Auf einen Blick
- Aikido direkt mit dem Quellcode in GitHub, GitLab und Azure DevOps verbunden, wobei der Scan sofort beginnt und keine Pipeline orchestriert werden muss
- Sicherheitsabdeckung für jedes Team im Unternehmen bereitgestellt, einschließlich Teams, die durch Übernahmen hinzukommen
- Die Prüfung auf Zero-Day-Exposition im gesamten Bestand auf Sekunden verkürzt
- Entwickelnde sich mit ihrem bestehenden Quellcode-Steuerungskonto selbst onboarden und ihre eigenen Probleme lösen lassen
- Funde, einschließlich Problemen in Container, bis zur genauen Datei im Repository zurückverfolgt
- Ohne aufwendige Migration von Black Duck wegwechselt
- Einen KI-Agenten auf Basis der Aikido-API entwickelt, der den Bestand durchsucht und einen fertigen Bericht liefert
Sicherheit im Gleichschritt mit der KI-Entwicklung halten
NiCE entwickelt Software für Kundenerlebnisse und Finanzkriminalität für mehr als 25.000 Unternehmen in über 150 Ländern. Das 1986 gegründete und an der NASDAQ gelistete Unternehmen betreibt eine Engineering-Organisation aus mehreren tausend Entwickelnde, die auf viele Produkte verteilt ist, und dieser Bestand wächst durch Übernahmen ständig weiter.
Matan Keret ist seit rund 16 Jahren bei NiCE tätig und hat den Weg vom Softwareentwickler zum Principal Architect beschritten. Er leitet die Sicherheit für die Engineering-Organisation und fasst die Aufgabe im Zeitalter der KI in einem einzigen Satz zusammen.
"Im Zeitalter der KI müssen wir unseren Teams ermöglichen zu arbeiten, als gäbe es keine Sicherheitsbedenken, während wir gleichzeitig alles unter Kontrolle und abgesichert halten."
Diesen Anspruch bei der Unternehmensgröße von NiCE zu erfüllen, ist der schwierige Teil. Die Skalierung jeglicher Praxis über mehrere tausend Entwickelnde hinweg ist schwierig, die der Sicherheit ganz besonders.
Die Herausforderung
Ergebnisse zu erzielen bedeutete, alles zu orchestrieren
Das bisherige Tool von NiCE war Black Duck. Um Ergebnisse zu erhalten, mussten Scans orchestriert und alles durch Pipelines geleitet werden, bevor überhaupt etwas sichtbar wurde. Für ein Unternehmen von der Größe von NiCE war es fast undurchführbar, dies für einen Toolwechsel alles neu zu orchestrieren, weshalb viele Großunternehmen bei einem Tool bleiben, das nicht mehr passt.
Die Lücke zeigte sich vor allem bei einem Zero-Day
Die Kosten waren am deutlichsten, wenn eine neue Schwachstelle bekannt wurde. Das Team konnte nicht schnell bestätigen, welche Gruppen überhaupt abgedeckt waren, da das Onboarding jeder Gruppe in das alte Tool Zeit und manuellen Aufwand erforderte. Jede Akquisition machte es schwieriger, den Überblick zu behalten.
Warum sich NiCE für Aikido entschieden hat
Ein proaktiver Wechsel, keine Rettungsaktion
Dies war keine Rettungsaktion. NiCE war nicht unzufrieden mit Black Duck. Der Vertrag lief aus, das Team wechselte in die KI-Entwicklung und nach drei Jahren mit demselben Tool beschlossen sie, sich anzusehen, was sonst noch auf dem Markt ist.
"Der Vertrag lief aus und wir dachten, es gäbe inzwischen wahrscheinlich neuere, bessere Dinge. Also haben wir uns umgesehen."
Ergebnisse, denen das Team vertrauen konnte
Im Proof of Concept verglich das Team die Ergebnisse von echten Repositories – eines cloudbasierten und eines eher on-premise –, und bewertete die Genauigkeit von Aikido höher als beim bisherigen Tool. Malware wird in einer eigenen Ansicht angezeigt, anstatt mit allem anderen vermischt zu werden, und End-of-Life-Komponenten werden deutlich markiert; beides konnte das vorherige Tool nicht gut.
Ein Produktteam, das schnell handelte
Das Team hinter dem Produkt stach genauso hervor wie das Produkt selbst.
"Das Team selbst hat mich überrascht. Wir haben einen Kanal geöffnet, und wenn wir Probleme fanden, wurden diese anerkannt und sehr schnell behoben. Das ist auf einem anderen Niveau."
