La banca, dotata di tutte le licenze necessarie, e il custode di Bitcoin hanno integrato Aikido e Zen in un sistema di sicurezza consolidato, riducendo il "rumore" delle vulnerabilità del 95%, abbreviando la durata delle indagini di sicurezza da ore a minuti e ottenendo visibilità in tempo reale su oltre 100 servizi.
In sintesi
- 95% in meno di rumore sulle vulnerabilità, riducendo da 5.880 i risultati iniziali a 275 problemi rilevanti
- Da ore a minuti per le analisi e le indagini di sicurezza
- Oltre 100 servizi protetti da Zen in ambienti di staging e produzione
- Quasi tutti i repository di codice scansionati con Aikido
- Protezione a livello applicativo contro gli attacchi che superano le difese perimetrali
- Safe Chain offre un blocco preventivo contro i pacchetti compromessi di recente
Sfida
Per Xapo Bank, la posta in gioco nella sicurezza è eccezionalmente alta. In qualità di banca con licenza completa e custode di Bitcoin, Xapo protegge asset in cui le transazioni possono essere irreversibili. I membri affidano alla banca i propri risparmi, mentre i clienti istituzionali effettuano approfonditi controlli di due diligence sulla sicurezza prima di trasferire asset sulla piattaforma.
Per Fabio Pires, Head of Security Operations and Product Security, questo rende la sicurezza fondamentale per il business.
"Un problema di sicurezza per noi non significa solo downtime, ma la perdita del patrimonio di qualcuno. Ecco perché la sicurezza in Xapo non è un semplice dipartimento, ma le fondamenta su cui si regge il prodotto."
A differenza di molte organizzazioni che adottano una moderna piattaforma AppSec, Xapo non partiva da un programma di sicurezza immaturo. La banca aveva già creato le proprie pipeline SSDLC (secure software development lifecycle), integrando test di sicurezza delle applicazioni statiche (SAST), scansione dei secret, analisi della composizione del software (SCA), infrastructure-as-code e analisi di runtime attraverso strumenti indipendenti. I risultati venivano arricchiti con il contesto proveniente dalla gestione delle vulnerabilità e dall'inventario degli asset di Xapo, assegnati ai rispettivi proprietari e associati a specifici SLA. Una pull request non poteva essere unita se una vulnerabilità violava il relativo SLA.
Al livello di edge, Cloudflare proteggeva l'infrastruttura esposta al pubblico, mentre i servizi interni operavano dietro una rete zero-trust. Xapo aveva persino sviluppato i propri sistemi di inganno (deception traps) e di risposta automatica.
Il problema per Xapo non erano i controlli. Scanner differenti producevano formati diversi e falsi positivi da riconciliare, mentre i punteggi di gravità non tenevano conto del fatto che una vulnerabilità fosse effettivamente sfruttabile nell'ambiente di Xapo; inoltre, gli agenti di runtime potevano vedere host e container, ma mancavano di contesto applicativo come rotte, payload, flussi di dati o il comportamento in uscita previsto.
Quest'ultimo punto cieco è diventato particolarmente importante per la sicurezza della supply chain.
I modelli di minaccia di Xapo riproponevano costantemente lo stesso scenario: una dipendenza attendibile viene compromessa, viene eseguita all'interno di un servizio legittimo ed esfiltra silenziosamente dati tramite una terza parte affidabile.
I tradizionali controlli di perimetro si concentrano principalmente su ciò che entra in un'applicazione. Tuttavia, in una compromissione della supply chain andata a buon fine, il segnale critico potrebbe essere ciò che inizia improvvisamente a uscire.
"Tutto in questo settore è progettato per ispezionare ciò che entra, ma l'esfiltrazione è un problema in uscita e l'unico luogo con abbastanza contesto per valutare il traffico in uscita è il livello applicativo stesso."
Xapo voleva affrontare entrambi gli aspetti di quello scenario: impedire alle dipendenze dannose di entrare nell'ambiente, assumendo poi che la prevenzione potesse comunque fallire e rilevando il comportamento dannoso a runtime.
Soluzione
Xapo si è affidata ad Aikido come ulteriore livello in una strategia di difesa in profondità già matura. Cloudflare ha continuato a proteggere l'edge. Aikido ha assunto il controllo della sicurezza del codice, delle dipendenze e dei container lungo l'intera pipeline, ciascuno gestito come una funzionalità leader di categoria anziché come una semplice copertura aggiuntiva, e oggi quasi tutti i repository di codice di Xapo vengono scansionati dagli strumenti di Aikido.
Aikido Safe Chain ha introdotto un blocco preventivo in tutta l'organizzazione. Se un nuovo pacchetto viene compromesso, Xapo non deve affidarsi esclusivamente alla scoperta di tale compromissione dopo l'installazione.
Zen, il firewall in-app di Aikido, aggiunge il livello di runtime mancante direttamente all'interno delle applicazioni.
La distinzione rispetto alla sicurezza perimetrale era fondamentale: giudicare una richiesta in base al suo aspetto anziché tracciarne le reali azioni all'interno dell'applicazione, seguendo i dati dalla sorgente alla destinazione (source-to-sink) per determinare se una vulnerabilità sia effettivamente sfruttabile.
“Il perimetro può solo giudicare una richiesta in base al suo aspetto. Il firewall in-app Zen di Aikido la giudica in base a ciò che fa.”
Zen offre inoltre a Xapo visibilità sulle connessioni in uscita a livello di singolo servizio. Il team può stabilire quale sia il normale comportamento in uscita e identificare quando un servizio inizia improvvisamente a comunicare con una nuova destinazione, un segnale importante nel caso in cui una dipendenza legittima venga compromessa.
