Die voll lizenzierte Bank und Bitcoin-Verwahrstelle hat „ Aikido “ und „Zen“ in ihr ausgereiftes Sicherheitsportfolio aufgenommen. Dadurch konnte sie die Anzahl der falschen Sicherheitswarnungen um 95 % senken, die Dauer von Sicherheitsuntersuchungen von Stunden auf Minuten verkürzen und einen Überblick über die Laufzeit von mehr als 100 Diensten gewinnen.
Auf einen Blick
- 95 % weniger Rauschen bei Schwachstellen, wodurch sich 5.880 initiale Funde auf 275 relevante Probleme reduzieren
- Stunden → Minuten für Sicherheitsuntersuchungen und -analysen
- Über 100 Dienste, die von Zen in Staging und Produktion geschützt werden
- Nahezu alle Code-Repositorys mit Aikido gescannt
- Schutz auf Anwendungsebene für Angriffe, die Perimeter-Abwehrmaßnahmen umgehen
- Safe Chain bietet eine präventive Barriere gegen neu kompromittierte Pakete
Herausforderung
Für die Xapo Bank ist das Thema Sicherheit von außergewöhnlich hoher Bedeutung. Als voll lizenzierte Bank und Bitcoin-Verwahrer schützt Xapo Vermögenswerte, bei denen Transaktionen unwiderruflich sein können. Die Mitglieder vertrauen der Bank ihre Ersparnisse an, während institutionelle Kunden umfangreiche Sicherheitsprüfungen (Due Diligence) durchführen, bevor sie Vermögenswerte auf die Plattform übertragen.
Für Fabio Pires, Head of Security Operations and Product Security, macht das Sicherheit zu einem fundamentalen Bestandteil des Geschäfts.
„Ein Sicherheitsvorfall bedeutet für uns keine Ausfallzeit, sondern den Verlust von Werten, die anderen gehören. Deshalb ist Sicherheit bei Xapo keine Abteilung, sondern das Fundament, auf dem das Produkt aufbaut.“
Im Gegensatz zu vielen Unternehmen, die eine moderne AppSec-Plattform einführen, startete Xapo nicht mit einem unreifen Sicherheitsprogramm. Die Bank hatte bereits eigene Pipelines für den sicheren Softwareentwicklungsprozess (SSDLC) aufgebaut, die Statische Anwendungssicherheitstests (SAST), Secrets-Scan, Software-Kompositionsanalyse (SCA), Infrastructure-as-Code und Laufzeitanalysen über unabhängige Tools hinweg orchestrierten. Die Funde wurden mit Kontext aus dem Schwachstellenmanagement und der Anlageninventur von Xapo angereichert, Verantwortlichen zugewiesen und an SLAs gekoppelt. Ein Pull Request konnte nicht zusammengeführt werden, sobald eine Schwachstelle ihre SLA verletzte.
Am Edge schützte Cloudflare die öffentlich zugänglichen Infrastrukturen, während interne Dienste hinter einem Zero-Trust-Netzwerk betrieben wurden. Xapo hatte sogar eigene Täuschungsfallen (Deception Traps) und automatisierte Reaktionssysteme entwickelt.
Die Kontrollen von Xapo waren nicht das Problem. Verschiedene Scanner lieferten unterschiedliche Formate und False Positives, die abgeglichen werden mussten, während Schweregrade nicht damit verknüpft waren, ob ein Fund in der Umgebung von Xapo tatsächlich ausnutzbar war. Zudem konnten Laufzeitagenten Hosts und Container sehen, verfügten jedoch nicht über Anwendungskontexte wie Routen, Payloads, Datenflüsse oder erwartetes ausgehendes Verhalten.
Dieser letzte blinde Fleck erwявился als besonders wichtig für die Lieferkettensicherheit.
Die Bedrohungsmodelle von Xapo warfen wiederholt dasselbe Szenario auf: Eine vertrauenswürdige Abhängigkeit wird kompromittiert, läuft innerhalb eines legitimen Dienstes aus und schleust Daten unauffällig über einen seriösen Drittanbieter aus.
Herkömmliche Perimeter-Kontrollen konzentrieren sich stark darauf, was in eine Anwendung hineinkommt. Bei einer erfolgreichen Lieferkettenkompromittierung kann das entscheidende Signal jedoch sein, was plötzlich aus ihr herausfließt.
