Wie Tyro Payments mit Aikido Penetrationstests innerhalb weniger Stunden durchführt

Auf einen Blick

• Ein vollständiger Penetrationstest wurde in etwa fünfeinhalb Stunden durchgeführt, während der vorherige manuelle Test rund 15 Werktage in Anspruch genommen hatte.
• Es wurden mehr Probleme aufgedeckt als beim manuellen Penetrationstest, darunter auch mehr Befunde mit hohem Schweregrad
• Reduzieren Sie die Anzahl der Warnmeldungen von Zehntausenden auf einige Hundert, indem Sie Tools zusammenführen und Duplikate sowie Fehlalarme beseitigen.
• Entwicklern wurde die Ein-Klick-Funktion „AutoFix“ zur Verfügung gestellt, sodass die Fehlerbehebung nicht mehr stundenweise pro Problem in Anspruch nahm
• Risiken in der Lieferkette wurden frühzeitig erkannt, unter anderem durch eine schnelle Überprüfung während des Axios-Vorfalls
• Die Sicherheit wurde von einem Hindernis zu einem Team, an das sich Entwickler mit ihren Problemen wenden

Die Sicherheit mit dem wachsenden Zahlungsverkehrsgeschäft Schritt halten

Seit 2003 setzt sich Tyro Payments dafür ein, dass Zahlungen zum einfachsten Teil der Unternehmensführung werden. Das in Sydney ansässige Unternehmen ist eine börsennotierte australische Bank, die von der australischen Bankenaufsichtsbehörde APRA reguliert wird. Es unterstützt landesweit mehr als 80.000 Händler mit Zahlungslösungen für den stationären Handel, den Online-Handel und den mobilen Zahlungsverkehr sowie mit einem wachsenden Angebot an Bankprodukten.

Arun Singh ist der Datenschutzbeauftragte bei Tyro. Er ist für den Schutz der personenbezogenen Daten dieser Händler verantwortlich, einschließlich der sensiblen „Know-Your-Customer“-Informationen (KYC), über die das Unternehmen verfügt. Für ein Zahlungsunternehmen steht diese Verantwortung in direktem Zusammenhang mit dem zentralen Versprechen, das es jedem Händler gibt.

„Wir erhalten von den Händlern viele sensible Daten, darunter zahlreiche KYC-Informationen. Der Schutz dieser Daten ist eines der zentralen Versprechen unseres Unternehmens. Es ist ein Versprechen, das wir ihnen bei Vertragsabschluss geben: Wir sorgen dafür, dass ihre Daten sicher sind.“

Das Schwierige daran ist, dieses Versprechen einzuhalten, während die Entwickler ihre Produkte zügig auf den Markt bringen. Am deutlichsten lässt sich der Fortschritt von Tyro daran erkennen, wie sich das Pentesting des Unternehmens entwickelt hat.

Die Herausforderung

Dezentrale Tools und ein wachsender Arbeitsrückstand

Bevor Aikido eingeführt wurde, nutzte das Team eine Vielzahl verschiedener Schwachstellenmanagement , und die Ergebnisse häuften sich schneller an, als sie bearbeitet werden konnten.

„Aikido hattenAikido mehrere verschiedene Schwachstellenmanagement , die recht dezentral organisiert waren. Es gab einen erheblichen Anteil an Fehlalarmen, und insbesondere das Sicherheitsteam versank regelrecht in einer Flut von Warnmeldungen. Da die Entwickler Tausende von Warnmeldungen untersuchen mussten, wurde diese Arbeit immer wieder zurückgestellt. Unser Rückstand wuchs einfach immer weiter. Es wurde einfach zu viel.“

Pentests, die nicht mithalten konnten

Pentests waren zeitaufwendig und teuer, und das Warten hat sich selten gelohnt. Ein einziger Test hat ein Projekt wochenlang lahmgelegt und kaum Ergebnisse geliefert.

„Ein Penetrationstest würde etwa 15 Werktage dauern. Das würde ein Projekt verzögern und mehrere Zehntausend Dollar kosten. Die Ergebnisse wären nicht besonders gut, wir würden nur eine Handvoll Schwachstellen finden.“

Warum sich Tyro Payments für Aikido entschieden hat

Ergebnisse, auf die sich das Team verlassen konnte

Die wichtigste Neuerung war die Genauigkeit. Ältere Tools gingen davon aus, dass Tyro gefährdet war, sobald ein Paket eine CVE-Kennung aufwies, sodass Entwickler Zeit damit verschwendeten, Code zu patchen, der gar nicht gefährdet war. Aikido den Quellcode und prüft, ob der anfällige Code tatsächlich erreichbar ist.

