Auf einen Blick
- Drei separate Tools, Snyk für SCA, Sonar für statische Analyse und OWASP ZAP für das Scannen zur Build-Zeit, wurden in eine einzige Aikido Code-Komponente integriert
- Nutzen der Erreichbarkeitsanalyse bei einem PCI-Audit, um zu zeigen, dass Audit-blockierende, hochgradige Funde clientseitig und nicht exploitable waren
- Ersetzen fiktiver Gates durch echte, die kritische und hohe Funde vor einem Merge oder Build blockieren
- Überzeugen der Engineering-Teams, die zuvor die alten Tools betreut hatten
- Konsolidierung nach dem Shai-Hulud-Supply-Chain-Angriff, der Schwachstellen im alten Stack offenlegte
Zu viele Funde, zu wenige Fixes
Reward Gateway entwickelt Software für Mitarbeiterengagement und -vorteile – darunter Anerkennungs-, Prämien-, Wellness- und Rabattprogramme, mit denen Unternehmen für ihre Belegschaft sorgen. Das 2006 in London gegründete und heute zu Edenred gehörende Unternehmen betreibt eine SaaS-Plattform, die ein hohes Transaktionsvolumen sowie sensible Daten verarbeitet und daher dem PCI-Geltungsbereich unterliegt. Die Plattform erreicht über 10 Millionen Mitarbeiter bei Kundenorganisationen.
Angel Indzhov ist Head of Cybersecurity bei Reward Gateway, wo er die Bereiche Security Operations, Product Security und Financial Crime leitet. Er beschreibt ein Problem, das die meisten Verantwortlichen für IT-Sicherheit mittlerweile kennen: Das Finden ist längst nicht mehr der schwierige Teil.
"Wir werden immer besser darin, Dinge zu finden. Wir werden nicht besser darin, sie zu beheben."
Das Volumen wächst kontinuierlich weiter, insbesondere da neuere Modelle immer mehr Funde generieren, und eine gewachsene Codebasis lässt sich nun mal weitaus schwerer bereinigen als ein völlig neues Projekt. Was Reward Gateway brauchte, waren nicht noch mehr Funde. Sondern eine Möglichkeit zu erkennen, welche davon tatsächlich von Bedeutung waren.
Die Herausforderung
Ein Tech-Stack, der nicht zusammenarbeitete
Vor Aikido lief die Sicherheit über drei separate Tools, die nie dafür konzipiert waren, als Einheit zu funktionieren.
"Wir haben Sonar für statischen Code, Snyk ausschließlich für SCA und OWASP ZAP in den Build-Pipelines verwendet. So viele Tools, die man zwar gemeinsam nutzen möchte, die aber nicht wirklich Hand in Hand arbeiten."
Ein Angriff auf die Lieferkette deckte es auf
Diese Fragmentierung wurde zu einem echten Problem, als der Shai-Hulud-Lieferkettenangriff zuschlug. Das bestehende Setup konnte die entscheidenden Fragen nicht schnell genug beantworten.
"Als Shai-Hulud letztes Jahr passierte, hatten wir das Gefühl, dass unsere Tools den Anforderungen nicht gewachsen waren. Das hat uns dazu gebracht, nach etwas Neuem zu suchen und zu konsolidieren."
Die Sicherheitsabteilung besaß die Tools nicht
Ein Grund für diesen stark fragmentierten Tech-Stack war, dass die Engineering-Abteilung die jeweiligen Tools angeschafft hatte, um damals ein bestimmtes Problem zu lösen. Die Sicherheitsabteilung hatte den Prozess nicht in der Hand und das Budget lag woanders – jede Änderung bedeutete also, zunächst das Engineering zu überzeugen.
"All diese Tools wurden vom Engineering gekauft, also mussten wir sie überzeugen. Es war nicht unser Budget."
Warum sich Reward Gateway für Aikido entschied
Konsolidierung in bewussten Schritten
Reward Gateway hat nicht alles auf einmal ausgetauscht. Das Unternehmen kam zunächst über Safe Chain zu Aikido, mochte, was es sah, und führte dann ein vollständiges Proof of Concept durch, das auf die wichtigsten Bereiche – Code und Angriffsvektoren – zugeschnitten war, anstatt sofort eine breit angelegte Einführung zu versuchen, die sich nicht hätte abschließen lassen.
