De un vistazo
- El Aikido sustituyó a un conjunto de herramientas de seguridad de código abierto que abrumaban al equipo con falsos positivos.
- Los desarrolladores consideran ahora los resultados de Aikido como una lista provisional de problemas reales que hay que solucionar
- Las solicitudes de incorporación de cambios con «AutoFix» con un solo clic llegan a la rama de trabajo en cuestión de minutos, a través del proceso de revisión propio de Codafication.
- Cuando un cliente solicitó una certificación durante un ataque a la cadena de suministro, un enlace al panel de control de Aikido ya tenía la respuesta preparada
Una pila de código abierto había convertido la seguridad en un problema de volumen
Codafication, la empresa de software de seguros con sede en Brisbane, protege el código de su plataforma de gestión de siniestros con Aikido, tras sustituir un conjunto de herramientas de seguridad de código abierto que habían configurado sus propios ingenieros.
Curtis Wilkinson, director técnico, supervisa todas las funciones tecnológicas de Codafication, desde el personal de seguridad y la infraestructura en la nube hasta el control de calidad, la ingeniería y el producto. Fundada en 2015, Codafication desarrolla software de gestión de siniestros que utilizan la mayoría de las principales aseguradoras de Australia para gestionar las reparaciones relacionadas con siniestros de inmuebles y contenido. Su producto principal se ejecuta en entre 70 y 80 componentes independientes.
Antes de implementar Aikido, el equipo realizaba comprobaciones de contenedores en su canalización de CI/CD, utilizaba una herramienta de « SAST » y generaba « SBOM » que se alimentaban a un sistema de seguimiento de código abierto. La configuración funcionaba exactamente como se había establecido, pero el trabajo manual que conllevaba se había vuelto demasiado pesado como para poder mantenerlo al día. Se producían numerosos falsos positivos, sin deduplicación, agrupación, clasificación automática ni « análisis de alcanzabilidad » para filtrarlos.
«Aparecía un aviso y te preguntabas: “¿Qué es eso?”. Lo buscabas en Google y resultaba ser alguna rareza de Adobe de 1925. Casi te sorprendía descubrir que se trataba de un problema real».
Para confirmar si se trataba de un único problema real, había que comprobar manualmente si el código utilizaba siquiera la función afectada. Nada de esto estaba conectado a Jira, la plataforma en la que trabaja el equipo, por lo que cada ticket suponía copiar y pegar, y actualizar la información en dos sitios distintos. Además, cada mejora habría supuesto un coste adicional en tiempo de ingeniería.
«Nuestra labor como empresa no consiste en crear nuestra propia plataforma de gestión de la seguridad para todo nuestro entorno».
Una lista de los problemas que el equipo realmente soluciona
Aikido ahora alimenta el programa de corrección en curso de Codafication, y lo primero que cambió fue la lista de incidencias. La deduplicación y la agrupación de incidencias agrupan los resultados de todos los componentes del producto en una única vista que muestra todos los lugares en los que se produce una incidencia y qué equipo debe solucionarla.
El equipo también llevó a cabo la auditoría de seguridad del código de IA de Aikido, que forma parte de análisis de código con IA, en la mayor parte del código que sustenta su plataforma. La ejecución duró 14 horas y el equipo aún no ha encontrado ningún falso positivo en los resultados. Esto facilitó la aplicación de las medidas necesarias: los hallazgos pasaron directamente a la parte superior de la hoja de ruta de correcciones, y los desarrolladores corrigieron e integraron 39 de ellos en unas seis semanas. Curtis concedió acceso a los desarrolladores y les pidió su opinión.
«El comentario fue: “Vaya, esto sí que es serio. Todo lo que hay aquí debería considerarse un problema que tenemos que resolver, en lugar de una lista de cosas que probablemente no sirvan para nada”».
Aproximadamente tres de cada cuatro solicitudes de incorporación de cambios de AutoFix se fusionan sin que el equipo tenga que realizar ni un solo cambio. Aikido genera la solicitud de incorporación de cambios, los propios revisores de Codafication la evalúan y pasa a la aprobación final de fusión, llegando normalmente a la rama de trabajo en menos de 10 minutos. Curtis notó la diferencia cuando llegó la primera oleada de solicitudes de incorporación de cambios de AutoFix y se encargó él mismo de procesar una lista. Cada corrección le habría llevado entre media hora y dos horas si la hubiera realizado manualmente.
