Wie die Entwickler von Codafication lernten, ihren Sicherheitsbefunden wieder zu vertrauen – mit Aikido

Auf einen Blick

• Aikido ersetzte eine ganze Reihe von Open-Source-Sicherheitstools, die das Team mit Fehlalarmen überhäuften
• Entwickler betrachten die Ergebnisse von „ Aikido “ mittlerweile als eine Arbeitsliste mit tatsächlichen Problemen, die behoben werden müssen.
• Pull-Anfragen mit „One-Click AutoFix“ gelangen über die Codafication-eigene Review-Pipeline innerhalb weniger Minuten in den Arbeitszweig.
• Als ein Kunde während eines Angriffs auf die Lieferkette um eine Bestätigung bat, lieferte ein Link zum Dashboard von „ Aikido “ die Antwort

Ein Open-Source-Stack hatte die Sicherheit zu einem Problem der Datenmenge gemacht

Codafication, ein Versicherungssoftware-Unternehmen aus Brisbane, sichert den Code seiner Schadenbearbeitungsplattform mit „ Aikido “, nachdem es eine Reihe von Open-Source-Sicherheitstools ersetzt hat, die seine eigenen Entwickler zusammengestellt hatten.

Curtis Wilkinson, CTO, leitet alle technischen Bereiche bei Codafication – vom Sicherheitspersonal über die Cloud-Infrastruktur bis hin zu Qualitätssicherung, Entwicklung und Produktmanagement. Das 2015 gegründete Unternehmen Codafication entwickelt Schadenbearbeitungssoftware, die von den meisten großen australischen Versicherern zur Abwicklung von Reparaturen bei Sach- und Hausratschäden eingesetzt wird. Das Hauptprodukt des Unternehmens besteht aus 70 bis 80 einzelnen Komponenten.

Vor der Einführung von „ Aikido “ führte das Team in seiner CI/CD-Pipeline „ container “-Prüfungen durch, nutzte das Tool „ SAST “ und speiste die Ergebnisse der „ SBOM “-Generierung in einen Open-Source-Tracker ein. Die Konfiguration funktionierte genau wie vorgesehen, doch der damit verbundene manuelle Aufwand war mittlerweile zu groß geworden, um ihn noch bewältigen zu können. Es gab eine Vielzahl von Fehlalarmen, ohne dass diese durch Deduplizierung, Gruppierung, automatische „ triage “ oder „ Erreichbarkeitsanalyse “ gefiltert wurden.

„Es wurde ein Fehler gemeldet, und man fragte sich: ‚Was ist das denn überhaupt?‘ Man googelte es, und es stellte sich heraus, dass es sich um irgendeine seltsame Adobe-Sache aus dem Jahr 1925 handelte. Man war fast überrascht, dass es sich tatsächlich um ein echtes Problem handelte.“

Um ein einzelnes tatsächliches Problem zu bestätigen, musste man manuell überprüfen, ob der Code die betroffene Funktion überhaupt verwendete. Da nichts davon mit Jira verknüpft war – der Plattform, auf der das Team arbeitet –, musste für jedes Ticket an zwei Stellen kopiert, eingefügt und aktualisiert werden. Jede Verbesserung hätte zudem zusätzliche Entwicklungszeit gekostet.

„Unsere Aufgabe als Unternehmen besteht nicht darin, eine eigene Sicherheitsmanagement-Plattform für unseren gesamten Stack aufzubauen.“

Eine Liste der Fehler, die das Team tatsächlich behebt

Aikido Dies fließt nun in das laufende Sanierungsprogramm von Codafication ein, und als Erstes wurde die Liste der Befunde angepasst. Durch Deduplizierung und die Gruppierung von Problemen werden die Befunde aller Produktkomponenten in einer einzigen Ansicht zusammengefasst, die zeigt, an welchen Stellen jeweils ein Problem auftritt und welches Team es beheben soll.

Das Team führte außerdem das KI-Code-Sicherheitsaudit von Aikido – Teil von KI-Codeanalyse – für den Großteil des Codes hinter seiner Plattform durch. Der Durchlauf dauerte 14 Stunden, und das Team hat in den Ergebnissen bislang noch kein Fehlalarm gefunden. Dadurch ließen sich die Ergebnisse leicht umsetzen: Sie landeten direkt ganz oben auf der Roadmap für Korrekturmaßnahmen, und die Entwickler behoben und integrierten 39 davon in etwa sechs Wochen. Curtis gewährte den Entwicklern Zugriff und bat sie um ihre Einschätzung.

„Der Kommentar lautete: Wow, das ist echtes Material. Alles hier sollte als ein Problem betrachtet werden, das wir lösen müssen, und nicht als eine Liste von wahrscheinlich nutzlosen Dingen.“

Etwa drei von vier AutoFix-Pull-Requests werden ohne eine einzige Änderung durch das Team zusammengeführt. Aikido erstellt den Pull-Request, die internen Prüfer von Codafication bewerten ihn, und er wird zur endgültigen Freigabe weitergeleitet, wobei er in der Regel in weniger als 10 Minuten in den Arbeitszweig gelangt. Curtis spürte den Unterschied, als die erste Welle von AutoFix-Pull-Requests eintraf und er die Liste selbst abarbeitete. Jede Korrektur hätte ihn manuell eine halbe bis zwei Stunden gekostet.