„Etwas, das eigentlich 10 oder 15 Minuten dauern sollte, würde einen halben Tag in Anspruch nehmen – nur damit wir feststellen, dass die in der CVE beschriebene Schwachstelle in einer Funktion liegt, die wir gar nicht genutzt haben. Wir waren also gar nicht angreifbar. Aikido analysiert unseren Quellcode, ordnet die Schwachstelle in den Kontext ein und teilt uns mit, ob der betroffene Code tatsächlich im Einsatz ist.“

Eine Entscheidung, die auf Zahlen basiert

Tyro hat sich nicht allein Aikido des Rufs für Aikido entschieden. Das Team hat es mit den Alternativen verglichen, und es hat sich als das beste erwiesen.

„Wir haben Aikido Snyk, Checkmarx und dem Application Security Posture Management CrowdStrike verglichen. Aikido hat sich stets als das beste Ergebnis erwiesen – sowohl hinsichtlich der Darstellung der Informationen als auch bei der Reduzierung von Fehlalarmen und der Unterstützung der Entwickler bei der Erkennung, Bewertung der Auswirkungen und Behebung von Sicherheitslücken. Die Entscheidung fiel uns ziemlich leicht.“

Ein Produktteam, das schnell handelte

Die Menschen hinter dem Produkt stachen ebenso hervor wie das Produkt selbst.

„Wenn wir uns eine neue Funktion oder Verbesserung wünschten, schickten wir dem Aikido eine Nachricht, und innerhalb von 24 Stunden reagierten sie darauf und veröffentlichten den Fix. Es war großartig, die Weiterentwicklung des Produkts in den letzten Jahren mitzuerleben.“

Von Zehntausenden von Warnmeldungen auf einige Hundert

Die Umstellung auf Aikido dem Team einen durchgängigen Überblick – von direkten Abhängigkeiten bis hin zu transitiven Abhängigkeiten, die von den alten Tools nicht erfasst wurden – und beseitigte den Ballast, der die eigentliche Arbeit überlagert hatte.

„Es bietet uns eine lückenlose Transparenz – von direkten bis hin zu transitiven Abhängigkeiten –, was viele unserer anderen Tools nicht konnten. Es filtert, entfernt Duplikate und beseitigt Fehlalarme. Wir haben die Anzahl der gleichzeitig auftretenden Warnmeldungen von Zehntausenden auf einige Hundert reduziert.“

Auch das Beheben der verbleibenden Fehler ging schneller. Anstatt dass Entwickler stundenlang darüber nachdenken müssen, wie sie einen Fehler beheben können und ob die Korrektur andere Funktionen beeinträchtigen würde, übernimmt AutoFix diese Arbeit und legt ihnen eine Änderung zur Überprüfung vor.

„Mit AutoFix Aikido klicken sie einfach auf eine Schaltfläche, erhalten die eigentliche Korrektur, überprüfen sie, erstellen ein PR, testen sie – fertig. Das hat ihre Arbeitsabläufe wirklich optimiert.“

Ein Penetrationstest, der innerhalb weniger Stunden abgeschlossen war

Das aussagekräftigste Ergebnis lieferte KI-Penetrationstests. Tyro führte einen Proof-of-Concept für ein neues Gesundheitsprodukt durch, das das Unternehmen auf den Markt bringen wollte, und verglich den KI-Penetrationstest direkt mit den Leistungen seiner bisherigen menschlichen Tester.

„Unsere bisherigen Penetrationstester benötigten dafür etwa 15 Tage. Wir haben denselben Test mit Aikido durchgeführt. Dabei dauerte es fünfeinhalb Stunden, und es wurden etwa 30 Schwachstellen entdeckt, davon neun mit hohem Schweregrad, während die menschlichen Penetrationstester fünf Schwachstellen fanden, davon eine mit hohem Schweregrad.“

Der Plan sieht nun vor, das Personal beizubehalten und die Geschwindigkeit zu steigern, indem mithilfe von KI die Abdeckung erweitert und diese durch menschliche Prüfer bestätigt wird.

