Este banco con licencia completa y proveedor de servicios de custodia de bitcoins incorporó Aikido y Zen a su consolidada infraestructura de seguridad, lo que le permitió reducir el ruido de vulnerabilidades en un 95 %, acortar las investigaciones de seguridad de horas a minutos y obtener visibilidad en tiempo de ejecución en más de 100 servicios.
De un vistazo
- Un 95 % menos de ruido en las vulnerabilidades, reduciendo 5880 hallazgos iniciales a 275 problemas relevantes
- De horas a minutos para la investigación y el análisis de seguridad
- Más de 100 servicios protegidos por Zen en entornos de ensayo y producción
- Casi todos los repositorios de código escaneados con Aikido
- Protección a nivel de aplicación contra ataques que superan las defensas perimetrales
- Safe Chain proporciona una barrera preventiva frente a paquetes recientemente comprometidos
Desafío.
Para Xapo Bank, la seguridad tiene un nivel de importancia inusualmente alto. Como banco con licencia completa y custodio de Bitcoin, Xapo protege activos donde las transacciones pueden ser irreversibles. Los socios confían al banco sus ahorros, mientras que los clientes institucionales realizan una exhaustiva diligencia debida en materia de seguridad antes de transferir activos a la plataforma.
Para Fabio Pires, director de operaciones de seguridad y seguridad de productos, esto hace que la seguridad sea fundamental para el negocio.
"Un fallo de seguridad para nosotros no es una interrupción del servicio, es el patrimonio de alguien. Por eso, la seguridad en Xapo no es un departamento, es el cimiento sobre el que se construye el producto".
A diferencia de muchas organizaciones que adoptan una plataforma de AppSec moderna, Xapo no partía de un programa de seguridad inmaduro. El banco ya había creado sus propias canalizaciones para el ciclo de vida de desarrollo de software seguro (SSDLC), orquestando pruebas de seguridad de aplicaciones estáticas (SAST), escaneo de secretos, análisis de composición de software (SCA), infraestructura como código y análisis en tiempo de ejecución en herramientas independientes. Los hallazgos se enriquecían con el contexto de la gestión de vulnerabilidades y el inventario de activos de Xapo, se asignaban responsables y se vinculaban a acuerdos de nivel de servicio (SLA). Una solicitud de incorporación de cambios no podía fusionarse una vez que una vulnerabilidad incumplía su SLA.
En el extremo, Cloudflare protegía la infraestructura de cara al público, mientras que los servicios internos operaban detrás de una red de confianza cero. Xapo incluso había creado sus propios sistemas de señuelos y respuesta automatizada.
Los controles de Xapo no eran el problema. Los diferentes escáneres producían formatos distintos y falsos positivos que debían reconciliarse, mientras que las puntuaciones de gravedad no estaban relacionadas con si un hallazgo era realmente explotable en el entorno de Xapo, y los agentes de tiempo de ejecución podían ver hosts y contenedores, pero carecían de contexto de la aplicación, como rutas, cargas útiles, flujos de datos o el comportamiento saliente esperado.
Ese último punto ciego cobró especial importancia para la seguridad de la cadena de suministro.
Los modelos de amenazas de Xapo planteaban repetidamente el mismo escenario: una dependencia de confianza se ve comprometida, se ejecuta dentro de un servicio legítimo y exfiltra datos silenciosamente a través de un tercero de reputación confiable.
Los controles perimetrales tradicionales se centran en gran medida en lo que entra en una aplicación. Sin embargo, en un compromiso de la cadena de suministro exitoso, la señal crítica puede ser lo que de repente empieza a salir de ella.
"Todo en esta industria está diseñado para inspeccionar lo que entra, pero la exfiltración es un problema de salida, y el único lugar con suficiente contexto para evaluar el tráfico saliente es la propia capa de aplicación".
Xapo quería abordar ambos lados de ese escenario: evitar que las dependencias maliciosas ingresaran al entorno, y asumir luego que la prevención eventualmente podría fallar para detectar comportamiento malicioso en tiempo de ejecución.
Solución
Xapo recurrió a Aikido como otra capa en una estrategia de defensa en profundidad ya madura. Cloudflare continuó protegiendo el edge. Aikido se encargó de la seguridad del código, las dependencias y los contenedores en todo el pipeline, operando cada área como una capacidad líder en su categoría en lugar de ser solo cobertura adicional, y hoy en día casi todos los repositorios de código de Xapo son analizados por las herramientas de Aikido.
Aikido Safe Chain añadió un filtro preventivo en toda la organización. Si un nuevo paquete se ve comprometido, Xapo no tiene que depender exclusivamente de descubrir dicha vulneración después de la instalación.
Zen, el firewall integrado en la aplicación de Aikido, añade la capa de tiempo de ejecución que faltaba dentro de las propias aplicaciones.
La distinción respecto a la seguridad perimetral era importante: evaluar una solicitud por su apariencia frente a rastrear lo que realmente hace dentro de la aplicación, siguiendo los datos desde su origen hasta su destino para determinar si una vulnerabilidad es realmente explotable.
“El perímetro solo puede juzgar una solicitud por su apariencia. Zen, el firewall integrado en la aplicación de Aikido, la juzga por lo que hace”.
Zen también proporciona a Xapo visibilidad de las conexiones salientes a nivel de cada servicio. El equipo puede establecer cómo es el comportamiento saliente normal e identificar cuándo un servicio empieza a comunicarse de repente con un nuevo destino, una señal importante si una dependencia legítima se ve comprometida.