„Es ist jetzt auf einen einzigen Mausklick reduziert worden.“

Dank der Jira-Integration sind die Ticket-Status nun an einem Ort zusammengefasst. Curtis kann durch die Liste scrollen und sehen, welcher Entwickler für die jeweilige Fehlerbehebung zuständig ist und welcher Tester sie übernommen hat; außerdem werden Sicherheitskorrekturen in den Sprint-Berichten angezeigt. Wann immer bei der Einrichtung Fragen auftauchten, wandte sich das Team direkt an die technischen Mitarbeiter von Aikido in einem gemeinsamen Kanal.

„Sie waren äußerst hilfsbereit und sehr kooperativ. Es gab kein Hin- und Her-Schieben der Verantwortung. Die Leute, die die Probleme tatsächlich beheben konnten, waren direkt im Chat dabei.“

Warum sich Codafication für … entschieden hat Aikido

• Eine überzeugende erste Erfahrung mit „ Aikido “ – Safe Chain, dem kostenlosen Tool, das schädliche Open-Source-Pakete bereits vor der Installation blockiert und den Ausgangspunkt für den Geräteschutz von Aikido bildet. Es handelt sich um das Tool, das das Team auf allen Entwicklergeräten bereitgestellt hat, als npm- Lieferkettenangriffe nacheinander das Ökosystem überschwemmten.
• Aikidodie Bedrohungsforschung von [Name], die bereits unter den Quellen auftauchte, auf die sich das Team bei seiner eigenen Arbeit stützte Bedrohungsaufklärung
• Ein Proof-of-Concept, mit dem das Team die Funktionen erkunden und auswählen konnte, welche zuerst aktiviert werden sollten

„Wir hatten gute Erfahrungen mit Safe Chain gemacht und wussten, dass Aikido ein gutes Unternehmen ist. Da lag es nahe, uns einmal anzuschauen, was sie zu bieten haben.“

Aikido hatte die Antwort schon, bevor der Kunde fragte

Die Kunden von Codafication sind in einer regulierten Branche mit sehr geringer Risikotoleranz tätig. Aus diesem Grund verfolgen sie die „ Lieferkettenangriffe “ sehr genau. Sobald ein größeres Ereignis eintritt, hagelt es E-Mails und Anrufe.

Bei einem der jüngsten Angriffe war Curtis geschäftlich unterwegs. Das Account-Team von Aikido veröffentlichte einen Link zum Dashboard im gemeinsamen Kanal. Auf den ersten Blick war ein grünes Häkchen zu sehen: Codafication war nicht betroffen. Innerhalb einer halben Stunde erhielt Codafication eine E-Mail von einem Kunden, in der dieser um eine Bestätigung bat, dass das Produktionssystem des Unternehmens nicht beeinträchtigt worden sei.

„Es war viel einfacher, einfach ‚Ja‘ zu sagen.“

Vor „ Aikido “ hätte Curtis auf die nächste geplante Überprüfung gewartet – je nach Zeitpunkt ein paar Stunden –, bevor er antworten konnte. Diesmal hatte er die Antwort bereits, noch bevor der Kunde überhaupt gefragt hatte.

Wie Codafication „ Aikido “ heute einsetzt

„Wir nehmen nach und nach verschiedene Teile von Aikido in Betrieb. Zum Großteil handelt es sich dabei um den Ersatz von handprogrammierten Funktionen, teilweise aber auch um ganz neue Funktionen.“

• Pull-Request-Prüfungen als primäre Sicherheitskontrolle für interne Repositorys für Tools, Automatisierung und Infrastruktur
• AutoFix und proaktive Zweigprüfungen in den Haupt-Produkt-Repositories
• Sicherheitsprüfung des KI-Codes, durchgeführt für den Großteil des Codes hinter der Schadenbearbeitungsplattform
• Prüfung der Codequalität sowie Nachverfolgung der Codeabdeckung
• Jira-Integration zur Bereitstellung von Berichten zur Sprint-Entwicklung
• Domain-Überwachung, deren erste Ergebnisse mit zwei bekannten Problemen aus dem letzten externen Penetrationstest-Bericht übereinstimmten
• Weiter: Zugriff auf das „ container “-Repository sowie ein KI-Penetrationstest, der denselben Umfang wie der zweimal jährlich durchgeführte externe Penetrationstest abdeckt, um die Ergebnisse zu vergleichen

Fazit

„Wir hatten schon immer Tools, die jeweils einen bestimmten Bereich abdeckten. Es gab jedoch nichts, was alle Aspekte so zusammenfasste, dass man den Überblick behalten und erkennen konnte, ob wir alles im Griff haben.“

​