Xapo ha sottoposto Aikido a un rigoroso proof of concept.
Il team di sicurezza ha pubblicato pacchetti npm dannosi fittizi, ha inviato payload di attacco a Zen e ha documentato ogni lacuna riscontrata. Ciò che ha colpito non è stato solo ciò che il prodotto era già in grado di fare, ma la rapidità con cui Aikido ha risposto quando non ci riusciva.
Xapo ha avuto accesso diretto agli ingegneri di Aikido tramite un canale Slack condiviso. I bug sono stati risolti in pochi giorni o settimane, mentre le funzionalità richieste sono state trasformate in impegni contrattuali con date di consegna certe.
La visibilità e il blocco del traffico in uscita erano tra queste. Sono passati dalla lista dei desideri di Xapo a un impegno contrattuale e infine al prodotto finito. Fabio definisce questo livello di reattività da parte del vendor come un evento raro.
Aikido si è inoltre integrata con l'infrastruttura di sicurezza che Xapo aveva già sviluppato, senza costringere il team a sostituirla. API e webhook alimentano i risultati nella gestione delle vulnerabilità e nell'automazione di Xapo, trasformando i rilievi in ticket e i rilevamenti in playbook di risposta senza operazioni manuali di copia e incolla.
Risultati
L'impatto misurabile più evidente è la quantità di falsi positivi e rumore relativo alle vulnerabilità che il team di sicurezza di Xapo non deve più investigare.
Aikido ha ridotto da 5.880 risultati iniziali a 275 problemi rilevanti, ottenendo una riduzione del 95% dei falsi positivi e del rumore.
La raggiungibilità e altri fattori contestuali consentono ad Aikido di determinare se i risultati rappresentino un rischio concreto prima che raggiungano il team. Senza questo contesto, Xapo afferma che avrebbe dovuto creare meccanismi propri per stabilire se i componenti interessati fossero effettivamente in uso e rappresentassero un rischio, per poi validare manualmente i falsi positivi generati da tali meccanismi.
Ciò garantisce al team di sicurezza più tempo da dedicare a problemi di sicurezza reali, anziché dover dimostrare quali risultati non siano rilevanti.
Anche la velocità di indagine è migliorata. Un'analisi che in precedenza richiedeva ore ora può essere completata in pochi minuti.
Gli incidenti legati alla supply chain ne sono un chiaro esempio. In passato, il team avrebbe dovuto verificare manualmente il proprio inventario degli asset e la Software Bill of Materials (SBOM) acquisita, identificare la posizione di una libreria e incrociare i dati per capire se la versione interessata esponesse Xapo a una compromissione appena divulgata.
Oggi Aikido avvisa il team quando una libreria nel proprio ambiente è interessata, mentre Safe Chain aggiunge un blocco preventivo nella CI/CD. I sistemi principali di Xapo sono basati su un unico linguaggio di programmazione, ma il team apprezza il fatto che Aikido analizzi le nuove compromissioni dei pacchetti mettendole in relazione con la realtà del proprio ambiente.
Zen è ora esteso a oltre 100 servizi tra staging e produzione, offrendo a Xapo una visibilità di runtime per singolo servizio che in precedenza non esisteva.
Quel livello di protezione aggiuntivo ha dimostrato tutto il suo valore durante un attacco reale contro uno dei servizi di Xapo.
La prima ondata di richieste malevole ha superato il perimetro prima che si attivasse il rate limiting. Zen le ha segnalate immediatamente, fornendo il contesto applicativo per capire quale servizio fosse sotto attacco, quale rotta fosse stata colpita, il payload utilizzato e se l'attività fosse effettivamente sfruttabile.
Quella che in passato sarebbe stata un'analisi post-mortem dei log si è trasformata in un rilevamento in tempo reale e ad alta affidabilità.
"Il contesto di runtime di Aikido trasforma gli avvisi in risposte. Non abbiamo perso ore a chiederci 'è un problema reale?'. Lo sapevamo già."
Le difese perimetriche di Xapo continuano a gestire ciò che hanno sempre fatto. Zen aggiunge un ulteriore livello alle loro spalle, rafforzando l'architettura nel suo complesso.
Il livello edge continua a gestire i volumi e le categorie più ampie di attacchi. Zen offre una prospettiva diversa dall'interno dell'applicazione per tutto ciò che riesce a passare. Nel frattempo, l'intelligence sulle dipendenze e sui malware di Aikido e Safe Chain contribuiscono a ridurre la probabilità che una dipendenza compromessa raggiunga l'applicazione in primo luogo.
I dati di rilevamento alimentano direttamente l'automazione di Xapo. I risultati arrivano completi di contesto sulla sfruttabilità e possono attivare azioni di risposta automatizzate. Come spiega Fabio, bloccare un utente malevolo può ora tradursi in una chiamata API anziché in una riunione di emergenza.
Il risultato è un'architettura in cui l'applicazione stessa è diventata un ulteriore livello di rilevamento.
Verdetto finale
Xapo non cercava un altro strumento perimetrale. Altri strumenti di questo tipo non avrebbero colmato quella lacuna. Ciò che ha fatto la differenza è stato il contesto, il tipo di informazioni che i controlli esistenti di Xapo non potevano fornire.
“Aikido ha trasformato le nostre applicazioni da punto cieco a parte integrante della nostra superficie di rilevamento, e grazie a Zen tutto ciò che sfugge al perimetro deve comunque superare un livello che comprende l'applicazione stessa.”
Per una banca in cui la fiducia è fondamentale per il prodotto, questo livello aggiuntivo colma un'importante lacuna tra prevenzione e risposta.
