Auf einen Blick
- Konsolidiert SCA, SAST und Container-Scanning in einer Plattform
- In wenigen Wochen über 100 Repositories hinweg mit einem Engineer integriert
- Unterstützt 100 Entwickelnde über GitLab, GitHub und Azure DevOps hinweg
- Bietet mehrsprachigen AppSec-Support für F#, Rust, C++, C#, Python, React/Typescript
- Ermöglicht frühere Fehlerbehebungen durch Merge-Request-Workflows
- Fördert AutoStores Secure Software Development Lifecycle (SSDLC) mit umsetzbaren Erkenntnissen
- Wählte Aikido Security gegenüber Black Duck und Endor Labs
Herausforderung
AutoStores Engineering-Organisation war gewachsen und hatte sich diversifiziert, mit fast 100 Entwickelnden, die weltweit in vielen Sprachen, Codebasen und Büros arbeiteten. Während einige Teams starke Sicherheitspraktiken hatten, verließen sich andere auf inkonsistente Prozesse oder veraltete Workflows, was zu einer ungleichmäßigen Abdeckung führte. Als das Unternehmen seine cloud-native Entwicklung ausbaute, wurden diese Lücken schwieriger zu handhaben.
Der Engineering Manager und CISO machten sich daran, AutoStores Secure Software Development Lifecycle (SSDLC) zu stärken und Klarheit und Konsistenz in den Umgang mit Sicherheit im gesamten Unternehmen zu bringen.
AutoStore benötigte eine Plattform, die vollständige AppSec-Transparenz über Legacy- und Cloud-native Repositories hinweg bieten, seinen vielfältigen Tech-Stack unterstützen und sich direkt in GitHub, GitLab und Azure DevOps integrieren lässt.
„Wenn 100 Entwickelnde oder 10 Teams Dinge selbst erledigen, gibt es natürlich einige gute und andere weniger gute Praktiken“, sagte Vegard Syre Aaker, Security Software Engineer bei AutoStore.
Derweil konnten Open-Source-Risikoprozesse, die historisch um C++-Systeme herum aufgebaut waren, nicht skaliert werden, um moderne Entwicklungsumgebungen zu unterstützen.
“Wir suchten ein Sicherheitstool, das all unsere Programmiersprachen abdecken und mit GitHub, GitLab und anderen Systemen zusammenarbeiten konnte. Unsere Repositories sind sehr unterschiedlich, daher war das nicht einfach. Aikido war eines der wenigen Tools, das alles unterstützen konnte, was wir brauchten.”
Eine von Entwickelnden geführte Auswahl
Vegards frühere Erfahrung als Entwickler prägte die Evaluierung von AutoStore. Das Team benötigte eine AppSec-Plattform, die Entwickelnde tatsächlich nutzen würden und die sich reibungslos in bestehende Workflows integrieren ließ.
„Ich habe versucht, ein Tool zu finden, von dem ich wusste, dass es die Entwickelnden stärken könnte. Etwas, das sie tatsächlich annehmen und das sich gut in unsere Prozesse integrieren lässt.“
Diese entwickelnden-zentrierte Anforderung stimmte stark mit Aikidos Ansatz überein.
Lösung
AutoStore evaluierte Aikido zusammen mit Endor Labs, Black Duck und Open-Source-Tools. Aikido zeichnete sich durch seine intuitive Bedienung, den mehrsprachigen AppSec-Support und die Fähigkeit aus, mehrere Sicherheitsfunktionen in einer Plattform zu vereinen.
“Während des Proof of Concept gefiel uns die einfache und intuitive Benutzeroberfläche. Wir haben uns auch für Aikido entschieden, weil es einfach zu integrieren war und viele Sicherheitstools in einer Suite mit einem Dashboard enthielt.”
