Was sich seit unserem letzten Gespräch verändert hat
Seit der ersten Veröffentlichung dieser Story haben wir uns erneut mit Nicolai Brogaard zusammengesetzt. Sowohl die Bedrohungslage als auch die Art und Weise, wie Visma Aikido nutzt, haben sich weiterentwickelt. Heute führt die Gruppe software-kompositionsanalyse, SAST, AutoFix und Compliance-Berichte über ihr gesamtes Portfolio hinweg in Aikido aus, und dabei haben sich vor allem zwei Dinge verschoben: die Bedrohung, gegen die sich Visma verteidigt, und die Entschlossenheit, mit der sie Aikido einsetzen.
Ein Lieferkettenproblem, das inzwischen jeden betrifft
Die Malware-Erkennung ist im Denken von Visma weit nach vorne gerückt. Wo ein Lieferkettenproblem früher ein einzelnes kompromittiertes Paket bedeutete, greifen die Angriffe heute wesentlich breiter, und die Gruppe plant entsprechend, anstatt auf Glück zu hoffen. Aikido zeigt an, ob ein Paket bösartigen Inhalt enthält, und das Team behandelt ein aktives Schadpaket anders als eine bekannte CVE.
Lieferkettenangriffe bestanden früher aus einem einzelnen Paket, das möglicherweise kompromittiert wurde. Mittlerweile greifen sie alles, jeden und gleichzeitig an. Wir müssen davon ausgehen, dass die von uns genutzten Lieferketten kompromittiert werden.
Bei einer bekannten CVE besteht möglicherweise keine Erreichbarkeit des anfälligen Codes. Bei bösartigem Code, der in einem Paket läuft, haben Sie jedoch eine Erreichbarkeit von 100 Prozent. Damit haben Sie einen akuten Sicherheitsvorfall.
Offene Verteidigung
Was Nicolai besonders schätzt, ist, dass Aikido seine Forschung mit der breiten Community teilt und nicht nur für sich behält.
Sicherheit ist ein Spiel, bei dem wir uns alle gemeinsam verteidigen. Wenn wir aufhören, unsere Kompromittierungen, unsere Geschichten und unsere Forschung zu teilen, gewinnen die Angreifer, weil wir schweigen.
Geräteschutz testen
Nicolai testet den Geräteschutz, an dem ihn besonders fasziniert, wie wenig Ressourcen er auf Entwickelnden-Maschinen beansprucht und gleichzeitig die Paket-Ökosysteme absichert, sowie die Möglichkeit, ein eigenes Aktualisierungsfenster (Cooldown) festzulegen, anstatt den Standard des Ökosystems zu akzeptieren.
KI-Penetrationstests und Code-Audit
Das Team evaluiert KI-Penetrationstests mit dem Ziel, seine menschlichen Penetrationstester zu unterstützen, statt sie zu ersetzen. Zudem wird ein Code-Audit geprüft, einschließlich eines Anwendungsfalls, der genau zum Modell von Visma passt: das Auslesen des Zustands einer Codebasis im Rahmen einer technischen Due Diligence bei potenziellen Übernahmekandidaten.
Der Einsatz dieser Tools unterstützt unsere technische Due Diligence bei potenziellen Übernahmezielen.
Fragt man Nicolai, was das alles unterm Strich bedeutet, kommt er auf den Punkt.
Der größte Vorteil von Aikido ist für mich die hohe Signalqualität, sodass ich genau weiß, was ich als Nächstes angehen und priorisieren muss.
Ursprünglich veröffentlicht am 21. November 2024
Vor Kurzem haben wir mitgeteilt, dass Visma Aikido Security für seine Portfoliounternehmen gewählt hat. Visma entwickelt und liefert Software für kleine und mittlere Unternehmen sowie den öffentlichen Sektor – und verbessert so das Arbeitsleben von Millionen Menschen weltweit. Ihre Software vereinfacht und automatisiert komplexe und manuelle Arbeitsprozesse und bereichert so das tägliche Leben der Menschen.