«Ahora todo se ha reducido a pulsar un botón».
Gracias a la integración con Jira, el estado de los tickets ahora se centraliza en un único lugar. Curtis puede desplazarse por la lista y ver qué desarrollador es el responsable de cada corrección y qué probador se ha encargado de ella, y las correcciones de seguridad aparecen en los informes de sprint. Cada vez que surgía alguna duda durante la configuración de todo esto, el equipo la planteaba directamente al personal técnico de Aikido a través de un canal compartido.
«Fueron de gran ayuda y se mostraron muy colaborativos. No hubo pases de pelota. Las personas que realmente podían solucionar los problemas estaban allí mismo, en el canal».
Por qué Codafication eligió el aikido
- Una excelente primera experiencia con Aikido Safe Chain, la herramienta gratuita que bloquea los paquetes de código abierto maliciosos antes de que se instalen, y el punto de partida de la protección de dispositivos de Aikido. Es la herramienta que el equipo implementó en todos los dispositivos de los desarrolladores a medida que los « ataques a la cadena de suministro » de npm iban apareciendo uno tras otro en el ecosistema.
- La investigación sobre amenazas de Aikido, que ya figuraba entre las fuentes que el equipo utilizó para su propio inteligencia de amenazas
- Una prueba de concepto que permitió al equipo explorar las funciones y decidir cuáles activar primero
«Habíamos tenido una buena experiencia con Safe Chain y sabíamos que Aikido era una buena empresa. Lo lógico era venir a ver qué ofrecían».
El aikido ya tenía la respuesta antes de que el cliente la planteara
Los clientes de Codafication operan en un sector regulado con una tolerancia al riesgo muy baja. Por eso, siguen muy de cerca ataques a la cadena de suministro . Cuando se produce un incidente importante, empiezan a llover los correos electrónicos y las llamadas telefónicas.
Durante un ataque reciente, Curtis se encontraba de viaje por motivos de trabajo. El equipo de cuentas de Aikido publicó un enlace al panel de control en el canal compartido. De un solo vistazo se veía una marca verde: Codafication no se había visto afectada. En menos de media hora, un cliente envió un correo electrónico pidiendo a Codafication que certificara que su sistema de producción no se había visto afectado.
«Me resultó mucho más fácil decir simplemente que sí».
Antes de practicar aikido, Curtis habría tenido que esperar a que se ejecutara la siguiente comprobación programada —un par de horas, dependiendo del momento— antes de poder responder. Esta vez, ya tenía la respuesta antes incluso de que el cliente la formulara.
Cómo utiliza Codafication el aikido hoy en día
«Vamos incorporando nuevas funciones al Aikido a medida que avanzamos. En gran parte se trata de sustituir elementos creados manualmente, pero algunas son simplemente nuevas funcionalidades».
- Las comprobaciones de las solicitudes de incorporación de cambios como principal barrera de seguridad para los repositorios de herramientas internas, automatización e infraestructura
- AutoFix y comprobaciones proactivas de las ramas en los repositorios principales de productos
- Auditoría de seguridad del código de IA, realizada en la mayor parte del código que sustenta la plataforma de reclamaciones
- Comprobaciones de la calidad del código, además del seguimiento de la cobertura del código
- Integración con Jira para la generación de informes de ingeniería de sprints
- Supervisión de dominios, cuyos primeros resultados coincidieron con dos problemas conocidos del último informe de pruebas de penetración externas
- A continuación: acceso al repositorio de contenedores y una prueba de penetración con IA que abarque el mismo ámbito que su prueba de penetración externa semestral, con el fin de comparar los resultados.
Veredicto final
«Siempre hemos tenido herramientas que abarcaban un aspecto concreto. Ninguna reunía todo ello de una forma que resultara manejable y que permitiera ver si tenemos todo bajo control».
