In sintesi
- Ha eseguito un pentest completo in circa cinque ore e mezza, a fronte dei circa 15 giorni lavorativi necessari per il precedente test umano
- Ha rilevato più problemi rispetto al pentest umano, inclusi un numero maggiore di risultati ad alta gravità
- Ha ridotto gli avvisi da decine di migliaia a poche centinaia consolidando gli strumenti ed eliminando duplicati e falsi positivi
- Ha messo a disposizione degli sviluppatori la funzione AutoFix con un solo clic, evitando che la correzione richiedesse ore per ogni singolo problema
- Ha individuato tempestivamente l'esposizione della supply chain, compresa una verifica rapida durante l'incidente Axios
- Ha trasformato la sicurezza da un collo di bottiglia a un team a cui gli sviluppatori si rivolgono per risolvere i problemi
Mantenere la sicurezza al passo con la crescita di un'azienda di pagamenti
Tyro Payments si impegna a rendere i pagamenti la parte più semplice della gestione di un'attività dal 2003. Con sede a Sydney, l'azienda è una banca australiana quotata, regolamentata dall'APRA (l'autorità di vigilanza bancaria australiana), e supporta oltre 80.000 commercianti in tutto il paese con soluzioni di pagamento in negozio, online e mobile, affiancate da una gamma crescente di prodotti bancari.
Arun Singh è l'information security officer di Tyro. Si occupa di proteggere i dati privati dei commercianti, comprese le delicate informazioni di tipo know-your-customer (KYC) in possesso dell'azienda. Per un'azienda che gestisce pagamenti, questa responsabilità va di pari passo con la promessa fondamentale fatta a ogni commerciante.
"Riceviamo molti dati sensibili dai commercianti, inclusi numerosi dati KYC. Proteggerli è una delle promesse fondamentali dell'azienda. È un impegno che assumiamo fin dal primo momento, garantendo loro la massima sicurezza."
La parte difficile è mantenere questa promessa consentendo agli sviluppatori di rilasciare rapidamente. Il segno più evidente dei progressi compiuti da Tyro riguarda l'evoluzione dei suoi pentest.
La sfida
Strumenti decentralizzati e un backlog in crescita
Prima di adottare Aikido, il team utilizzava una serie di strumenti di vulnerability management separati e i risultati si accumulavano più velocemente di quanto chiunque potesse gestirli.
"Prima di Aikido avevamo diversi strumenti di vulnerability management piuttosto decentralizzati. C'era una percentuale significativa di falsi positivi e il team di sicurezza era letteralmente sommerso dagli avvisi. Inondare il team di ingegneria con migliaia di alert da esaminare ha fatto sì che il lavoro finisse inevitabilmente in secondo piano. Il nostro backlog continuava a crescere. La situazione era diventata insostenibile."
Un pentest che non riusciva a tenere il passo
I pentest erano lenti e costosi, e raramente ripagavano dell'attesa. Un singolo test bloccava un progetto per settimane restituendo ben poco.
"Un pentest richiedeva circa 15 giorni lavorativi, ritardava i progetti e costava decine di migliaia di dollari. I risultati non erano un granché e ci ritrovavamo con una manciata di segnalazioni."
Perché Tyro Payments ha scelto Aikido
Risultati su cui il team poteva fare affidamento
Il cambiamento più rilevante è stato la precisione. I vecchi strumenti davano per scontato che, se un pacchetto conteneva una CVE, Tyro fosse vulnerabile; di conseguenza, gli sviluppatori sprecavano tempo a correggere codice che non era mai stato a rischio. Aikido analizza il codice sorgente e verifica se il codice vulnerabile sia effettivamente raggiungibile.
"Qualcosa che avrebbe dovuto richiedere 10 o 15 minuti finiva per occupare mezza giornata, solo per poi accorgerci che la funzione vulnerabile all'interno della CVE non veniva mai utilizzata. Quindi non eravamo realmente vulnerabili. Con Aikido, il sistema esamina il codice sorgente, contestualizza la vulnerabilità e ci dice se il codice vulnerabile è effettivamente in uso."
Una scelta basata sui dati
Tyro non ha scelto Aikido per la sua reputazione. Il team l'ha messo alla prova contro le alternative e ne è uscito vincitore.
"Abbiamo confrontato Aikido con Snyk, Checkmarx e la gestione della sicurezza delle applicazioni di CrowdStrike. È emerso sempre come il migliore per come presentava le informazioni, per come riduceva i falsi positivi e per come guidava gli ingegneri attraverso la scoperta, l'impatto e la risoluzione. È stata una scelta piuttosto semplice."
Un product team che si muoveva rapidamente
Le persone dietro il prodotto hanno colpito tanto quanto il prodotto stesso.
"Se c'era una nuova funzione o un miglioramento che desideravamo, bastava scrivere al team di Aikido e nel giro di 24 ore rilasciavano la correzione. È stato fantastico vedere il prodotto evolversi negli ultimi anni."
Da decine di migliaia di avvisi a poche centinaia
La transizione a Aikido ha offerto al team una visibilità end-to-end, dalle dipendenze dirette a quelle transitive che i vecchi strumenti non riuscivano a coprire, eliminando quel rumore di fondo che aveva soffocato il lavoro reale.