Aikido unterstützte jede gängige Sprache und bot sowohl direkte Integrationen als auch lokales Scanning für komplexe C++-Bibliotheken. Während GitHub und Azure DevOps bereits früher im Prozess reibungslos integriert wurden, zeigte der GitLab-Rollout die Skalierbarkeit der Plattform:
„Der Großteil der GitLab-Integration wurde von einem Security Engineer mit wenig Unterstützung in nur wenigen Wochen durchgeführt. Dies umfasste etwa 100 Repositories und 100 Entwickelnde.“
Aikidos schneller Support und seine Flexibilität trugen zur Geschwindigkeit der Bereitstellung bei.
“Die meisten Probleme während der Integration und des Rollouts wurden schnell gemeinsam mit Aikido gelöst, und sie sind flexibel, bei Bedarf Änderungen an ihrer Software vorzunehmen.”
Warum AutoStore Aikido wählte
AutoStore wählte Aikido, weil es:
- Unterstützt jede gängige Sprache im Einsatz, einschließlich C++, Rust und F#
- Integriert sich direkt mit GitHub, GitLab und Azure DevOps
- Konsolidiert SCA, SAST und Container-Scanning in einer Plattform
- Bietet Entwickelnden-zentrierte Workflows und Merge-Request-Transparenz
- Liefert umsetzbare Ergebnisse, die Rauschen reduzieren und die Priorisierung leiten
Ergebnisse
Aikido bietet nun eine konsistente Übersicht über Schwachstellen über alle Teams und Repositories hinweg.
„Entwickelnde und Security Engineers haben jetzt eine viel bessere Sichtbarkeit von Risiken und Schwachstellen. Ich bin sicher, dass dies die Sicherheit unserer Anwendungen im Laufe der Zeit verbessern wird.“
Die Merge-Request-Workflows von Aikido helfen, Probleme früher zu erkennen und die Beteiligung der Entwickelnden zu verbessern.
„Wenn es als Kommentare in Merge Requests vorhanden ist und diese potenziell blockiert, wird dies dazu beitragen, die Sicherheit der Anwendungen im Laufe der Zeit zu verbessern.“
Aikido ermöglichte es AutoStore auch, neu offengelegte Schwachstellen schnell zu validieren. Als sein SOC-Anbieter ein neues Abhängigkeitsproblem meldete, hatte Aikido bereits eine Analyse verfügbar.
„Ich habe Aikidos Blogbeitrag geprüft und sah, dass Sie diese Schwachstelle bereits seit einigen Tagen verfolgt hatten. Ich konnte schnell prüfen, ob unsere Codebasis betroffen war.“
Wie AutoStore die Nutzung von Aikido erweitert
Wird bereits verwendet
Planung der Einführung
Als Nächstes in der Evaluierung
„Wir werden AI Penetration Testing an einer unserer Anwendungen testen. Es könnte unser externes Penetration Testing potenziell teilweise ersetzen.“
Aikido als die umsetzbarste Schicht des SSDLC
Vegard betont, dass ein sicherer Entwicklungslebenszyklus viele Komponenten umfasst, wie Risikomanagement, Threat Modeling und Penetrationstests. In der Praxis wurde Aikido der umsetzbarste Teil des Frameworks.
„Der Rest der Organisation konzentriert sich sehr auf Aikido, weil es umsetzbar ist. Es ist viel umsetzbarer im Vergleich zu anderen Themen, die vager sind.“
Klare Schritte, schnelle Transparenz und entwickelndenorientierte Workflows ermöglichen Teams, die Sicherheit kollaborativ zu stärken.
„Wenn ich es noch einmal machen würde, hätte ich wahrscheinlich ziemlich schnell ein Security-Tool gewählt und darauf aufgebaut.“
Fazit
„Aikido liefert ein fokussiertes Produkt, das Engineering-Teams befähigt, Schwachstellen effektiv zu verwalten. Sie haben die Benutzerfreundlichkeit klar priorisiert, was das Schwachstellenmanagement zugänglich und umsetzbar macht.“