„Unser Plan sieht ein Hybridmodell vor, bestehend aus KI-Penetrationstests und KI-Code-Audits, ergänzt durch eine manuelle Überprüfung durch unsere Pentest-Partner. Die Kosten liegen deutlich unter dem, was wir bisher gezahlt haben, sodass wir mit unseren vorhandenen Mitteln viel mehr erreichen können.“

Entwickler von Schulungen nutzen tatsächlich

Das Thema Sicherheitsbewusstsein war bisher ein eigener, nicht gerade beliebter Posten gewesen. Das von Tyro bezahlte Tool stand losgelöst vom eigentlichen Arbeitsgeschehen und vermittelte den Entwicklern kaum etwas. Die kurzen Schulungsvideos, die Aikido auf YouTube und anderen Social-Media-Plattformen veröffentlicht, weckten bei den Entwicklern mehr Interesse als die bis dahin bevorzugten, umfassenden Plattformen zum Thema Sicherheitsbewusstsein.

„Als ich hier anfing, hatten wir ein Sicherheitsprogramm für Entwickler, das etwa 100.000 Dollar kostete. Die Entwickler äußerten sich immer negativ darüber. Es war nie auf ihre Arbeitsbelastung zugeschnitten, sodass sie nie wirklich etwas daraus lernten. Es war eher eine Abhakübung. Mit Aikido ist eine Sicherheitslücke nun ein kurzes Video, das man sich ansieht, um zu lernen, wie man sie verhindert. Wir stellten schon früh fest, dass sichere Entwicklungspraktiken, für die wir uns seit Jahren eingesetzt hatten, tatsächlich umgesetzt wurden.“

Die gesamte Lieferkette im Blick behalten

Das Risiko in der Lieferkette ist bei Tyro ein Thema auf Vorstandsebene, und genau hier kommen Malware-Scans und Bedrohungsinformationen zum Tragen, um kompromittierte Pakete abzufangen, bevor sie die Produktion erreichen. Der Nutzen zeigte sich während des Axios-Vorfalls, als das Team eine schwierige Frage schnell beantworten konnte.

„Die Sicherheit der Lieferkette hat oberste Priorität. Wir besprechen das Thema auf Vorstandsebene. Dank der Malware-Prüfung und der Bedrohungsinformationen Aikido erkennen wir Probleme frühzeitig und können sie verhindern, bevor sie die Produktion erreichen. Als es zu dem Hackerangriff auf Axios kam, sagte das Team, dass wir diese Lösung nicht nutzen. Wir haben uns bei Aikido angemeldet, die Ergebnisse präsentiert, die Version überprüft und geprüft, ob wir kompromittiert worden waren. Glücklicherweise war das nicht der Fall, aber es hat uns die Augen geöffnet.“

Eine „Red-Team“-Übung deckte daraufhin die nächste Sicherheitslücke auf. Tyro simulierte eine bösartige IDE-Erweiterung, die im VS Code-Marktplatz veröffentlicht worden war und secrets eines Entwicklers stahl, und stellte fest, dass es auf dieser Ebene keine Absicherung gab. Die Behebung dieser Lücke ist der Grund, warum der Geräteschutz als Nächstes auf der Liste steht.

Wie es mit Tyro Payments weitergeht

Tyro nutzt Aikido derzeit Aikido Software-Kompositionsanalyse, statische Analyse (SAST), dynamische Analyse (DAST), AutoFix, Erreichbarkeitsanalyse, Malware-Scans und Bedrohungsinformationen sowie für Entwicklerschulungen.

Von hier aus geht es darum, KI-Penetrationstests das Hybridmodell mit menschlicher Überprüfung auszuweiten, parallel dazu die KI-Code-Prüfung zu untersuchen und ein Pilotprojekt zum Geräteschutz durchzuführen, um die Lücke zwischen Entwicklern und Geräten zu schließen, die bei der Red-Team-Übung zutage getreten ist.

Fazit

Für Arun hat sich vor allem die Einstellung der Entwickler zum Thema Sicherheit verändert.

„Früher hatten sie ein recht negatives Bild von der Sicherheit. Mittlerweile ist das Verhältnis ausgezeichnet. Wenn sie Probleme feststellen oder von einem Sicherheitsvorfall erfahren, wenden sie sich an uns – sie wollen sich einbringen und dazulernen.“

Auf die Frage, was das alles bedeutet, hält er seine Antwort kurz und bündig.

„Mit dem, was wir haben, können wir viel mehr erreichen als früher.“

​