De un vistazo
- Consolida SCA, SAST y el escaneo de contenedores en una única plataforma
- Integrado en 100 repositorios en pocas semanas con un solo ingeniero
- Soporta a 100 desarrolladores en GitLab, GitHub y Azure DevOps.
- Ofrece soporte AppSec multilingüe para F#, Rust, C++, C#, Python, React/Typescript
- Permite correcciones más tempranas a través de flujos de trabajo de merge request
- Impulsa el ciclo de vida de desarrollo de software seguro (SSDLC) de AutoStore con información procesable.
- Seleccionó Aikido Security por delante de Black Duck y Endor Labs
Desafío.
La organización de ingeniería de AutoStore había crecido y se había diversificado, con cerca de 100 desarrolladores trabajando en múltiples lenguajes, bases de código y oficinas en todo el mundo. Mientras que algunos equipos tenían sólidos hábitos de seguridad, otros dependían de procesos inconsistentes o flujos de trabajo heredados, lo que generaba una cobertura desigual. A medida que la empresa se expandía hacia un desarrollo más nativo de la nube, estas brechas se volvieron más difíciles de gestionar.
El gerente de ingeniería y el CISO se propusieron fortalecer el ciclo de vida de desarrollo de software seguro (SSDLC) de AutoStore y aportar claridad y consistencia a la forma en que se gestionaba la seguridad en toda la empresa.
AutoStore necesitaba una plataforma que pudiera proporcionar visibilidad AppSec completa en repositorios heredados y nativos de la nube, soportar su diversa pila tecnológica e integrarse directamente con GitHub, GitLab y Azure DevOps.
«Por supuesto, cuando 100 desarrolladores o 10 equipos hacen las cosas por sí mismos, habrá algunas prácticas buenas y otras no tan buenas», dijo Vegard Syre Aaker, ingeniero de software de seguridad en AutoStore.
Mientras tanto, los procesos de riesgo de código abierto que históricamente se habían construido en torno a sistemas C++ no podían escalar para soportar entornos de desarrollo modernos.
“Buscábamos una herramienta de seguridad que pudiera manejar todos nuestros lenguajes de programación y funcionar con GitHub, GitLab y otros sistemas. Nuestros repositorios son muy diferentes, por lo que no fue fácil. Aikido fue una de las pocas herramientas que pudo soportar todo lo que necesitábamos.”
Una selección liderada por desarrolladores
La experiencia previa de Vegard como desarrollador influyó en la evaluación de AutoStore. El equipo necesitaba una plataforma AppSec que los desarrolladores realmente utilizaran y que se integrara en los flujos de trabajo existentes sin fricción.
“Buscaba una herramienta que supiera que podía empoderar a los desarrolladores. Algo que realmente adoptarían y que se integraría bien con nuestros procesos.”
Este requisito de priorizar al desarrollador se alineó fuertemente con el enfoque de Aikido.
Solución
AutoStore evaluó Aikido junto con Endor Labs, Black Duck y herramientas de código abierto. Aikido destacó por su experiencia intuitiva, soporte AppSec multilingüe y su capacidad para unificar múltiples capacidades de seguridad en una única plataforma.
“Durante la prueba de concepto, nos gustó la interfaz sencilla e intuitiva. También elegimos Aikido porque era fácil de integrar e incluía muchas herramientas de seguridad en una única suite con un solo panel de control.”
Aikido soportaba todos los lenguajes principales en uso y proporcionaba tanto integraciones directas como escaneo local para bibliotecas C++ complejas. Si bien GitHub y Azure DevOps se integraron sin problemas al principio del proceso, el despliegue de GitLab demostró la escalabilidad de la plataforma:
“La mayor parte de la integración de GitLab fue realizada por un ingeniero de seguridad, con poca ayuda, en solo unas pocas semanas. Esto incluyó alrededor de 100 repositorios y 100 desarrolladores.”
El rápido soporte y la flexibilidad de Aikido contribuyeron a la velocidad de despliegue.
“La mayoría de los problemas durante la integración y el despliegue se resolvieron rápidamente junto con Aikido, y son flexibles para proporcionar cambios en su software si es necesario.”
Por qué AutoStore eligió Aikido
AutoStore seleccionó Aikido porque:
- Soporta todos los lenguajes principales en uso, incluyendo C++, Rust y F#
- Se integra directamente con GitHub, GitLab y Azure DevOps
- Consolida SCA, SAST y el escaneo de contenedores en una única plataforma
- Ofrece flujos de trabajo que priorizan al desarrollador y visibilidad de las solicitudes de fusión (merge requests)
- Proporciona resultados accionables que reducen el ruido y guían la priorización
Resultados
Aikido ahora proporciona una vista consistente de las vulnerabilidades en todos los equipos y repositorios.
“Los desarrolladores e ingenieros de seguridad ahora tienen una visibilidad mucho mejor de los riesgos y vulnerabilidades. Estoy seguro de que esto mejorará la seguridad de nuestras aplicaciones con el tiempo.”
Los flujos de trabajo de solicitudes de fusión (merge requests) de Aikido ayudan a detectar problemas antes y a mejorar la participación de los desarrolladores.
“Tenerlo como comentarios en las solicitudes de fusión (merge requests), potencialmente bloqueándolas, ayudará a mejorar la seguridad de las aplicaciones con el tiempo.”
Aikido también permitió a AutoStore validar rápidamente las vulnerabilidades recién divulgadas. Cuando su proveedor de SOC señaló un nuevo problema de dependencia, Aikido ya tenía análisis disponible.
“Revisé la publicación del blog de Aikido y vi que ya habíais rastreado esa vulnerabilidad durante unos días. Pude verificar rápidamente si nuestra base de código estaba afectada.”
Cómo AutoStore está expandiendo su uso de Aikido
Ya en uso
Planeando adoptar
Evaluando lo siguiente
«Probaremos las pruebas de penetración con IA en una de nuestras aplicaciones. Potencialmente, podría reducir parcialmente nuestras pruebas de penetración externas.»
Aikido como la capa más accionable del SSDLC
Vegard subraya que un ciclo de vida de desarrollo seguro incluye muchos componentes como la gestión de riesgos, el modelado de amenazas y las pruebas de penetración. En la práctica, Aikido se convirtió en la parte más accionable del marco.
«El resto de la organización está muy centrado en Aikido porque es accionable. Es mucho más accionable en comparación con otros temas que son más vagos.»
Pasos claros, visibilidad rápida y flujos de trabajo centrados en el desarrollador permiten a los equipos reforzar la seguridad de forma colaborativa.
«Si lo hubiera hecho de nuevo, probablemente habría elegido una herramienta de seguridad bastante rápido y luego habría construido sobre ella.»
Veredicto final
“Aikido ofrece un producto enfocado que permite a los equipos de ingeniería gestionar las vulnerabilidades de forma eficaz. Han priorizado claramente la usabilidad, lo que hace que la gestión de vulnerabilidades sea accesible y procesable.”
