En un coup d'œil
- Consolide la SCA, le SAST et l'analyse de conteneurs au sein d'une seule plateforme
- Déployé sur 100 dépôts en quelques semaines avec un seul ingénieur.
- Prend en charge 100 développeurs sur GitLab, GitHub et Azure DevOps
- Offre un support AppSec multi-langage pour F#, Rust, C++, C#, Python, React/Typescript
- Permet des corrections plus précoces grâce aux workflows de merge request
- Fait progresser le cycle de vie du développement logiciel sécurisé (SSDLC) d'AutoStore grâce à des informations exploitables.
- A choisi Aikido Security plutôt que Black Duck et Endor Labs
Enjeu
L'organisation d'ingénierie d'AutoStore avait grandi et s'était diversifiée, avec près de 100 développeurs travaillant sur de nombreux langages, bases de code et bureaux à travers le monde. Alors que certaines équipes avaient de solides habitudes en matière de sécurité, d'autres s'appuyaient sur des processus incohérents ou des workflows hérités, ce qui entraînait une couverture inégale. À mesure que l'entreprise s'étendait vers un développement plus cloud-native, ces lacunes sont devenues plus difficiles à gérer.
Le responsable de l'ingénierie et le CISO se sont efforcés de renforcer le cycle de vie du développement logiciel sécurisé (SSDLC) d'AutoStore et d'apporter clarté et cohérence à la gestion de la sécurité au sein de l'entreprise.
AutoStore avait besoin d'une plateforme capable de fournir une visibilité AppSec complète sur les dépôts existants et cloud-native, de prendre en charge sa pile technologique diversifiée et de s'intégrer directement avec GitHub, GitLab et Azure DevOps.
« Bien sûr, lorsque 100 développeurs ou 10 équipes font les choses eux-mêmes, il y aura des pratiques bonnes et d'autres moins bonnes », a déclaré Vegard Syre Aaker, ingénieur logiciel de sécurité chez AutoStore.
Parallèlement, les processus de gestion des risques liés à l'open source, qui avaient été historiquement construits autour de systèmes C++, ne pouvaient pas s'adapter pour prendre en charge les environnements de développement modernes.
« Nous recherchions un outil de sécurité capable de gérer tous nos langages de programmation et de fonctionner avec GitHub, GitLab et d'autres systèmes. Nos dépôts sont très différents, ce n'était donc pas facile. Aikido était l'un des rares outils capables de prendre en charge tout ce dont nous avions besoin. »
Une sélection menée par les développeurs
L'expérience précédente de Vegard en tant que développeur a influencé l'évaluation d'AutoStore. L'équipe avait besoin d'une plateforme AppSec que les développeurs utiliseraient réellement et qui s'intégrerait aux workflows existants sans friction.
« J'essayais de trouver un outil qui, je le savais, pourrait autonomiser les développeurs. Quelque chose qu'ils adopteraient réellement et qui s'intégrerait bien à nos processus. »
Cette exigence axée sur les développeurs correspondait parfaitement à l'approche d'Aikido.
Solution
AutoStore a évalué Aikido aux côtés d'Endor Labs, Black Duck et d'outils open source. Aikido s'est distingué par son expérience intuitive, son support AppSec multi-langage et sa capacité à unifier plusieurs fonctionnalités de sécurité au sein d'une seule plateforme.
« Pendant la preuve de concept, nous avons apprécié l'interface simple et intuitive. Nous avons également choisi Aikido car il était facile à intégrer et regroupait de nombreux outils de sécurité dans une seule suite avec un seul dashboard. »
Aikido prenait en charge tous les principaux langages utilisés et offrait à la fois des intégrations directes et des analyses locales pour les bibliothèques C++ complexes. Alors que GitHub et Azure DevOps avaient été intégrés sans problème plus tôt dans le processus, le déploiement de GitLab a démontré la scalabilité de la plateforme :
« La majeure partie de l'intégration GitLab a été réalisée par un seul ingénieur de sécurité, avec peu d'aide, en seulement quelques semaines. Cela incluait environ 100 dépôts et 100 développeurs. »
Le support rapide et la flexibilité d'Aikido ont contribué à la rapidité du déploiement.
« La plupart des problèmes rencontrés lors de l'intégration et du déploiement ont été résolus rapidement avec Aikido, et ils sont flexibles pour apporter des modifications à leur logiciel si nécessaire. »
Pourquoi AutoStore a choisi Aikido
AutoStore a choisi Aikido parce qu'il :
- Prend en charge tous les principaux langages utilisés, y compris C++, Rust et F#.
- S'intègre directement avec GitHub, GitLab et Azure DevOps
- Consolide la SCA, le SAST et l'analyse de conteneurs au sein d'une seule plateforme
- Offre des workflows axés sur les développeurs et une visibilité des merge requests
- Fournit des résultats exploitables qui réduisent le bruit et guident la priorisation.
Résultats
Aikido offre désormais une vue cohérente des vulnérabilités pour toutes les équipes et tous les dépôts.
« Les développeurs et les ingénieurs de sécurité ont désormais une bien meilleure visibilité sur les risques et les vulnérabilités. Je suis sûr que cela améliorera la sécurité de nos applications au fil du temps. »
Les workflows de merge request d'Aikido aident à détecter les problèmes plus tôt et améliorent l'engagement des développeurs.
« Le fait de l'avoir sous forme de commentaires dans les merge requests, pouvant potentiellement les bloquer, contribuera à améliorer la sécurité des applications au fil du temps. »
Aikido a également permis à AutoStore de valider rapidement les vulnérabilités nouvellement divulguées. Lorsque son fournisseur SOC a signalé un nouveau problème de dépendance, Aikido disposait déjà d'une analyse.
« J'ai consulté le billet de blog d'Aikido et j'ai vu que vous aviez déjà suivi cette vulnérabilité pendant quelques jours. J'ai pu rapidement vérifier si notre base de code était affectée. »
Comment AutoStore étend son utilisation d'Aikido
Déjà utilisé
Prévu pour adoption
Prochaine évaluation
« Nous allons tester le penetration testing par IA sur l'une de nos applications. Cela pourrait potentiellement remplacer partiellement nos penetration testing externes. »
Aikido, la couche la plus actionnable du SSDLC
Vegard souligne qu'un cycle de vie de développement sécurisé comprend de nombreux composants tels que la gestion des risques, la modélisation des menaces et les tests d'intrusion. En pratique, Aikido est devenu la partie la plus actionnable du framework.
« Le reste de l'organisation est très axé sur Aikido parce que c'est actionnable. C'est beaucoup plus actionnable par rapport à d'autres sujets qui sont plus vagues. »
Des étapes claires, une visibilité rapide et des workflows axés sur les développeurs permettent aux équipes de renforcer la sécurité de manière collaborative.
« Si j'avais dû le refaire, j'aurais probablement choisi un outil de sécurité assez rapidement et ensuite construit sur cette base. »
Verdict final
“Aikido offre un produit ciblé qui permet aux équipes d'ingénierie de gérer efficacement les vulnérabilités. Ils ont clairement priorisé l'ergonomie, ce qui rend la gestion des vulnérabilités accessible et exploitable.”
