempo una maggiore visibilità sui rischi legati all'infrastruttura cloud.
Per un team di sicurezza di dimensioni ridotte a supporto di un’organizzazione ingegneristica in crescita, questa combinazione di sicurezza delle applicazioni e sicurezza cloud ha semplificato notevolmente le operazioni quotidiane.
Uno sguardo al futuro
In linea con la crescita di SGNL, l’azienda continua ad ampliare la propria presenza nei settori dell’ingegneria e delle infrastrutture. Grazie ad Aikido, SGNL dispone di una piattaforma che garantisce la sicurezza sia del proprio portafoglio di progetti in fase di sviluppo sia dei propri ambienti cloud, il tutto da un’unica postazione.
Grazie all’integrazione tra sicurezza delle applicazioni, visibilità della catena di fornitura e gestione della sicurezza nel cloud, SGNL può continuare a far crescere la propria piattaforma senza dover ampliare la propria suite di strumenti di sicurezza.
