In sintesi
- Il test di penetrazione basato sull'intelligenza artificiale ha simulato il comportamento reale di un aggressore all'interno dell'applicazione e delle integrazioni
- Passare da controlli frammentari e periodici a una visione chiara e gerarchizzata del rischio di pagamento effettivo
- 54 risultati convalidati, raggruppati in base alla gravità, con percorsi di attacco riproducibili
- Linee guida chiare per gli interventi di bonifica, utilizzate direttamente dagli ingegneri
- I nuovi test automatici hanno confermato che le correzioni hanno effettivamente eliminato le vulnerabilità
- Rapporto strutturato sui test di penetrazione utilizzato nelle discussioni con i partner, nelle verifiche e nelle procedure di due diligence
Smartendr, ora parte di orderBilly, è una piattaforma di ordinazione per bar e ristoranti. La piattaforma gestisce circa 10 milioni di euro di transazioni ogni mese e serve circa un milione di utenti finali. I pagamenti, le integrazioni con i sistemi POS e i dati dei clienti sono elementi centrali del prodotto, rendendo la sicurezza delle applicazioni un requisito fondamentale per l'azienda.
«Mi occupo principalmente degli aspetti tecnici dell’azienda», afferma Robin Praet, cofondatore e CTO di Smartendr. «Ciò comprende l’architettura della piattaforma, le integrazioni e la sicurezza».
Con la crescita di Smartendr, il team si è trovato ad affrontare una sfida tipica delle piattaforme in rapida espansione: agire rapidamente pur mantenendo la consapevolezza di dove si trovassero effettivamente i rischi reali.
Sfida: agire rapidamente senza avere una visione completa dei rischi reali
Con l'aumento del volume delle transazioni e della base utenti di Smartendr, il suo profilo di rischio è cambiato in modo significativo.
«Attualmente contiamo circa un milione di utenti finali al mese. A questi livelli, basta un solo malintenzionato per sfruttare una vulnerabilità.»
Le aspettative in materia di sicurezza da parte dei ristoranti e dei partner erano elevate. Gli ordini visualizzati nei sistemi di punto vendita dovevano essere pagati correttamente e protetti da eventuali manomissioni. Allo stesso tempo, funzionalità quali i programmi fedeltà comportavano che la piattaforma gestisse i dati personali dei clienti.
Prima di adottare il pentesting basato sull'intelligenza artificiale di Aikido, Smartendr seguiva già le migliori pratiche in materia di sicurezza. Il team si affidava a una combinazione di controlli preventivi, revisioni manuali e verifiche periodiche. Sebbene ciò garantisse una copertura di base, non offriva un quadro completo o aggiornato di come la piattaforma potesse essere attaccata nella pratica.
«Il problema principale era la frammentazione», afferma Robin. «Non esisteva una visione d’insieme della nostra situazione di sicurezza, il che rendeva facile trascurare i casi limite, soprattutto per quanto riguarda le API e le integrazioni».
Con il susseguirsi delle nuove versioni e delle numerose integrazioni, era sempre più difficile giustificare le lacune tra i controlli di sicurezza. Il team aveva bisogno di un modo per capire dove si trovavano i punti più vulnerabili in quel preciso momento, non solo dove i problemi avrebbero potuto esistere in teoria.
«È diventato chiaro che la sicurezza non poteva basarsi solo su controlli periodici», afferma Robin. «Doveva integrarsi nel modo in cui sviluppiamo e distribuiamo il software».
Soluzione: test di penetrazione basati sull'intelligenza artificiale che evidenziano i percorsi di attacco reali e definiscono chiaramente le priorità
Nel valutare le soluzioni, Smartendr ha cercato test di sicurezza che rispecchiassero il comportamento degli attacchi reali senza rallentare lo sviluppo.
“L’Aikido si adatta perfettamente al nostro modo di lavorare. Si integra nel nostro flusso di sviluppo, fornisce un feedback continuo e si concentra sui rischi reali e concreti, anziché sulle distrazioni.”
Smartendr utilizzava già Aikido per i controlli di sicurezza preventivi. Il test di penetrazione basato sull'intelligenza artificiale non ha messo in luce aspetti fondamentali trascurati, bensì percorsi di attacco realistici che emergono solo quando le API, i sistemi di pagamento e le integrazioni con i punti vendita interagiscono in condizioni reali.
