De un vistazo
- No se producen interrupciones en la cobertura de escaneo durante el cambio de proveedores y herramientas anteriores
- Utilicé análisis de alcanzabilidad para reducir decenas de miles de resultados a los pocos que realmente importan
- Durante la prueba de concepto, se valoró que la precisión de Aikido era superior a la de la herramienta anterior.
- Se mantuvo un registro de auditoría irrefutable para los auditores y las autoridades reguladoras durante la migración
- Presenta a cada desarrollador una única tarea clara, en lugar de una lista de resultados sin procesar.
- Colabora directamente con el equipo de Aikido a través de Slack, con soluciones en el mismo día y respuestas rápidas
Abrirse paso entre una avalancha de hallazgos
Revolut es una empresa global de tecnología financiera, fundada en 2015 y con sede en Londres, que actualmente opera en 40 países y añade nuevos productos cada trimestre. Su equipo de ingeniería cuenta con más de 2.500 desarrolladores, y garantizar la seguridad de un sistema que evoluciona a ese ritmo —en la capa de aplicaciones, la nube, la red y la inteligencia artificial— supone un reto en constante cambio.
Arsalan Ghazi es responsable de seguridad de aplicaciones en Revolut, donde su labor consiste en proteger los datos de los clientes en todo el sistema. En « análisis de composición de software » describe el problema fundamental en una sola frase.
«SCA es una fuente inagotable de hallazgos. Hay cientos de miles cada día, cada semana, y gracias a que la inteligencia artificial ayuda a los investigadores a encontrar más información en fuentes abiertas, las cifras se están multiplicando como nunca antes».
Lo difícil no es encontrar vulnerabilidades, sino saber cuáles son las que realmente importan.
El desafío
Una compuerta que no deja de abrirse
SCA Genera un volumen de hallazgos que ningún equipo puede clasificar manualmente, y la inteligencia artificial está acelerando este proceso a medida que los investigadores sacan a la luz más vulnerabilidades en el código abierto. Sin una forma de separar las vulnerabilidades explotables del ruido, un equipo de seguridad dedica su tiempo a clasificar en lugar de a solucionar problemas.
Una migración que un banco regulado no puede permitirse fallar
Revolut ya contaba con una herramienta de « SCA », por lo que el cambio a Aikido supuso un cambio completo de proveedor, no una implementación desde cero. Para una empresa fintech regulada, esto implica reconstruir los procesos de automatización internos, actualizar la documentación y demostrar a los auditores y a las autoridades reguladoras que la cobertura de los análisis nunca se interrumpió.
Por qué Revolut eligió a Aikido
Una accesibilidad que se centra en el trabajo real
Lo que más destacó en la prueba de concepto fue análisis de alcanzabilidad: la detección de las vulnerabilidades que realmente afectan a las bibliotecas transitivas de Revolut, de modo que el equipo sabe a qué hallazgos dar prioridad.
«análisis de alcanzabilidad detecta las vulnerabilidades reales en las bibliotecas transitivas. De entre unas 10 000 incidencias, sabemos cuáles deben priorizarse y en cuáles debe centrarse la empresa para solucionarlas».
Mayor precisión que la herramienta anterior
Tras realizar la prueba de concepto con repositorios reales, el equipo consideró que la precisión de Aikido era superior a la de la herramienta que ya utilizaban.
«En la prueba de concepto, la precisión fue superior a la de la herramienta que ya utilizábamos».
Un equipo que trabaja como si formara parte del tuyo
La relación de atención al cliente destacó tanto como el producto.
«Hay ocasiones en las que planteamos un problema y lo solucionan el mismo día. La comunicación es directa a través de Slack: alguien confirma la recepción y responde en un plazo de 15 minutos. No consideramos a Aikido como un tercero, sino como parte de nuestro propio equipo».
Cómo los desarrolladores solo ven lo que importa
Revolut no deja la implementación en manos de los desarrolladores individuales. El equipo de seguridad de las aplicaciones se encarga de la implementación en todos los servicios, realiza la clasificación y decide cuáles de los miles de problemas detectados realmente necesitan una solución. Los desarrolladores nunca tienen que acceder a una cola para buscar su trabajo. Reciben un único ticket en el sistema « gestión de vulnerabilidades » de Revolut, con un enlace a Aikido, el CVE correspondiente y la versión a la que deben pasar.
