Eine Cyber-Funktion des öffentlichen Sektors im Vereinigten Königreich ersetzte fragmentierte Sicherheitstools durch eine einzige Plattform und reduzierte die Reaktion auf Supply-Chain-Vorfälle von Tagen auf Minuten.
Auf einen Blick
- Vereinheitlichte SAST, SCA, Secret Scanning, DAST und CI/CD-Sicherheit in einer Plattform
- Reduzierte Supply-Chain-Incident-Triage von Tagen auf Minuten
- Schuf messbare Transparenz über den gesamten Software-Delivery-Lifecycle hinweg
- Integrierte Entwickelnden-Schulungen direkt in Sicherheitsbefunde
- Etablierte Compliance-Nachweise für ISO 27001, SOC 2, NIST und CIS
- Erweiterte Abdeckung mit Aikido Device Protection zur Absicherung von Entwicklerumgebungen
Herausforderung
Walid Mahmoud ist ein Senior DevSecOps Engineer innerhalb einer Cybersicherheitsfunktion des öffentlichen Sektors im Vereinigten Königreich, verantwortlich für die Implementierung von Sicherheitskontrollen über den gesamten Software-Bereitstellungslebenszyklus hinweg. In der Praxis bedeutete dies die Absicherung aller Bereiche, von den frühen Planungsphasen über CI/CD-Pipelines bis hin zu Produktionsdiensten. Im Laufe der Zeit waren die Sicherheitstools der Organisation organisch gewachsen.
Verschiedene Anbieter kümmerten sich um SAST, SCA, Secret Detection, dynamisches Testing und CI/CD-Sicherheit. Jedes Tool löste individuell ein echtes Problem, doch zusammen führten sie zu einer Fragmentierung bei Workflows, Ergebnissen und Verantwortlichkeiten.
„Wir hatten eine Reihe von Kriterien. Secret Scanning, Scan von Softwareabhängigkeiten, SAST, DAST – all die Dinge, die eine DevSecOps-Methodik ausmachen. Wir haben uns angesehen, wer uns das meiste unter einer Plattform bieten konnte, um die Tool-Zersplitterung zu minimieren.“
Die größte Herausforderung war nicht nur die Alert Fatigue. Es war die Sichtbarkeit.
Als ein Supply-Chain-Vorfall auftrat, hatte das Team keine schnelle oder zuverlässige Möglichkeit, die wichtigste operative Frage zu beantworten: Sind wir betroffen?
Der Abgleich von Inventaren, das manuelle Überprüfen von Repositories und die Koordination mit Entwicklungsteams konnte Tage dauern. Gleichzeitig war die Akzeptanz bei den Entwickelnden nicht verhandelbar. Entwicklungsteams im öffentlichen Sektor agieren vorsichtig, und Walid wusste, dass jede neue Plattform scheitern würde, wenn sie bestehende Bereitstellungs-Workflows störte.
„Am wichtigsten war uns eine Plattform, die das Leben unserer Entwickelnden nicht erschwert. Etwas, das einfach in ihre Art der Softwarebereitstellung passt.“
Das Team ging auch bei der Anbieterbewertung vorsichtig vor. Als Organisation des öffentlichen Sektors, die in einem risikoscheuen Umfeld agiert, musste Vertrauen durch Beweise und nicht durch bloße Positionierung gewonnen werden.
Lösung
Walids Team entdeckte Aikido durch Marktforschung und beschloss, einen Proof of Concept gegen den bestehenden Sicherheits-Stack durchzuführen. Für Walid lief die Bewertung auf ein Prinzip hinaus: Das Produkt für sich selbst sprechen lassen.
„Die Herausforderung für den öffentlichen Sektor des Vereinigten Königreichs bestand darin, dass Aikido aufstrebend und relativ neu war. Der beste Weg, und wahrscheinlich der einzige Weg, ist, das Tool für sich sprechen zu lassen. Also haben wir einen Proof of Concept gestartet.“
Der Proof of Concept zeigte schnell etwas, das das Team zuvor nicht erreicht hatte:
Eine einzige Plattform, die SAST, SCA, Secret Scanning, DAST und CI/CD-Sicherheit abdeckt, ohne neue Workflow-Reibung für Entwickelnde zu verursachen. Ebenso wichtig war, dass die Cybersicherheitsfunktion eine einheitliche Sicht über jeden Workspace und Produktionsdienst erhielt. Diese Sichtbarkeit veränderte grundlegend, wie das Team auf Supply-Chain-Vorfälle reagierte.
