Auf einen Blick
- Aikido Device Protection für ca. 1.000 Lizenzen, aufgeteilt auf Engineering- und nicht-technische Teams
- Eine Weiterentwicklung von Aikido Safe Chain, das Deriv bereits in GitHub-Pipelines verwendete
- Eine vollständige Software-Stückliste (SBOM) für jedes geschützte Gerät, durchsuchbar über die API von Aikido
- Kritische CVE-Fixes, die die 48-Stunden-Mindestlaufzeit für Pakete überspringen
- Geräteschutz-Benachrichtigungen, die in den eigenen Untersuchungs-Workflow von Deriv integriert sind
- Erweiterung der Abdeckung auf weitere Betriebssysteme im Zuge der Bereitstellung von Support
KI-Coding-Assistenten können jedes beliebige Paket aus einer öffentlichen Registry abrufen
Deriv bietet rund um die Uhr Handel mit Forex, derivativen Indizes, Aktien, Aktienindizes, Rohstoffen, Kryptowährungen und ETFs an – mit der Mission, den Handel für jede*n und überall zugänglich zu machen.
Da es sich bei Deriv um eine Finanzplattform handelt, betrachten David Usher (VP of Security Engineering) und sein Team die Sicherheit als oberste Priorität. Ein Großteil dieser Arbeit konzentriert sich auf die Software-Lieferkette. Das Team setzt KI auf beiden Seiten dieses Bereichs ein: für Angriffstests und für die Verteidigung.
Deriv beschäftigt über 300 Entwickelnde, von denen jede*r jederzeit ein Paket aus einer öffentlichen Registry abrufen kann. Mehr noch: Ihre KI-Coding-Assistenten wie Cursor und Claude Code tun dies inzwischen ebenfalls ständig.
"Wir müssen sicherstellen, dass diese Pakete keine Schadsoftware enthalten. Daher ist ein Schutzmechanismus von größter Bedeutung."
Deriv hatte bereits eine erste Ebene implementiert. Vor dem Kauf eines kommerziellen Produkts nutzte das Team Aikido Safe Chain – den Open-Source-Wrapper, der Pakete vor der Installation durch einen Paketmanager auf Malware prüft – in seinen GitHub-Pipelines und auf seinen Geräten. David gibt an, dass dies hervorragende Arbeit geleistet hat, die Transparenz jedoch eine Lücke darstellte: Das Team konnte nicht alles sehen, was bereits auf den einzelnen Geräten installiert war.
Prävention auf jedem Gerät
Für David ging Device Protection über den Ansatz von Safe Chain hinaus, indem Malware direkt auf dem Gerät verhindert wird. Deriv setzt es nun auf rund 1.000 Geräten mit verschiedenen Betriebssystemen ein. Dies verschafft dem Sicherheitsteam einen Überblick über jedes registrierte Gerät und die darauf laufenden Versionen. Jedes Gerät meldet zudem seine Software-Stückliste (SBOM), ein Inventar der über die Ökosysteme hinweg installierten Pakete.
"Wir können die vollständige SBOM für jedes Gerät einsehen, was uns zusätzliche Einblicke darüber gibt, welche Pakete sich auf den Geräten befinden."
Das Team testet die Einrichtung regelmäßig mit den Testpaketen, die Aikido für unterstützte Ökosysteme bereitstellt. David hat zudem eine automatisierte Benachrichtigung eingerichtet: Wenn Device Protection verhindert, dass Schadsoftware in das Unternehmen gelangt, untersucht das Security-Operations-Team von Deriv umgehend, was zu dem Installationsversuch geführt hat.
Warum ein Agent auf dem Gerät die Evaluierung gewonnen hat
Deriv hat sich vor der Auswahl von Aikido auch andere Tools angesehen, aber Aikido betreibt einen Agenten auf jedem Gerät. David sah dieses Design als schwieriger zu umgehen an als die zentralisierten Ansätze, die Deriv geprüft hatte. Zudem bietet es dem Sicherheitsteam den nötigen Kontext, wenn ein Vorfall auftritt.
"Wenn ein Alarm ausgelöst wird, ist es sehr wichtig zu verstehen, wer was, wo und wann getan hat. Dann können wir sofort Nachforschungen anstellen und sicherstellen, dass wir alles andere eindämmen, was möglicherweise auf diesem Gerät vor sich geht."
Retrospektive Prüfungen und kritische Patches, die nicht warten
David nutzte das Geräteinventar, um nach alten Paketen zu suchen, die seit der Rollout-Phase noch auf Maschinen lagen, was er als sehr beruhigend empfand. Zudem dient es als Grundlage für retrospektive Prüfungen. Aikido Intel erkennt neue Malware schnell, und wenn ein Paket nach seiner Veröffentlichung als Malware eingestuft wird, prüft die Automatisierung von Deriv, ob sich diese Version auf dem Rechner von irgendjemandem befindet.
Device Protection sorgt zudem dafür, dass dringende Patches schnell eingespielt werden. Die Mindestlaufzeit für Pakete hält neu veröffentlichte Versionen standardmäßig für 48 Stunden zurück, wodurch Angriffe durch frisch veröffentlichte Malware blockiert werden. Wenn eine neue Version eine kritische CVE behebt, lässt Device Protection diese nun unter Berücksichtigung von Kontrollen sofort passieren. Dies geschieht automatisch und nur für diese Version, sodass das Team von Deriv nichts konfigurieren muss.
"Man muss nicht zwei Tage warten, bevor man eine kritische CVE patchen kann. Das ist der Punkt."
Diese Ausnahme kam in den eigenen Gesprächen zwischen Deriv und Aikido zur Sprache. David reicht Anfragen über einen gemeinsamen Support-Channel mit dem Team von Aikido ein und verzeichnet seit dem Start von Deriv mindestens zwei neue Ökosysteme, die hinzugekommen sind, darunter Homebrew- und Linux-Support.
"Viele andere Unternehmen reagieren oft sehr träge. Sie setzen es auf die Roadmap und schauen in sechs Monaten noch einmal nach – zu diesem Zeitpunkt ist es dann aber zu spät und wir sind längst weitergezogen."
Abdeckung über die Entwicklung hinaus
Deriv verteilt seine Lizenzen für Device Protection auf Entwicklungsteams und nicht-technische Teams.
"Nicht-technische Teams werden immer versierter und jeder nutzt KI für seine tägliche Arbeit. Daher ist es enorm wichtig, Aikido im gesamten Unternehmen im Einsatz zu haben."
Jeder könnte versuchen, etwas zu installieren, das nicht genehmigt ist. Dafür verfügt Deriv über weitere Kontrollen, und dasselbe Geräteinventar hilft auch bei der Compliance. Um noch mehr seiner Maschinen in dieses Inventar aufzunehmen, weitet Deriv Device Protection nun auf weitere Betriebssysteme aus, seit Aikido diese unterstützt.
Gemeinsame Arbeit am Supply-Chain-Problem
David betont, dass keine Lösung perfekt ist. Was er schätzt, ist ein Anbieter, der im Tempo von Deriv mithält. Deriv setzt auf KI, um schnell zu liefern, und er sieht dieselbe Geschwindigkeit auch in den Reaktionen von Aikido:
"Es fühlt sich an, als würden wir Hand in Hand daran arbeiten, das Produkt und auch das Problem der Supply-Chain-Sicherheit zu verbessern."