Kürzlich hatten wir das Vergnügen, Nicolai Brogaard, Service Owner von SAST & SCA, in unserer belgischen Zentrale zu begrüßen. Visma entwickelt und liefert Software für kleine und mittlere Unternehmen sowie den öffentlichen Sektor – und verbessert damit das Arbeitsleben von Millionen von Menschen weltweit. Ihre Software vereinfacht und automatisiert komplexe und manuelle Arbeitsprozesse und bereichert so den Alltag der Menschen. Nikolai ist Teil des Sicherheitstestteams bei Visma, einem großen Konglomerat mit über 150 Portfoliounternehmen. Visma nimmt Sicherheit ernst – das ist etwas, worauf sie auf ganzer Linie fokussieren. Mit 15.000 Mitarbeitenden (davon 6.000 Entwickelnde) und einem dedizierten Sicherheitsteam von 100 Personen steht die Sicherheit im Mittelpunkt ihrer Abläufe.
Dies sind seine Gedanken zur sich entwickelnden Sicherheitslandschaft und zur Rolle, die Aikido darin spielt.
Warum Aikido? SCA und ein All-in-One-Ansatz
Bei Visma haben wir darüber nachgedacht, unsere eigenen Sicherheitstools zu entwickeln, aber wir haben schnell erkannt, dass dies nicht die beste Nutzung unserer Ressourcen wäre. Hier kam Aikido ins Spiel. Sie füllten die Lücken, die unsere bestehenden Tools, insbesondere SAST (Statische Anwendungssicherheitstests), nicht abdeckten. Mit Aikido mussten wir uns nicht übermäßig anstrengen, Tools von Grund auf neu zu entwickeln.
Es dreht sich alles um Aikidos leistungsstarke Software-Kompositionsanalyse (SCA) – das ultimative Tool für den Scan von Softwareabhängigkeiten. Die Unternehmen von Visma werden in der Lage sein, ihren Code kontinuierlich zu überwachen, relevante Schwachstellen zu finden und diese im Handumdrehen zu beheben. Neben dem SCA-Tool bietet Aikidos All-in-One-Plattform Lösungen wie SAST, die erstklassige Open-Source-Lösungen für Ruby, Python, Golang und PHP zusammenführt.
Regionale Fachkenntnisse sind entscheidend
Da wir in der EU ansässig sind, ist es für uns wirklich wichtig, mit Anbietern zusammenzuarbeiten, die die spezifischen Vorschriften verstehen, denen wir unterliegen – insbesondere Dinge wie die DSGVO und Anforderungen an die Datenresidenz. Aikido versteht das. Sie kennen die Feinheiten der EU-Vorschriften, was es uns erheblich erleichtert, Dinge wie die Speicherung von Daten im Inland einzuhalten.
Aikido überwacht genau die europäische Cybersicherheits- und Datenschutzgesetzgebung wie DSGVO, NIS2, CRA, DORA usw. Durch Aikidos Berichtsfunktion wird die Verfolgung der technischen Sicherheits-Compliance Ihres Unternehmens kinderleicht.
Wie Visma Sicherheitssoftware bewertet
Wenn wir neue Anbieter prüfen, halten wir uns an die 80/20-Regel: Wenn eine Lösung die Bedürfnisse von 80 % unserer Portfoliounternehmen erfüllt, ist sie eine Überlegung wert. Aikido hat das für uns perfekt getroffen. Über SCA hinaus bieten sie zusätzliche Funktionen, wie die Behebung von blinden Flecken in der Sicherheit und Unterstützung bei CSPM (Cloud Security Posture Management). Diese zusätzlichen Vorteile haben für uns den Ausschlag gegeben.
Zu versuchen, das Rauschen zu reduzieren, das [andere] Tools tatsächlich erzeugen – sich in das Signal-Rausch-Verhältnis zu vertiefen – ist ein Albtraum. Aikido hat das für uns perfekt gelöst.
Die Vorteile von Aikido
Aikido hat nicht nur unsere Security Posture verbessert, sondern uns auch geholfen, Dinge aufzudecken, die wir mit unseren früheren Tools übersehen haben. Anfangs haben wir sie für SCA eingesetzt, aber wir erkannten schnell, dass sie viel mehr leisten können, insbesondere bei der Reduzierung des Zeit- und Arbeitsaufwands für die Bearbeitung von False Positives. Ihre Auto-Remediation-Funktion ist ein enormer Zeitersparnis für unsere Teams. Sie reduziert das Rauschen, sodass unsere Entwickelnde sich auf das Wesentliche konzentrieren können.
