De un vistazo
- Se consolidaron tres herramientas separadas, Snyk para SCA, Sonar para análisis estático y OWASP ZAP para el escaneo en tiempo de compilación, en un solo componente de Aikido code
- Se utilizó un análisis de alcanzabilidad en una auditoría PCI para demostrar que los hallazgos críticos que bloqueaban la auditoría eran del lado del cliente y no explotables
- Se reemplazaron los bloqueadores ficticios por reales que detienen los hallazgos críticos y altos antes de una fusión o una compilación
- Se ganó la confianza de los equipos de ingeniería que gestionaban las herramientas anteriores
- Se decidió consolidar las herramientas después de que el ataque a la cadena de suministro de Shai-Hulud dejara al descubierto la infraestructura anterior
Demasiados hallazgos, pocas correcciones
Reward Gateway desarrolla software de compromiso y beneficios para empleados, ofreciendo el reconocimiento, las recompensas, el bienestar y los descuentos que las empresas utilizan para cuidar a su personal. Fundada en Londres en 2006 y ahora parte de Edenred, opera como una plataforma SaaS que gestiona un gran volumen de transacciones y datos confidenciales, lo que la sitúa bajo el ámbito de cumplimiento PCI. Su plataforma llega a más de 10 millones de empleados en organizaciones clientes.
Angel Indzhov es el director de ciberseguridad en Reward Gateway, donde lidera las operaciones de seguridad, la seguridad de productos y la ciberdelincuencia financiera. Describe un problema que la mayoría de los líderes de seguridad reconocen hoy en día: el hallazgo ya no es la parte difícil.
"Cada vez somos mejores detectando problemas. Lo que no mejora es nuestra capacidad para solucionarlos".
El volumen sigue aumentando, especialmente con los modelos más nuevos que generan más hallazgos, y una base de código antigua es mucho más difícil de reparar que una desde cero. Lo que Reward Gateway necesitaba no eran más hallazgos, sino una forma de saber cuáles importaban de verdad.
El desafío
Una infraestructura desconectada
Antes de Aikido, la seguridad se gestionaba a través de tres herramientas independientes que nunca fueron diseñadas para funcionar de forma integrada.
"Usábamos Sonar para el código estático, Snyk exclusivamente para SCA y OWASP ZAP en las canalizaciones de compilación. Tantas herramientas que la gente intenta usar juntas, pero que en realidad no se integran bien".
Un ataque a la cadena de suministro lo dejó en evidencia
La fragmentación se convirtió en un problema grave cuando se produjo el ataque a la cadena de suministro de Shai-Hulud. La configuración existente no era capaz de responder a las preguntas clave con la rapidez necesaria.
"Cuando ocurrió lo de Shai-Hulud el año pasado, sentimos que nuestras herramientas no estaban a la altura. Eso nos empujó a buscar algo nuevo y a consolidar todo".
La seguridad no controlaba las herramientas
Parte de la razón por la que la infraestructura estaba tan fragmentada era que ingeniería había adquirido cada herramienta para resolver un problema específico en su momento. La seguridad no gestionaba el proceso y el presupuesto dependía de otros departamentos, por lo que cualquier cambio requería convencer primero al equipo de ingeniería.
"Todas estas herramientas fueron compradas por ingeniería, así que tuvimos que convencerlos. El presupuesto no dependía de nosotros".
Por qué Reward Gateway eligió Aikido
Consolidación en etapas meditadas
Reward Gateway no reemplazó todo de golpe. Primero conoció a Aikido a través de Safe Chain, le gustó lo que vio y luego realizó una prueba de concepto completa enfocada en las áreas más críticas —el código y la superficie de ataque— en lugar de emprender una implementación general imposible de terminar.
Un análisis de alcanzabilidad en el que el equipo podía confiar
La funcionalidad que decantó la balanza fue el análisis de alcanzabilidad. Con tantísimos hallazgos, y muchos de ellos de baja prioridad, el equipo necesitaba una manera de distinguir lo que realmente podía ser explotado de lo que no.
"Para mí, la clave es el análisis de alcanzabilidad. Muestra lo que realmente debe suceder para explotar un fallo, permitiéndote saber qué vulnerabilidad va a ser un problema real. Eso fue clave".
Un equipo que respondió con rapidez
Las personas detrás del producto destacaron tanto como el propio producto durante la prueba de concepto.
"No hay ningún otro proveedor con el que hayamos trabajado que se comunique tanto y se preocupe realmente por lo que decimos. Planteamos un problema, nos sentamos y lo solucionamos".
La accesibilidad en la auditoría de PCI
La prueba más clara llegó durante una auditoría de PCI. Reward Gateway tenía alertas de nivel alto en su repositorio de pagos, del tipo que deben resolverse antes de que una auditoría dé su aprobación, y el margen de tiempo era ajustado.
"Teníamos una auditoría de PCI y en Snyk aparecían alertas de nivel alto en el repositorio de pagos que debían solucionarse muy rápido, justo antes de la fecha límite. La accesibilidad de Aikido demostró que se trataba de problemas del lado del cliente que no afectaban en absoluto al servidor. Eso eliminó el riesgo y dejó claro a todo el mundo que esto es lo que necesitamos".
Esa auditoría hizo mucho más que resolver los hallazgos. Fue lo que convenció a los equipos de ingeniería que gestionaban las herramientas anteriores, ya que les mostró dónde estaba el riesgo real y, de manera igual de útil, dónde no lo estaba.
Filtros que realmente detienen las cosas
La accesibilidad cambió los hallazgos en los que el equipo decidió actuar. Los filtros cambiaron lo que ocurría cuando uno se filtraba.
"Antes teníamos filtros ficticios. Casi nada se detenía de verdad. Ahora todo lo crítico y alto se bloquea. No puedes fusionar tu PR ni compilar".
El siguiente paso es aplicar los mismos filtros de manera uniforme en todas las etapas, de modo que si una comprobación se omite en un lugar, se detecte en otro.
Reemplazo total de las herramientas independientes
Con la accesibilidad y los filtros reales en marcha, las herramientas separadas dejaron de ser necesarias.
"Estamos utilizando el componente de código de principio a fin: análisis estático de código, escaneo de secretos y gestión de licencias. Snyk, Sonar, OWASP ZAP... los estamos reemplazando por completo".
Los próximos pasos de Reward Gateway
Reward Gateway utiliza el componente de código de Aikido para el análisis estático de código, el escaneo de secretos, el análisis de composición de software con accesibilidad y el escaneo de licencias, con filtros de bloqueo para los hallazgos críticos y altos.
A partir de aquí, el equipo está extendiendo esos filtros a más etapas de la canalización (pipeline). Está evaluando el pentesting de IA, aunque primero quiere preparar los entornos adecuados para que los resultados sean significativos. Ha marcado la protección de dispositivos como una alta prioridad tras un incidente, enfocándose directamente en la brecha del navegador y las extensiones de IDE, donde no hay fijación de versiones ni consistencia en la que confiar. La auditoría de código de Aikido también está en la lista de cosas por probar. Ninguna de estas opciones está activa todavía.
Veredicto final
La accesibilidad proporcionó al equipo un filtro, la consolidación les ofreció un espacio de trabajo centralizado y los filtros reales les dieron una herramienta que realmente detiene el código con riesgos.
"El objetivo es lograr mejoras de forma gradual, y esa es la parte que más me gusta del producto".
