De un vistazo
- Aikido Device Protection para ~1000 puestos, divididos entre equipos de ingeniería y no técnicos
- Un avance respecto a Aikido Safe Chain, que Deriv ya utilizaba en las canalizaciones de GitHub
- Una lista de materiales de software (SBOM) completa para cada dispositivo protegido, consultable a través de la API de Aikido
- Correcciones de CVE críticas que omiten la antigüedad mínima de paquete de 48 horas
- Alertas de Device Protection integradas en el propio flujo de trabajo de investigación de Deriv
- Cobertura ampliada a más sistemas operativos a medida que se despliega el soporte
Los asistentes de programación de IA pueden extraer cualquier paquete de un registro público
Deriv ofrece operaciones de trading las 24 horas del día en divisas, índices derivados, acciones, índices bursátiles, materias primas, criptomonedas y ETFs, con la misión de hacer que el trading sea accesible para cualquier persona, en cualquier lugar.
Como Deriv es una plataforma financiera, David Usher (vicepresidente de ingeniería de seguridad) y su equipo consideran que la seguridad es la máxima prioridad, y gran parte de ese trabajo se centra en la cadena de suministro de software. El equipo utiliza la inteligencia artificial en ambos frentes de esa labor: para las pruebas de ataques y para la defensa.
Deriv cuenta con más de 300 desarrolladores, y cualquiera de ellos podría descargar un paquete de un repositorio público en cualquier momento. Aún más, sus asistentes de código basados en IA, como Cursor y Claude Code, ahora también lo hacen constantemente.
«Tenemos que asegurarnos de que esos paquetes no contengan malware. Por eso es muy importante contar con un mecanismo de protección».
Deriv ya contaba con una primera capa implementada. Antes de adquirir un producto comercial, el equipo utilizó Aikido Safe Chain —el contenedor de código abierto que verifica si los paquetes contienen malware antes de que un gestor de paquetes los instale— en sus canalizaciones de GitHub y en sus dispositivos. David afirma que hizo un gran trabajo, pero la visibilidad seguía siendo un problema: el equipo no podía ver todo lo que ya estaba instalado en cada máquina.
Prevención en cada dispositivo
Para David, la protección de dispositivos llevó el enfoque de Safe Chain un paso más allá al prevenir el malware en el propio dispositivo. Actualmente, Deriv la ejecuta en unos 1.000 dispositivos con varios sistemas operativos. Esto le proporciona al equipo de seguridad una visión general de cada dispositivo registrado y de las versiones que ejecuta cada uno. Además, cada dispositivo informa sobre su lista de materiales de software (SBOM), un inventario de los paquetes instalados en todos los ecosistemas.
"Podemos ver la SBOM completa de cada dispositivo, lo que nos aporta información adicional sobre qué paquetes se encuentran en los equipos".
El equipo prueba la configuración con regularidad utilizando los paquetes de prueba que Aikido proporciona para los ecosistemas compatibles. David también creó una automatización de alertas complementaria: si la protección de dispositivos impide que el malware entre en la organización, el equipo de operaciones de seguridad de Deriv investiga de inmediato qué originó el intento de instalación.
Por qué un agente en el dispositivo ganó la evaluación
Deriv evaluó otras herramientas antes de elegir Aikido, pero Aikido ejecuta un agente en cada dispositivo, y David consideró que este diseño era más difícil de eludir que los enfoques centralizados que examinó Deriv. Además, esto le otorga al equipo de seguridad el contexto necesario cuando ocurre un incidente.
"Si se activa una alerta, es muy fundamental entender quién hizo qué, dónde y cuándo. De este modo, podemos investigar de inmediato y asegurarnos de contener cualquier otra cosa que pueda estar ocurriendo en ese dispositivo".
Comprobaciones retrospectivas y parches críticos sin demoras
David utilizó el inventario de dispositivos para buscar paquetes antiguos que seguían presentes en las máquinas desde antes de la implementación, algo que le resultó tranquilizador. Esto también impulsa las comprobaciones retrospectivas. Aikido Intel detecta con rapidez el nuevo malware y, cuando un paquete se identifica como tal después de su lanzamiento, la automatización de Deriv comprueba si esa versión está instalada en el equipo de alguien.
La protección de dispositivos también mantiene la rapidez en la aplicación de parches urgentes. Su antigüedad mínima de paquetes retiene las versiones recién publicadas durante 48 horas por defecto, lo que bloquea los ataques basados en malware de reciente publicación. Cuando una nueva versión soluciona una CVE crítica, la protección de dispositivos ahora permite su paso inmediato con los controles correspondientes. Esto se realiza de manera automática y exclusivamente para esa versión, por lo que el equipo de Deriv no tiene que configurar nada.
Malta
Esa excepción había surgido en las propias conversaciones entre Deriv y Aikido. David plantea solicitudes a través de un canal de soporte compartido con el equipo de Aikido y destaca que se han añadido al menos dos nuevos ecosistemas desde que Deriv comenzó a utilizar el servicio, incluyendo compatibilidad con Homebrew y Linux.
"Muchas otras empresas pueden ser muy lentas en su respuesta. Lo añaden a la hoja de ruta y vuelven a revisarlo en seis meses, y para entonces ya es demasiado tarde y hemos avanzado".
Cobertura más allá de la ingeniería
Deriv divide sus licencias de protección de dispositivos entre la división de ingeniería y los equipos no técnicos.
"Los equipos no técnicos se están volviendo más técnicos y todo el mundo utiliza la IA para realizar su trabajo, por lo que contar con Aikido en toda la empresa es verdaderamente importante".
Cualquier persona podría intentar instalar algo que no esté aprobado. Deriv cuenta con otros controles para gestionar esto, y el mismo inventario de dispositivos también facilita el cumplimiento normativo. Para incorporar un mayor número de máquinas a dicho inventario, Deriv está ampliando la protección de dispositivos a más de sus sistemas operativos ahora que Aikido es compatible con ellos.
Trabajando juntos en el problema de la cadena de suministro
David tiene claro que ninguna solución es perfecta. Lo que valora es un proveedor que avance al ritmo de Deriv. La compañía utiliza la inteligencia artificial para realizar entregas con rapidez, y él observa esa misma agilidad en la forma en que responde Aikido:
"Da la sensación de que estamos colaborando para mejorar el producto y también para resolver el problema de la seguridad en la cadena de suministro".
