Auf einen Blick
- Keine Lücke in der Scan-Abdeckung beim Wechsel von früheren Anbietern und Tools
- Mithilfe von „ Erreichbarkeitsanalyse “ wurden Zehntausende von Ergebnissen auf die wenigen wirklich wichtigen eingegrenzt
- Im Rahmen des Proof-of-Concept wurde die Genauigkeit von „ Aikido “ höher bewertet als die des vorherigen Tools.
- Während der Migration wurde ein lückenloser Prüfpfad für Wirtschaftsprüfer und Aufsichtsbehörden geführt
- Legen Sie jedem Entwickler ein einzelnes, übersichtliches Ticket vor, anstatt eine Liste mit unbearbeiteten Befunden.
- Arbeitet direkt über Slack mit dem „ Aikido “-Team zusammen – mit Fehlerbehebungen noch am selben Tag und schnellen Antworten
Sich durch eine Flut von Erkenntnissen kämpfen
Revolut ist ein globales Fintech-Unternehmen, das 2015 gegründet wurde und seinen Hauptsitz in London hat. Es ist mittlerweile in 40 Ländern tätig und erweitert sein Produktangebot jedes Quartal um neue Produkte. Die Entwicklungsabteilung umfasst mehr als 2.500 Entwickler, und die Sicherheit eines Systems, das sich so schnell weiterentwickelt – über die Anwendungsschicht, die Cloud, das Netzwerk und die KI hinweg –, ist ein sich ständig veränderndes Ziel.
Arsalan Ghazi ist Leiter der Anwendungssicherheit bei Revolut, wo seine Aufgabe darin besteht, die Kundendaten des gesamten Unternehmens zu schützen. In „ Software-Kompositionsanalyse “ beschreibt er das Kernproblem in einem Satz.
„SCA ist eine wahre Fundgrube an Forschungsergebnissen. Jeden Tag und jede Woche kommen Hunderttausende hinzu, und da KI den Forschern hilft, noch mehr in Open-Source-Quellen zu finden, vervielfachen sich die Zahlen wie nie zuvor.“
Das Schwierige ist nicht, Schwachstellen zu finden. Das Schwierige ist, zu wissen, welche davon von Bedeutung sind.
Die Herausforderung
Ein Dammbruch, der sich immer weiter ausbreitet
SCA liefert Ergebnisse in einem Umfang, den kein Team manuell triage bewältigen kann, und die KI beschleunigt diesen Prozess noch, da Forscher immer mehr Probleme in Open-Source-Projekten aufdecken. Ohne eine Möglichkeit, die ausnutzbaren Schwachstellen vom Rauschen zu trennen, verbringt ein Sicherheitsteam seine Zeit damit, zu sortieren, anstatt Probleme zu beheben.
Eine Migration, bei der eine regulierte Bank nichts falsch machen darf
Da Revolut bereits ein „ SCA “-Tool einsetzte, bedeutete die Umstellung auf „ Aikido “ einen vollständigen Anbieterwechsel und keinen Neuanfang. Für ein reguliertes Fintech-Unternehmen bedeutet dies, die internen Automatisierungsprozesse neu aufzubauen, die Dokumentation zu aktualisieren und gegenüber Wirtschaftsprüfern und Aufsichtsbehörden nachzuweisen, dass die Scan-Abdeckung zu keinem Zeitpunkt unterbrochen war.
Warum sich Revolut dafür entschieden hat Aikido
Erreichbarkeit, die auf die eigentliche Arbeit hinweist
Was beim Proof-of-Concept besonders auffiel, war Erreichbarkeitsanalyse: die Identifizierung der Schwachstellen, die tatsächlich bis in die transitiven Bibliotheken von Revolut reichen, sodass das Team weiß, welche Ergebnisse vorrangig behandelt werden müssen.
„Erreichbarkeitsanalyse ermittelt die tatsächlichen Schwachstellen in den transitiven Bibliotheken. Von den rund 10.000 Problemen wissen wir nun, welche Priorität sie haben und auf welche sich das Unternehmen konzentrieren und welche es beheben muss.“
Höhere Genauigkeit als das bisherige Werkzeug
Bei der Durchführung des Proof-of-Concept mit echten Repositories bewertete das Team die Genauigkeit von „ Aikido “ als höher als die des Tools, das sie zuvor verwendet hatten.
„Im Proof-of-Concept war die Genauigkeit besser als bei dem Tool, das wir bereits verwendet haben.“
Ein Team, das wie ein Teil Ihres eigenen Teams arbeitet
Die Betreuung stach ebenso hervor wie das Produkt.
„Es gibt Fälle, in denen wir ein Problem melden und es noch am selben Tag behoben wird. Die Kommunikation über Slack läuft direkt ab, jemand bestätigt den Eingang und antwortet innerhalb von 15 Minuten. Wir betrachten ‚ Aikido ‘ nicht als Drittanbieter, sondern als Teil unseres eigenen Teams.“
Wie Entwickler nur das sehen, worauf es ankommt
Revolut überlässt die Umsetzung nicht den einzelnen Entwicklern. Die Abteilung für Anwendungssicherheit ist für die Einführung in allen Diensten verantwortlich, führt die „ triage “ durch und entscheidet, welche der Tausenden gemeldeten Probleme tatsächlich behoben werden müssen. Entwickler müssen sich nie in eine Warteschlange einloggen, um nach ihrer Arbeit zu suchen. Sie erhalten ein einziges Ticket im „ Schwachstellenmanagement “-System von Revolut mit einem Link zu Aikido, der entsprechenden CVE und der Version, auf die sie umsteigen müssen.