„Alles in dieser Branche ist darauf ausgelegt, den eingehenden Datenverkehr zu prüfen, aber Datenabfluss (Exfiltration) ist ein ausgehendes Problem – und der einzige Ort mit genügend Kontext, um ausgehenden Datenverkehr zu beurteilen, ist die Anwendungsschicht selbst.“
Xapo wollte beide Seiten dieses Szenarios angehen: verhindern, dass bösartige Abhängigkeiten in die Umgebung gelangen, und gleichzeitig davon ausgehen, dass die Prävention letztendlich fehlschlagen könnte, um bösartiges Verhalten zur Laufzeit zu erkennen.
Lösung
Xapo betrachtete Aikido als eine weitere Ebene in einer ohnehin schon ausgereiften Defense-in-Depth-Strategie. Cloudflare schützte weiterhin den Edge. Aikido übernahm die Code-, Abhängigkeits- und Containersicherheit in der gesamten Pipeline, wobei jede Funktion als branchenführende Fähigkeit und nicht nur als zusätzliche Abdeckung eingesetzt wurde – und heute werden nahezu alle Code-Repositorys von Xapo durch Aikido-Tools gescannt.
Aikido Safe Chain fügte eine präventive Barriere im gesamten Unternehmen hinzu. Wenn ein neues Paket kompromittiert wird, muss sich Xapo nicht ausschließlich darauf verlassen, diese Kompromittierung erst nach der Installation zu entdecken.
Zen, die In-App-Firewall von Aikido, ergänzt die fehlende Laufzeitebene direkt innerhalb der Anwendungen.
Der Unterschied zur Perimetersicherheit war wichtig: Eine Anfrage nicht nur nach ihrem äußeren Erscheinungsbild zu beurteilen, sondern nachzuverfolgen, was sie tatsächlich innerhalb der Anwendung tut, und Daten von der Quelle zum Ziel zu verfolgen, um festzustellen, ob eine Schwachstelle wirklich ausnutzbar ist.
„Das Perimeter kann eine Anfrage nur danach beurteilen, wie sie aussieht. Die In-App-Firewall Zen von Aikido beurteilt sie danach, was sie tut.“
Zen gibt Xapo außerdem Einblick in ausgehende Verbindungen auf Ebene der einzelnen Dienste. Das Team kann festlegen, wie normales ausgehendes Verhalten aussieht, und erkennen, wenn ein Dienst plötzlich mit einem neuen Ziel zu kommunizieren beginnt – ein wichtiges Signal, falls eine legitime Abhängigkeit kompromittiert wird.
Xapo unterzog Aikido einem anspruchsvollen Proof of Concept.
Das Sicherheitsteam veröffentlichte seine eigenen gefälschten bösartigen npm-Pakete, sendete Angriffsnutsdaten an Zen und dokumentierte jede gefundene Lücke. Was auffiel, war nicht nur, was das Produkt bereits leisten konnte, sondern wie schnell Aikido reagierte, wenn es das noch nicht konnte.
Xapo hatte über einen gemeinsamen Slack-Kanal direkten Zugang zu den Ingenieuren von Aikido. Fehler wurden innerhalb von Tagen oder Wochen behoben, während gewünschte Funktionen in vertragliche Zusagen mit Lieferterminen umgewandelt wurden.
Die Sichtbarkeit und Blockierung von ausgehendem Datenverkehr war eine davon. Sie wanderte von Xapos Wunschliste zu einer vertraglichen Zusage und schließlich in das Produkt. Fabio bezeichnet dieses Maß an Reaktionsfähigkeit des Anbieters als selten.
Aikido ließ sich zudem in die bereits von Xapo errichtete Sicherheitsinfrastruktur integrieren, anstatt das Team zu einem Austausch zu zwingen. APIs und Webhooks speisen Funde in Xapos Schwachstellenmanagement und die Automatisierung ein, wodurch Funde ohne manuelle Copy-Paste-Arbeit in Tickets und Erkennungen in Response-Playbooks verwandelt werden.
Ergebnisse
Die deutlichste messbare Auswirkung ist die Menge an Schwachstellen-Rauschen, das Xapos Sicherheitsteam nicht mehr untersuchen muss.
Aikido reduzierte 5.880 ursprüngliche Funde auf 275 relevante Probleme – eine Reduzierung von False Positives und Rauschen um 95 %.