Die Auto-Remediation-Funktion von Aikido ist ein enormer Zeitersparnis für unsere Teams. Sie reduziert das Rauschen, sodass unsere Entwickelnde sich auf das Wesentliche konzentrieren können.
Reibungsloser Übergang
Das Netzwerk von Visma ist kolossal und wächst stetig, daher sollte die von uns verwendete Software nicht nur die Security Posture unserer Portfoliounternehmen stärken, sondern auch problemlos sein. Praktisch gesehen legt Visma Wert auf einfache Onboarding-Prozesse, und Aikido liefert genau das: schnelles, einfaches und effektives Onboarding im gesamten Visma-Netzwerk.
Bei Visma verfügen wir über ein internes Security Developer Portal namens Hubble, das das Onboarding neuer Tools extrem unkompliziert macht. Mit Aikido war es nur eine Frage der Integration in Hubble und eines sanften Anstoßes an unsere Portfoliounternehmen, den Wechsel vorzunehmen. Die meisten Unternehmen wechselten schnell, und der Rest folgt im Laufe der Zeit, während wir das Risiko intern verfolgen. Die API von Aikido lässt sich nahtlos in das Bestandsmanagement von Visma integrieren. So kann das Visma-Netzwerk mit wenigen Klicks Aikido im Handumdrehen nutzen.
Was Visma an Aikido schätzt
Das Beste an Aikido? Sie sind extrem proaktiv. Wir haben einen gemeinsamen Slack-Channel mit ihnen, und sie reagieren immer schnell und lösen alle Probleme, auf die unsere Teams stoßen. Es ist großartig, das Gefühl zu haben, mehr als nur ein Kunde zu sein – ihnen ist wirklich wichtig, dass wir das Maximum aus ihrem Produkt herausholen.
Aikido ist für uns nicht nur ein Anbieter – sie sind ein echter Partner. Ihre Reaktionsfähigkeit und ihr Engagement, uns zum Erfolg zu verhelfen, machen den entscheidenden Unterschied.
Vismas Herausforderung bei der Sicherheitsbudgetierung
Brogaard weist darauf hin: „Sicherheitstools kosten viel zu viel.“
Die meisten ähnlichen Plattformen haben ein entwickelndenorientiertes Preismodell, was zu unvorhersehbaren Kosten führt und die Budgetierung zu einer unnötig herausfordernden und anhaltenden Belastung macht. Folglich wird das Preismodell für Visma zu einem Sicherheitsproblem mit hoher Priorität. Angesichts der Größe von Visma und der kontinuierlichen Netzwerkerweiterung werden explodierende Kosten und die Unvorhersehbarkeit bei der Budgetierung untragbar.
Aikido Security löst Vismas früheres problematisches Preismodell-Problem mit seinem Enterprise-Plan für unbegrenzte Benutzer – ein fester Preis, der im Voraus bekannt ist. Keine unbekannten Kosten = ein großer Vorteil für die Budgetplanung.
Wichtige Highlights:
- Sicherheitslücken schließen: Aikido beleuchtet die blinden Flecken, die unsere anderen Tools übersehen.
- Zeitsparende Automatisierung: Die Auto-Remediation-Funktion reduziert das Rauschen, sodass sich unsere Entwickelnde auf echte Probleme konzentrieren können.
- Einfaches Onboarding: Mit Vismas internem Portal ist es ein Kinderspiel, Unternehmen für Aikido zu gewinnen.
- Proaktiver Support: Aikidos schneller, reaktionsschneller Support über Instant-Messaging-Plattformen (wie Slack) gibt uns das Gefühl, in guten Händen zu sein.
- Planbare Preise: Aikido verwendet Preisstaffelungen, bei denen Benutzer und Feature-Packs enthalten sind. Transparente Preise, keine versteckten Gebühren pro Benutzer oder für die Nutzung.