Per iniziare è bastata una configurazione minima. Poiché il codice di Smartendr era già collegato ad Aikido, per avviare il test di penetrazione basato sull’intelligenza artificiale sono bastati pochi clic.
«Non sono state necessarie configurazioni complesse né preparativi particolari», spiega Robin. «La sicurezza dovrebbe essere facile da attivare, non un progetto a sé stante».
Il test di penetrazione basato sull'intelligenza artificiale è stato eseguito sull'applicazione di Smartendr e ha individuato 54 risultati convalidati. Sebbene a prima vista potessero sembrare preoccupanti, i risultati hanno fornito chiarezza anziché creare confusione.
«All’inizio è stato un po’ sconcertante vedere quanto fossero approfonditi i risultati», dice Robin. «Allo stesso tempo, però, ci hanno fornito un quadro chiaro di ciò che dovevamo migliorare».
A differenza dei tradizionali test di penetrazione basati su liste di controllo, gli agenti basati sull’intelligenza artificiale si sono comportati come un vero e proprio aggressore che esplora il sistema. Ogni risultato è stato convalidato, raggruppato in base alla gravità e corredato da una procedura riproducibile che illustrava come il problema potesse essere sfruttato nella pratica.
«Gli agenti si sono comportati più come un vero e proprio aggressore che esplora il sistema. Ciò ha reso i risultati più significativi rispetto a un test di penetrazione basato su una semplice lista di controllo.»
Ciò ha permesso agli ingegneri di Smartendr di distinguere immediatamente ciò che doveva essere risolto con urgenza da ciò che poteva essere affrontato in un secondo momento.
«Le fasi di convalida hanno reso molto più facile fidarsi dei risultati ed evitare di dare seguito a falsi positivi», spiega Robin.
Alcune delle scoperte più significative riguardavano problemi non evidenti che emergevano solo quando più sistemi interagivano tra loro, proprio il tipo di rischio più difficile da individuare attraverso sole revisioni manuali.
Dalle ipotesi alla riduzione comprovata del rischio
Una volta avviata l'attività di bonifica, le indicazioni fornite hanno aiutato gli ingegneri a passare rapidamente dall'analisi dei problemi alla loro risoluzione.
«Le raccomandazioni erano concrete e attuabili», afferma Robin. «Gli ingegneri potevano passare direttamente dall’individuazione di un problema alla sua risoluzione».
Il ripetere automaticamente i test ha svolto un ruolo fondamentale nel chiudere il ciclo. Anziché dare per scontato che le correzioni funzionassero, il team ha potuto verificare che le vulnerabilità fossero state effettivamente eliminate.
«Una volta applicata una correzione, si riceve immediatamente conferma», afferma Robin. «Questo elimina ogni incertezza e fa risparmiare tempo».
Il rapporto finale sul test di penetrazione ha inoltre rafforzato il dialogo anche al di fuori dell'ambito tecnico. Anziché affidarsi a semplici rassicurazioni generiche, Smartendr ha potuto fare riferimento a una valutazione strutturata e recente, con risultati chiari e azioni di follow-up ben definite.
«Invece di limitarsi a dichiarazioni vaghe sulla sicurezza, abbiamo potuto presentare una valutazione strutturata e aggiornata. Ciò ha reso più concrete le discussioni con i partner, i revisori o i potenziali acquirenti.»
Risultato: chiarezza, definizione delle priorità e sicurezza continua
Dopo aver esaminato i risultati, Smartendr ha acquisito maggiore fiducia nel proprio livello di sicurezza, non perché tutti i rischi fossero stati eliminati, ma perché i rischi più importanti erano stati chiaramente identificati, classificati in ordine di priorità e verificati.
«Abbiamo una visione più chiara dei nostri punti deboli», spiega Robin. «Non perché tutto sia perfetto, ma perché i rischi maggiori sono stati individuati e affrontati».
La sicurezza non è più considerata come un semplice controllo occasionale. È diventata una pratica costante, verificata continuamente, che si integra direttamente nel flusso di lavoro di sviluppo.
«Grazie ad Aikido Attack, possiamo affrontare in modo più proattivo le superfici di attacco e i casi limite quando sviluppiamo nuove funzionalità», afferma Robin.
Sintesi
«Ci ha permesso di avere una visione molto più chiara e realistica del nostro rischio effettivo, senza rallentare il processo di sviluppo e distribuzione del software», conclude Robin.