Erreichbarkeitsanalyse, auf die sich das Team verlassen konnte
Das entscheidende Feature war die Erreichbarkeitsanalyse. Bei so vielen Funden, von denen ein Großteil eine niedrige Priorität aufwies, brauchte das Team eine Möglichkeit, tatsächlich ausnutzbare Schwachstellen von unkritischen zu trennen.
"Für mich liegt die Antwort in der Erreichbarkeitsanalyse. Sie zeigt auf, was tatsächlich passieren muss, um etwas auszunutzen, sodass man weiß, welche Schwachstelle wirklich zum Problem wird. Das war goldwert."
Ein Team, das schnelle Antworten lieferte
Die Menschen hinter dem Produkt fielen während des Proof of Concept genauso positiv auf wie das Produkt selbst.
"Es gibt keinen anderen Anbieter, mit dem wir zusammengearbeitet haben, der so viel kommuniziert und sich wirklich darum kümmert, was wir sagen. Wir melden ein Problem, setzen uns zusammen und beheben es."
Erreichbarkeit beim PCI-Audit
Der deutlichste Beweis zeigte sich während eines PCI-Audits. Reward Gateway hatte kritische Funde in seinem Zahlungs-Repository, die vor der Audit-Freigabe behoben werden mussten, und der Zeitplan war denkbar knapp.
"Wir hatten ein PCI-Audit, und in Snyk gab es kritische Funde im Zahlungs-Repository, die kurz vor der Frist dringend behoben werden mussten. Die Erreichbarkeitsanalyse von Aikido zeigte jedoch, dass es sich um clientseitige Probleme handelte, die die Serverseite überhaupt nicht betrafen. Damit war das Risiko vom Tisch und allen war klar: Genau das brauchen wir."
Dieses Audit tat mehr, als nur die Funde zu bereinigen. Es hat Aikido bei den Engineering-Teams überzeugt, die zuvor für die alten Tools verantwortlich waren, da es ihnen zeigte, wo das echte Risiko lag – und genauso hilfreich, wo eben nicht.
Schnittstellen, die tatsächlich etwas aufhalten
Erreichbarkeit hat verändert, welche Funde das Team bearbeitete. Die Schnittstellen haben verändert, was passierte, wenn einer durchrutschte.
"Vorher hatten wir fiktive Schranken. Fast nichts wurde wirklich gestoppt. Jetzt wird alles Kritische und Hohe blockiert. Man kann seinen PR nicht mergen und man kann nicht bauen."
Der nächste Schritt besteht darin, dieselben Kontrollen konsistent über jede Phase hinweg auszuführen, sodass eine Prüfung, die an einer Stelle übersprungen wird, anderswo dennoch erfasst wird.
Vollständiger Ersatz der Einzeltools
Da Erreichbarkeit und echte Schranken implementiert waren, hatten die separaten Tools keinen Zweck mehr zu erfüllen.
"Wir nutzen die Code-Komponente durchgehend: statische Codeanalyse, Secret-Scanning und Lizenzierung. Snyk, Sonar, OWASP ZAP – wir ersetzen sie vollständig."
Wohin Reward Gateway als Nächstes geht
Reward Gateway setzt Aikidos Code-Komponente für statische Codeanalyse, Secret-Scanning, Software-Kompositionsanalyse mit Erreichbarkeit und Lizenz-Scanning ein, mit blockierenden Schranken bei kritischen und hohen Funden.
Von hier aus dehnt das Team diese Kontrollen auf weitere Phasen der Pipeline aus. Es evaluiert KI-Penetrationstests, möchte jedoch zuerst die richtigen Umgebungen vorbereiten, damit die Ergebnisse aussagekräftig sind. Nach einem Vorfall hat das Unternehmen den Geräteschutz als hohe Priorität eingestuft, der direkt auf die Lücke bei Browser- und IDE-Erweiterungen abzielt, bei der es keine Versionsfestlegung und keine Konsistenz gibt, auf die man sich verlassen kann. Auch Aikidos Code-Audit steht auf der Liste der auszuprobierenden Dinge. Nichts davon ist bisher live.
Fazit
Erreichbarkeit gab dem Team einen Filter, Konsolidierung bot ihm einen zentralen Arbeitsplatz und echte Kontrollen lieferten etwas, das riskanten Code tatsächlich aufhält.
"Das Ziel ist es, schrittweise Verbesserungen zu erzielen, und das ist der Teil, den ich an dem Produkt mag."