«Nuestros desarrolladores solo reciben un ticket que se les asigna, con un enlace a Aikido, la información del CVE y la versión que deben actualizar. Las opiniones son positivas. Encuentran lo que necesitan en el ticket y se ponen manos a la obra para solucionarlo».
Ese control se extiende a la forma en que Revolut gestiona las nuevas versiones de los paquetes. Como medida de protección ante la posibilidad de que una nueva versión resulte estar comprometida, la propia política del equipo indica a los desarrolladores que esperen cinco días antes de implementar una versión recomendada en producción.
Dejar atrás a los proveedores anteriores sin que se produzca ninguna interrupción
La diferencia que el cambio debía garantizar era la continuidad: un alcance constante del análisis de SCA en todos los repositorios, sin que hubiera ningún intervalo en el que el equipo no pudiera detectar incidencias.
«Cambiar de proveedor no es fácil. Hay que volver a configurar los procesos automatizados, actualizar la documentación y proporcionar a los auditores y a las autoridades reguladoras un registro de auditoría completo. Una vez firmado el contrato, la incorporación de Aikido fue sencilla y rápida».
La migración no fue la única medida de consolidación. Revolut había desarrollado internamente su propia herramienta de « DAST », en consonancia con su preferencia por desarrollar lo que pudieran por sí mismos, pero esto suponía una gran carga de mantenimiento y trabajo manual. La sustituyeron por Aikido en cuanto vieron que funcionaba sin esa sobrecarga.
«En Revolut desarrollamos todo internamente siempre que podemos, por lo que contábamos con nuestra propia herramienta de « DAST ». Esta requería mucho mantenimiento y trabajo manual. La sustituimos por Aikido porque funcionaba perfectamente desde el primer momento».
El futuro de Revolut
Actualmente, Revolut utiliza Aikido para análisis de composición de software con análisis de alcanzabilidad, y para Pruebas de seguridad de aplicaciones dinámicas (DAST).
El equipo está estudiando la posibilidad de utilizar « protección en tiempo de ejecución » junto con Zen para subsanar una carencia que Arsalan describe con claridad.
«Seguimos el enfoque de «shift left», pero no hay nada que proteja el lado derecho. Queremos algo que proteja en tiempo de ejecución frente a amenazas como los «zero-days», en las que actualizar una biblioteca lleva tiempo».
Se está probando un sistema de protección de dispositivos para hacer frente al riesgo de la cadena de suministro en los equipos de los desarrolladores, donde los paquetes y las estaciones de trabajo comprometidos suponen una preocupación cada vez mayor. « pentesting de IA » figura en la hoja de ruta para un trimestre futuro, y aún se está validando una primera prueba piloto. El objetivo que Arsalan ha marcado a su equipo es detectar más problemas a nivel interno que los programas externos, desplazando aún más el equilibrio hacia el ámbito interno y detectando los problemas en una fase más temprana del ciclo de desarrollo.
En cuanto al análisis estático, Revolut desarrolló su propia capacidad internamente. Una herramienta de análisis estático ( SAST ) de terceros que probó hace años tenía dificultades para detectar vulnerabilidades realmente críticas, por lo que el equipo escribió sus propias reglas, basadas en los hallazgos de los programas de recompensa por errores y de las pruebas de penetración, para analizar todo el código fuente y cada nueva solicitud de incorporación de cambios (pull request). Ahora están observando si el análisis de Aikido detecta problemas que su sistema basado en reglas no detecta.
«Estamos atentos a lo que descubre Aikido. Algunos de sus hallazgos recientes no se basaban simplemente en reglas, sino que utilizan un modelo de lenguaje grande (LLM) para la « SAST », y eso es precisamente lo que nos falta en estos momentos».
Veredicto final
Arsalan vuelve una y otra vez a su interpretación de la colaboración.
«Nos están ayudando a proteger nuestro código y nuestros datos, y a perfeccionar la herramienta en función de lo que observamos y de lo que creemos que funcionaría. Para mí, eso es lo mejor».