Xapo sometió a Aikido a una exigente prueba de concepto.
El equipo de seguridad publicó sus propios paquetes npm maliciosos ficticios, envió payloads de ataque a Zen y documentó cada deficiencia encontrada. Lo que destacó no fue solo lo que el producto ya podía hacer, sino la rapidez con la que Aikido respondió cuando no podía.
Xapo tuvo acceso directo a los ingenieros de Aikido a través de un canal de Slack compartido. Los errores se resolvieron en cuestión de días o semanas, mientras que las capacidades solicitadas se convirtieron en compromisos contractuales con fechas de entrega.
La visibilidad y el bloqueo del tráfico saliente fueron una de ellas. Pasó de la lista de deseos de Xapo a un compromiso contractual y, posteriormente, al producto. Fabio describe ese nivel de capacidad de respuesta del proveedor como algo poco común.
Aikido también se integró con la infraestructura de seguridad que Xapo ya había construido en lugar de obligar al equipo a reemplazarla. Las API y los webhooks envían los hallazgos a la gestión de vulnerabilidades y automatización de Xapo, transformando los hallazgos en tickets y las detecciones en playbooks de respuesta sin necesidad de copiar y pegar manualmente.
Resultados
El impacto medible más claro es la cantidad de ruido de vulnerabilidades que el equipo de seguridad de Xapo ya no necesita investigar.
Aikido redujo 5.880 hallazgos iniciales a 275 incidencias relevantes, lo que supone una reducción del 95 % en falsos positivos y ruido.
La accesibilidad y otros factores contextuales permiten a Aikido determinar si los hallazgos representan un riesgo real antes de que lleguen al equipo. Sin ese contexto, Xapo afirma que habría tenido que crear sus propios mecanismos para comprobar si los componentes afectados realmente se estaban utilizando y suponían un riesgo, para luego validar manualmente los falsos positivos que generaban dichos mecanismos.
Eso le da al equipo de seguridad más tiempo para trabajar en problemas de seguridad reales en lugar de tener que demostrar qué hallazgos no importan.
La velocidad de investigación también ha mejorado. Los análisis que antes llevaban horas ahora pueden realizarse en unos pocos minutos.
Los incidentes en la cadena de suministro son un buen ejemplo. Antes, el equipo tenía que comprobar manualmente su inventario de activos y la lista de materiales de software (SBOM) recopilada, identificar dónde estaba presente una librería y verificar si la versión afectada exponía a Xapo a una vulnerabilidad recién divulgada.
Hoy en día, Aikido avisa al equipo cuando una librería de su entorno se ve afectada, mientras que Safe Chain añade un filtro preventivo en CI/CD. Los sistemas principales de Xapo están construidos en torno a un único lenguaje de programación, pero el equipo valora saber que Aikido investiga las vulnerabilidades emergentes en paquetes y las contrasta con la realidad de su propio entorno.
Zen se ha expandido ahora a más de 100 servicios en entornos de staging y producción, proporcionando a Xapo una visibilidad en tiempo de ejecución por servicio que antes no existía.
Esa capa adicional demostró su valor durante un ataque de escaneo real contra uno de los servicios de Xapo.
La primera oleada de peticiones maliciosas atravesó el perímetro antes de que se activara la limitación de velocidad. Zen las marcó de inmediato, con el contexto de la aplicación mostrando a qué servicio iba dirigida, qué ruta se había atacado, la carga útil utilizada y si la actividad era realmente explotable.
Lo que antes podría haberse convertido en una investigación a posteriori a través de logs pasó a ser una detección en tiempo real y de alta confianza.
"El contexto de runtime de Aikido convierte las alertas en respuestas. No pasamos horas preguntando '¿es esto real?'. Ya lo sabíamos".
Las defensas perimetrales de Xapo siguen gestionando lo que siempre han hecho. Zen añade una capa detrás de ellas, fortaleciendo la arquitectura en su conjunto.
El borde sigue gestionando el volumen y las clases amplias de ataques. Zen proporciona otra perspectiva desde el interior de la aplicación para todo lo que logre pasar. Mientras tanto, la inteligencia de dependencias y malware de Aikido y Safe Chain ayudan a reducir la probabilidad de que una dependencia comprometida llegue a la aplicación en primer lugar.
A continuación, la detección se integra directamente en la automatización propia de Xapo. Los hallazgos llegan con contexto de explotabilidad y pueden desencadenar acciones de respuesta automatizadas. Como explica Fabio, bloquear a un usuario malicioso puede ahora resolverse mediante una llamada a la API en lugar de en una sala de crisis.
El resultado es una arquitectura en la que la propia aplicación se ha convertido en otra capa de detección.
Veredicto final
Xapo no buscaba otra herramienta perimetral. Más herramientas perimetrales no habrían cerrado esa brecha. Lo que lo hizo fue el contexto, el tipo de contexto que los controles existentes de Xapo no podían proporcionar.
"Aikido transformó nuestras aplicaciones, pasando de ser nuestro mayor punto ciego a formar parte de nuestra superficie de detección, y Zen significa que cualquier cosa que se cuele por el perímetro aún tiene que superar una capa que comprende la propia aplicación".
Para un banco donde la confianza es fundamental para el producto, esa capa adicional cierra una brecha importante entre la prevención y la respuesta.
