In sintesi
- I pacchetti dannosi e vulnerabili vengono bloccati al momento dell'installazione su qualsiasi dispositivo aziendale, inclusi quelli dei non programmatori che scrivono codice con strumenti di IA
- La scansione delle dipendenze e dei container viene eseguita su tutti i repository e container
- Un controllo obbligatorio di Aikido in GitHub impedisce al codice vulnerabile di arrivare in produzione
- Gli sviluppatori mantengono il loro normale flusso di lavoro senza dover imparare a usare un altro strumento
- Aikido alimenta la catena di compliance, creando ticket con data e rendendo più evidenti i SLA non rispettati
Il nuovo rischio era di tipo open source e la vecchia configurazione monitorava solo la produzione
Too Good To Go, l'azienda dietro il più grande marketplace al mondo per le eccedenze alimentari, utilizza Aikido per intercettare pacchetti open source dannosi e vulnerabili prima che raggiungano il dispositivo di uno sviluppatore o la produzione, e per mantenere il lavoro di sicurezza allineato alla compliance.
Robert Christiansen, vicepresidente del reparto di ingegneria, è responsabile dell’ingegneria, dell’esperienza degli sviluppatori e della conformità in tutti i team software dell’azienda. Too Good To Go gestisce la propria piattaforma di scambio di cibo in eccedenza dal 2016 e oggi mette in contatto oltre 150 milioni di utenti registrati con più di 200.000 partner commerciali attivi in 20 paesi, il tutto supportato da un reparto di ingegneria all’interno di un’azienda che conta circa 1.300 dipendenti.
Un anno e mezzo fa, la priorità del team era bloccare le librerie infette prima che arrivassero in produzione. Negli ultimi sei mesi, gli attacchi ai pacchetti open source e agli sviluppatori che li installano sono aumentati rapidamente e i progetti open source sono presi d'assalto da nuove vulnerabilità. Il rischio maggiore ora si trova a monte della catena: un pacchetto che compromette il dispositivo di uno sviluppatore prima di qualsiasi rilascio. Gli sviluppatori hanno solitamente privilegi di accesso superiori a chiunque altro, il che rende i loro dispositivi il bersaglio più prezioso.
L'esposizione si è estesa anche oltre il reparto di ingegneria. Persone di altri reparti aziendali hanno iniziato a scrivere codice con strumenti di intelligenza artificiale, scaricando pacchetti Node e Python su dispositivi per i quali non era previsto alcun processo di sicurezza. Robert definisce la situazione ancora più pericolosa. Gli strumenti esistenti del team effettuavano scansioni solo dopo la build, proteggendo la produzione e lasciando scoperto lo sviluppo.
La conformità ha ulteriormente alzato la posta in gioco. Too Good To Go rispetta gli standard NIS2 e PCI, e quest'ultimo stabilisce requisiti specifici sui tempi di reazione del team a una vulnerabilità. Il team aveva bisogno di un unico prodotto in grado di bloccare i problemi sul dispositivo e in fase di build, dimostrando che il follow-up è avvenuto nei tempi previsti.
Un unico strumento dal dispositivo alla pipeline
Ora Aikido Safe Chain è attivo su ogni dispositivo in tutta l'organizzazione. Verifica se Node o Python sono installati e sorveglia la fase di installazione, bloccando i pacchetti difettosi prima che vengano integrati, a prescindere da chi li stia installando. La protezione dei dispositivi copre le circa 160 persone che l'azienda classifica come parte del team di ingegneria, che scrivano codice o meno.
All'interno della pipeline, ogni modifica deve superare un controllo Aikido in GitHub prima di poter andare in produzione. Poiché il controllo è integrato nel normale flusso di sviluppo, la sicurezza non diventa mai un passaggio separato di cui ricordarsi. Aikido tiene traccia delle dipendenze vulnerabili e delle immagini container su poco meno di 200 repository e più di 200 container, comprese le profonde catene di dipendenze transitive che persino le immagini Docker blindate si portano dietro.
Gli sviluppatori il cui compito è aggiornare le librerie utilizzano il plugin per IntelliJ per verificare se un riscontro rappresenti un problema reale e se un aggiornamento possa potenzialmente causare malfunzionamenti prima di intervenire.
Gli sviluppatori non hanno nemmeno bisogno di accedere continuamente ad Aikido: è semplicemente diventato parte del flusso di lavoro.
Perché Too Good To Go ha scelto Aikido
- Protezione sul dispositivo e in fase di build (i due punti lasciati scoperti dalla vecchia configurazione)
- Configurazione rapida e senza sforzo
- Interfaccia utente semplice e prezzi trasparenti
Aikido intercetta ciò che altrimenti passerebbe inosservato
Il cambiamento più grande riguarda ciò che non riesce più a passare inosservato. Safe Chain e la protezione dei dispositivi hanno già bloccato diversi pacchetti sui dispositivi degli sviluppatori e, quando viene chiesto a Robert se Aikido intercetti minacce reali, la sua risposta è "assolutamente sì, individua problemi che altrimenti passerebbero inosservati".
Ora disponiamo di una visibilità completa sulle librerie da correggere, sia per l'infrastruttura che per il codice.
Robert considera fondamentale un risultato di business su tutti: il team non ha registrato alcun incidente causato da una libreria compromessa.
Sul fronte della conformità, Aikido crea ticket contrassegnati da date specifiche, in modo che quando una correzione supera i termini dell'SLA, tutti possano vederlo immediatamente. Con il PCI che stabilisce aspettative rigide sui tempi di risposta, questo registro aiuta Too Good To Go a mantenere la conformità senza dover inseguire manualmente lo stato delle attività.
Come Too Good To Go utilizza Aikido oggi
Attualmente sto utilizzando
- Scansione delle dipendenze
- Scansione dei container
- Aikido Safe Chain a livello aziendale
- Protezione dei dispositivi in tutto il reparto di ingegneria
- Controllo della pipeline GitHub
- Il plugin IntelliJ per gli sviluppatori che si occupano delle correzioni
Pianificazione successiva
- Un modello di gravità che mappa ogni riscontro rispetto alla sua reale esposizione, consentendo di applicare patch mensili ai servizi interni privi di accesso a Internet, mentre quelli esposti vengono corretti immediatamente
In fase di valutazione
- Pentesting basato su intelligenza artificiale, che il security engineer del team intende testare per eseguire test automatizzati con maggiore frequenza, affiancandoli ai pentest già condotti ogni anno
Verdetto finale
Il prodotto è stato facile da configurare e funziona. Sono felice di averlo scelto e mi sarebbe piaciuto averlo prima.