Direkte Verbindung zu den Repositories
Aikido verbindet sich direkt mit den Quell-Repositories in GitHub, GitLab und Azure DevOps, und das Scannen beginnt sofort. Diese Änderung machte das Tool für die Skalierung von NiCE praktikabel, da sie den Orchestrierungsaufwand beseitigte, der einen Wechsel unmöglich erscheinen ließ.
Da Abhängigkeiten aus den tatsächlichen Projektdateien gelesen werden, kann das Team jeden Fund bis zum genauen Ursprung zurückverfolgen. Matan beschreibt, wie er einem Entwickelnden antwortete, der ein Ergebnis anzweifelte.
"Jemand sagt, er glaube nicht, dass wir eine Bibliothek nutzen. Ich öffne das Repository, klicke auf die Erreichbarkeitsanalyse und sie zeigt die genaue Datei auf GitHub. Ich kann ihnen sagen: Nein, sie ist hier, in Ihrem Repository. Sie kommt von nirgendwo sonst."
Container werden genauso behandelt. NiCE betreibt die meisten seiner Container auf ECR in AWS, und die Verknüpfung mit den Quell-Repositories macht es einfach zu sehen, wo ein Problem in einem Container tatsächlich liegt. Beim vorherigen Tool wurden Basis-Images und die eigenen Images der Teams zusammen gescannt und vermischt, sodass die Teams nicht erkennen konnten, was sie selbst beheben mussten. Die Verbindung zu den Repositories trennte beides.
Entwickelnde, die das Onboarding selbst durchführen
Das Onboarding folgt demselben Muster. Entwickelnde melden sich mit ihrem bestehenden Quellcode-Konto an, sehen ihre Repositories und kümmern sich um ihre eigenen Probleme, ohne auf die Freigabe von anderen warten zu müssen. Bei der Teamgröße von NiCE war es wichtig, diese Abhängigkeit zu beseitigen.
Übersichtlichere Funde, auf die das Team reagieren kann
Die Genauigkeit aus dem Proof of Concept übertrug sich in den täglichen Gebrauch. Da ein Fund mit der tatsächlichen Datei und Version verknüpft ist, erfordert er weniger Rätselraten, und Funde mit geringem Wert und Risiko werden automatisch ignoriert, wodurch sich das Team auf das Wesentliche konzentrieren kann.
Einen Zero-Day in Sekunden beantworten
Die deutlichste Veränderung zeigt sich, wenn eine neue Schwachstelle auftritt. Das Team hat einen KI-Agenten auf Basis von Aikido entwickelt, der das gesamte System durchsucht, auf die verbundenen Quellcode-Verwaltungen zugreift und einen fertigen Bericht ausgibt.
"Wenn ein Zero-Day auftritt, können wir jeden Workspace in Sekunden durchsuchen und wissen genau, wo wir exponiert sind – falls wir überhaupt exponiert sind. Diese Transparenz hatten wir vorher nicht."
Dieses Vertrauen erstreckt sich auch auf Akquisitionen. Wo das alte Tool das Team noch vor die Unmöglichkeit stellte, zu bestätigen, ob eine neue Gruppe abgedeckt war, ist die Absicherung nun ohne manuelles Nachfassen gegeben.
Wohin sich NiCE als Nächstes entwickelt
NiCE setzt auf Aikido für Software-Kompositionsanalyse, Container-Scanning, Lizenz-Scanning, Malware- und End-of-Life-Erkennung, Erreichbarkeitsanalyse, AutoTriage sowie den Zugriff über die API und den MCP-Server, und jedes Produkt behauptet sich in seiner Kategorie.
Der naheliegendste nächste Schritt ist KI-gestütztes Arbeiten. Das Team möchte, dass jede*r Entwickelnde über den MCP-Server von ihrem*seinen Coding-Agenten aus auf Aikido zugreift, sodass Code direkt bei seiner Erstellung überprüft wird. Zudem wird ein Power-BI-Dashboard auf Basis der Aikido-API erstellt, um unternehmensweit Berichte zu erzeugen. Das Cloud-Postur-Management, EPSS-Scoring, SLA-Tracking und der Geräteschutz werden derzeit evaluiert.
Fazit
Matans Rat an andere große Unternehmen ist direkt.
"Wenn Sie herkömmliche Tools nutzen und die Gelegenheit haben, sich umzusehen, machen Sie einen ordentlichen Vergleich. Sie werden vielleicht überrascht sein, was Sie finden."
Auf die Auswirkungen auf NiCE angesprochen, beschränkte er sich auf das, was das Tool von Anfang an leisten sollte.
"Es hat uns geholfen, unsere KI-Entwicklungs-Workflows wesentlich sicherer zu machen und unsere Sicherheitslage für alle unsere Produkte zu verbessern."