"Ci offre una visibilità end-to-end dalle dipendenze dirette fino a quelle transitive, cosa che molti dei nostri altri strumenti non facevano. Effettua il triage, rimuove i duplicati e azzera i falsi positivi. Siamo passati da decine di migliaia di avvisi in qualsiasi momento a poche centinaia."
Anche la risoluzione di ciò che rimaneva è diventata più rapida. Invece di far passare ore agli sviluppatori per capire come correggere un problema e se la modifica avrebbe rotto qualcos'altro, AutoFix svolge il lavoro e fornisce loro una patch pronta per la revisione.
"Con l'AutoFix di Aikido, basta un clic per ottenere la correzione effettiva, revisionarla, aprire la PR, testarla e il gioco è fatto. Ha davvero snellito i flussi di lavoro."
Un pentest completato in poche ore
Il risultato più sorprendente è arrivato dal pentesting basato sull'IA. Tyro ha eseguito un proof of concept su un nuovo prodotto sanitario in fase di lancio, mettendo a confronto il pentest basato sull'IA con i tester umani tradizionali.
"I nostri penetration tester tradizionali hanno impiegato circa 15 giorni. Abbiamo fatto la stessa cosa con Aikido: ci sono volute cinque ore e mezzo e sono stati rilevati circa 30 problemi, di cui nove di livello alto, mentre i tester umani ne avevano trovati cinque, di cui uno solo alto."
Il piano per il futuro è mantenere il fattore umano accelerando i processi, sfruttando l'IA per ampliare la copertura e revisori umani per confermarla.
"Il nostro piano prevede un modello ibrido: penetration testing e code audit basati sull'IA, con la revisione umana da parte dei nostri partner di pentesting. I costi sono notevolmente inferiori rispetto a prima, il che ci permette di fare molto di più con le risorse che abbiamo."
Formazione che gli sviluppatori utilizzano davvero
La consapevolezza della sicurezza era una voce a sé stante nel bilancio, e non certo tra le più apprezzate. Lo strumento pagato da Tyro era scollegato dal lavoro quotidiano e insegnava poco agli sviluppatori. I brevi video formativi che Aikido condivide costantemente su YouTube e su altre piattaforme social hanno coinvolto gli sviluppatori molto più delle piattaforme di security awareness tradizionali utilizzate fino ad allora.
"Quando sono arrivato, avevamo un programma di sicurezza per gli sviluppatori che costava circa 100.000 dollari. Gli sviluppatori davano sempre feedback negativi: non era mai contestualizzato al loro carico di lavoro, quindi non imparavano davvero nulla. Era più che altro una formalità da sbrigare. Con Aikido, una vulnerabilità diventa ora un video formato snack da guardare per imparare a prevenirla. Abbiamo iniziato a notare che le pratiche di sviluppo sicuro che sostenevamo da anni venivano finalmente implementate fin dalle prime fasi."
Una visione d'insieme dell'intera supply chain
Il rischio legato alla supply chain è un tema discusso a livello di consiglio di amministrazione in Tyro, ed è qui che la scansione dei malware e la threat intel dimostrano la loro efficacia, intercettando i pacchetti compromessi prima che arrivino in produzione. Il valore è emerso chiaramente durante l'incidente Axios, quando il team è riuscito a rispondere rapidamente a una domanda complessa.
"La sicurezza della supply chain è una priorità assoluta. Ne discutiamo a livello di consiglio di amministrazione. Grazie alla scansione dei malware e alla threat intel di Aikido, rileviamo le criticità tempestivamente e le blocchiamo prima che arrivino in produzione. Quando si è verificata la violazione di Axios, il team ha dichiarato che non la utilizzavamo. Abbiamo aperto Aikido, l'abbiamo presentato, convalidato la versione e verificato se fossimo stati compromessi. Per fortuna non è stato così, ma ci ha aperto gli occhi."
Un'esercitazione del "red team" ha poi messo in luce la lacuna successiva. Tyro ha simulato un'estensione IDE dannosa pubblicata sul marketplace di VS Code che rubava le credenziali di uno sviluppatore, scoprendo che a quel livello non vi era alcuna protezione. Colmare questa lacuna è il motivo per cui la protezione dei dispositivi è il prossimo punto all'ordine del giorno.
Il futuro di Tyro Payments
Attualmente Tyro utilizza Aikido per l'analisi della composizione del software, l'analisi statica (SAST), l'analisi dinamica (DAST), la correzione automatica (AutoFix), l'analisi di raggiungibilità, la scansione del malware e le informazioni sulle minacce, nonché per la formazione degli sviluppatori.
Da qui in poi, l'obiettivo è quello di estendere i test di penetrazione basati sull'intelligenza artificiale al modello ibrido con revisione umana, di esplorare parallelamente la verifica del codice tramite intelligenza artificiale e di avviare un progetto pilota per la protezione dei dispositivi, al fine di colmare il divario tra sviluppatori e dispositivi evidenziato dall'esercitazione del red team.
Verdetto finale
Ciò che è cambiato maggiormente per Arun è il modo in cui gli sviluppatori affrontano ora la questione della sicurezza.
"In passato la loro percezione della sicurezza era piuttosto negativa. Ora il rapporto è davvero eccellente. Si rivolgono a noi quando riscontrano dei problemi o vengono a sapere di una violazione, desiderosi di collaborare e di imparare."
Quando gli viene chiesto cosa ne derivi, la sua risposta è semplice.
"Con ciò che abbiamo a disposizione possiamo fare molto di più di quanto potessimo fare in passato."