Als die nächste größere Kompromittierung des Ökosystems auftrat, konnte das Team die Exposition fast sofort feststellen, anstatt Tage mit der manuellen Koordination von Untersuchungen zu verbringen.
„Bei Supply-Chain-Angriffen ist es enorm vorteilhaft, sehr schnell feststellen zu können, ob wir betroffen sind oder nicht. Die schlimmste Antwort, die wir geben wollen, ist ‚wir wissen es nicht‘.“
Für Walid war einer der wertvollsten Aspekte der Plattform die Lernkomponente, die an jedes Ergebnis geknüpft war.
Anstatt nur reine Alerts anzuzeigen, erklärt Aikido, warum Schwachstellen wichtig sind, wie sie ausgenutzt werden können und wie Entwickelnde die Behebung angehen sollten.
„Aikido beinhaltet einen Lerninhalt. ‚Diese Codezeile ist anfällig für SQL-Injection‘, drei oder vier Minuten, die erklären, was die Schwachstelle ist und wie sie zu einer Katastrophe führen könnte. Das macht Entwickelnde bewusster.“
Dies half der Cybersicherheitsfunktion, das Bewusstsein der Entwickelnden zu verbessern, ohne zusätzlichen Schulungsaufwand oder weitere Prozessreibung zu verursachen.
Mehrere Faktoren führten letztendlich zu der Entscheidung:
- Vereintes SAST, SCA, Secret Scanning, DAST und CI/CD-Sicherheit
- Entwickelnden-zentrierte Workflows, die zu bestehenden Bereitstellungspraktiken passen
- Kontextbezogene Lerninhalte, direkt in die Ergebnisse eingebettet
- Schnelle Anbieter-Reaktionsfähigkeit und Feature-Bereitstellung
- Eine Roadmap, die auf KI-Penetrationstests und Endpunktsicherheit abgestimmt ist
Ergebnisse
Zum ersten Mal konnte die Cybersicherheitsfunktion ihre Sicherheitslage über den gesamten Software-Lebenszyklus hinweg messen und verfolgen. Anstatt reaktiv zu agieren, konnte das Team nun messbare Metriken und Roadmaps an Governance-Initiativen knüpfen und Fortschritte gegenüber ISO 27001, SOC 2, NIST und CIS-Kontrollen nachweisen.
„Unser Team verfügt jetzt über Observability. Wir können unsere aktuelle Sicherheitslage quantifizieren – hoch, mittel, niedrig – und das gibt uns eine klare Roadmap für die nächsten Schritte.“
Aikido ist nun in jeder Phase des Delivery-Lebenszyklus präsent, wodurch mehrere Validierungsebenen geschaffen werden, bevor Software in Produktion geht. Walid beschreibt den Ansatz als umfassende Abdeckung.
„In jeder Phase, selbst wenn ein Schritt übersprungen wird, gibt es immer eine weitere Ebene, die ihn erneut prüft. Sofern man nicht irgendwie sechs Stufen knackt, haben wir mehr Vertrauen, dass unsere öffentlich zugänglichen Dienste sicher sind.“
Da sich Supply-Chain-Angriffe ständig weiterentwickeln, erweitert das Team die Abdeckung auch auf die Entwicklergeräte selbst durch Aikido Device Protection. Dies verschafft der Organisation Einblick in Installationsaktivitäten und die Exposition auf Entwicklerebene, bevor bösartige Pakete überhaupt CI/CD-Pipelines erreichen.
Für das Team ist das Ergebnis mehr als nur die Konsolidierung von Tools. Es ist die Fähigkeit, von fragmentierten Sicherheitsoperationen zu einer messbaren, beobachtbaren DevSecOps-Governance über den gesamten Delivery-Lebenszyklus hinweg überzugehen.
Wie das Team des britischen öffentlichen Sektors Aikido heute nutzt
Wird bereits verwendet
- SAST- und SCA-Scans
- Secret Detection
- DAST
- CI/CD Pipeline-Sicherheit
- Container-Image-Scan
- Compliance-Modul (ISO 27001, SOC 2, NIST, CIS)
- Aikido Safe Chain
Planung der Einführung
- Aikido Device Protection
- Erweiterte GRC-Engineering-Workflows
Als Nächstes in der Evaluierung
- KI-Penetrationstests
- Aikido Zen Firewall
Fazit
„Aikido hilft uns, von einer reaktiven Verteidigung zu einer messbaren DevSecOps-Governance überzugehen.“