„Unsere Entwickler erhalten lediglich ein ihnen zugewiesenes Ticket mit einem Link zu Aikido, den CVE-Informationen und der Angabe, welche Version sie aktualisieren müssen. Das Feedback ist positiv. Sie finden im Ticket alles, was sie brauchen, und machen sich einfach daran, das Problem zu beheben.“
Diese Kontrolle erstreckt sich auch darauf, wie Revolut mit neuen Paketversionen umgeht. Als Vorsichtsmaßnahme für den Fall, dass sich eine neue Version als anfällig erweisen sollte, schreibt die teaminterne Richtlinie den Entwicklern vor, fünf Tage zu warten, bevor sie eine empfohlene Version in die Produktion übernehmen.
Nahtloser Wechsel von bisherigen Anbietern
Der Unterschied, den der Wechsel gewährleisten sollte, betraf die Kontinuität: ein einheitlicher Umfang der „ SCA “-Prüfung über alle Repositorys hinweg, ohne dass es Zeitfenster gab, in denen das Team keine Probleme finden konnte.
„Den Anbieter zu wechseln, ist nicht einfach. Man muss Automatisierungen neu einrichten, die Dokumentation aktualisieren und den Prüfern und Aufsichtsbehörden einen lückenlosen Prüfpfad zur Verfügung stellen. Nachdem wir den Vertrag unterzeichnet hatten, verlief die Einbindung von Aikido unkompliziert und schnell.“
Die Migration war nicht die einzige Konsolidierungsmaßnahme. Revolut hatte intern ein eigenes Tool namens „ DAST “ entwickelt – ganz im Sinne der Unternehmensphilosophie, Lösungen möglichst selbst zu entwickeln –, doch dieses war mit hohem Wartungsaufwand und manuellem Arbeitsaufwand verbunden. Als sich herausstellte, dass „ Aikido “ ohne diesen Mehraufwand funktionierte, wurde das eigene Tool durch dieses ersetzt.
„Bei Revolut entwickeln wir alles, was wir können, selbst – daher hatten wir unser eigenes Tool für die „ DAST “. Dieses erforderte viel Wartungsaufwand und manuelle Arbeit. Wir haben es durch Aikido ersetzt, weil es einfach sofort einsatzbereit war.“
Wie es mit Revolut weitergeht
Revolut nutzt derzeit Aikido für Software-Kompositionsanalyse mit Erreichbarkeitsanalyse sowie für Dynamische Anwendungssicherheitstests (DAST).
Das Team befasst sich mit „ Laufzeitschutz “ in Verbindung mit Zen, um eine Lücke zu schließen, die Arsalan klar und deutlich beschreibt.
„Wir verfolgen den ‚Shift-Left‘-Ansatz, aber auf der rechten Seite gibt es keinen Schutz. Wir wollen einen Schutz zur Laufzeit für Fälle wie Zero-Day-Angriffe, bei denen die Aktualisierung einer Bibliothek Zeit braucht.“
Der Geräteschutz wird derzeit getestet, um Risiken in der Lieferkette auf Entwicklerrechnern zu begegnen, wo kompromittierte Pakete und Arbeitsplätze ein zunehmendes Problem darstellen. „ KI-Penetrationstests “ steht auf der Roadmap für ein zukünftiges Quartal, wobei sich ein erster Testlauf noch in der Validierungsphase befindet. Das Ziel, das Arsalan seinem Team gesetzt hat, besteht darin, intern mehr Probleme zu finden als externe Programme, das Gleichgewicht weiter ins eigene Haus zu verlagern und Probleme früher im Entwicklungszyklus zu erkennen.
Im Bereich der statischen Analyse hat Revolut eigene interne Kapazitäten aufgebaut. Ein vor Jahren getestetes externes Tool zur statischen Codeanalyse ( SAST ) hatte Schwierigkeiten, wirklich kritische Schwachstellen aufzudecken. Daher entwickelte das Team eigene Regeln auf der Grundlage von Erkenntnissen aus Bug-Bounty-Programmen und Penetrationstests, um die gesamte Codebasis und jeden neuen Pull-Request zu scannen. Nun beobachten sie, ob die Analyse von „ Aikido “ Probleme aufdeckt, die ihrem regelbasierten System entgehen.
„Wir behalten im Auge, was Aikido herausfindet. Einige der jüngsten Ergebnisse basierten nicht auf einfachen Regeln, sondern nutzen ein LLM für SAST – und genau das fehlt uns derzeit.“
Fazit
Arsalan kommt immer wieder auf seine Einschätzung der Partnerschaft zurück.
„Sie helfen uns dabei, unseren Code und unsere Daten zu schützen, und unterstützen uns dabei, das Tool weiterzuentwickeln – basierend auf unseren Erfahrungen und unseren Vorstellungen davon, was funktionieren könnte. Das ist für mich der größte Vorteil.“