Erreichbarkeit und andere kontextuelle Faktoren ermöglichen es Aikido festzustellen, ob Funde ein sinnvolles Risiko darstellen, bevor sie das Team erreichen. Ohne diesen Kontext, so Xapo, hätte das Unternehmen eigene Mechanismen schaffen müssen, um festzustellen, ob betroffene Komponenten tatsächlich verwendet wurden und ein Risiko darstellten, um dann die von diesen Mechanismen erzeugten False Positives manuell zu validieren.
Das verschafft dem Sicherheitsteam mehr Zeit, sich echten Sicherheitsproblemen zu widmen, anstatt zu beweisen, welche Funde keine Rolle spielen.
Auch die Untersuchungsgeschwindigkeit hat sich verbessert. Analysen, die zuvor Stunden dauerten, nehmen nun nur noch wenige Minuten in Anspruch.
Lieferkettenvorfälle sind ein gutes Beispiel. Zuvor musste das Team manuell sein Anlageninventar und die erfasste Software-Stückliste (SBOM) überprüfen, ermitteln, wo eine Bibliothek vorhanden war, und querverweisen, ob die betroffene Version Xapo einem neu bekannt gewordenen Kompromittierungsrisiko aussetzte.
Heute benachrichtigt Aikido das Team, wenn eine Bibliothek in dessen Umgebung betroffen ist, während Safe Chain ein präventives Tor in CI/CD hinzufügt. Xapos Kernsysteme sind um eine einzige Programmiersprache herum aufgebaut, aber das Team schätzt das Wissen, dass Aikido neu auftretende Paketkompromittierungen erforscht und sie mit der Realität seiner eigenen Umgebung abgleicht.
Zen wurde nun auf mehr als 100 Dienste in Staging und Produktion ausgedehnt, wodurch Xapo eine Laufzeitsichtbarkeit pro Dienst erhält, die zuvor nicht existierte.
Diese zusätzliche Ebene bewährte sich bei einem echten Scan-Angriff auf einen der Dienste von Xapo.
Die erste Welle bösartiger Anfragen passierte den Perimeter, bevor die Ratenbegrenzung griff. Zen meldete sie sofort, wobei der Anwendungskontext zeigte, welcher Dienst ins Visier genommen wurde, welche Route getroffen wurde, welche Nutzlast verwendet wurde und ob die Aktivität tatsächlich ausnutzbar war.
Was früher zu einer nachträglichen Untersuchung anhand von Protokollen hätte werden können, wurde zu einer Erkennung in Echtzeit mit hoher Zuverlässigkeit.
"Der Laufzeitkontext von Aikido macht aus Alarmen Antworten. Wir haben keine Stunden damit verbracht, uns zu fragen ‚Ist das echt?‘. Wir wussten es bereits."
Xapos Perimetersicherungen übernehmen weiterhin das, was sie schon immer getan haben. Zen fügt eine Ebene dahinter hinzu und stärkt so die Architektur als Ganzes.
Der Edge verarbeitet weiterhin Volumen und breite Angriffsklassen. Zen bietet eine weitere Perspektive aus dem Inneren der Anwendung für alles, was es hindurchschafft. Unterdessen tragen die Abhängigkeits- und Malware-Intelligenz von Aikido sowie Safe Chain dazu bei, die Wahrscheinlichkeit zu verringern, dass eine kompromittierte Abhängigkeit überhaupt erst die Anwendung erreicht.
Die Erkennung fließt dann direkt in Xapos eigene Automatisierung ein. Funde treffen mit Kontext zur Ausnutzbarkeit ein und können automatisierte Reaktionsmaßnahmen auslösen. Wie Fabio erklärt, kann das Blockieren eines bösartigen Benutzers nun ein API-Aufruf anstelle eines Krisenstabs sein.
Das Ergebnis ist eine Architektur, in der die Anwendung selbst zu einer weiteren Erkennungsschicht geworden ist.
Fazit
Xapo war nicht auf der Suche nach einem weiteren Perimetertool. Mehr Perimeter-Tools hätten diese Lücke nicht geschlossen. Was dies tat, war Kontext – jene Art von Kontext, die Xapos bestehende Kontrollen nicht bieten konnten.
„Aikido hat unsere Anwendungen von unserem größten blinden Fleck in einen Teil unserer Erkennungsoberfläche verwandelt, und dank Zen muss alles, was am Perimeter vorbeischlüpft, immer noch eine Ebene passieren, die die Anwendung selbst versteht.“
Für eine Bank, bei der Vertrauen für das Produkt von fundamentaler Bedeutung ist, schließt diese zusätzliche Ebene eine wichtige Lücke zwischen Prävention und Reaktion.
