En un coup d'œil
- Aikido a remplacé toute une série d'outils de sécurité open source qui submergeaient l'équipe de faux positifs
- Les développeurs considèrent désormais les conclusions de « Aikido » comme une liste de travail répertoriant les véritables problèmes à résoudre
- Les pull requests « AutoFix » en un clic sont intégrées à la branche de travail en quelques minutes, via le pipeline de révision propre à Codafication.
- Lorsqu'un client a demandé une attestation à la suite d'une attaque de la chaîne d'approvisionnement, un lien vers le tableau de bord d'Aikido lui a fourni la réponse attendue
Une pile open source avait transformé la sécurité en un problème de volume
Codafication, l'éditeur de logiciels d'assurance basé à Brisbane, sécurise le code de sa plateforme de gestion des sinistres grâce à Aikido, après avoir remplacé un ensemble d'outils de sécurité open source que ses propres ingénieurs avaient mis en place.
Curtis Wilkinson, directeur technique (CTO), supervise l'ensemble des activités technologiques chez Codafication, depuis le personnel chargé de la sécurité et l'infrastructure d'cloud jusqu'à l'assurance qualité, l'ingénierie et le développement produit. Fondée en 2015, Codafication développe des logiciels de gestion des sinistres utilisés par la plupart des grands assureurs australiens pour gérer les réparations liées aux sinistres immobiliers et aux dommages aux biens mobiliers. Son produit phare repose sur 70 à 80 composants distincts.
Avant d’ Aikido, l’équipe effectuait des vérifications de conteneurs dans son pipeline CI/CD, utilisait un outil de gestion des SAST s et générait des rapports SBOM alimentant un outil de suivi open source. Le système fonctionnait exactement comme prévu, mais la charge de travail manuelle qu’il impliquait était devenue trop lourde à gérer. Les faux positifs affluaient en grand nombre, sans déduplication, regroupement, tri automatique ni analyse d’accessibilité permettant de les filtrer.
« Ça signalait un problème et on se disait : “Mais qu’est-ce que c’est que ça ?” On faisait une recherche sur Google et on tombait sur un truc bizarre d’Adobe datant de 1925. On était presque surpris de découvrir qu’il s’agissait d’un vrai problème. »
Pour vérifier s'il s'agissait bien d'un véritable problème, il fallait vérifier manuellement si le code utilisait réellement la fonction concernée. Aucun de ces éléments n'était relié à Jira, la plateforme sur laquelle travaille l'équipe ; chaque ticket nécessitait donc de copier-coller et de mettre à jour les informations à deux endroits différents. Chaque amélioration aurait en outre nécessité un surcroît de temps de travail de la part des ingénieurs.
« Notre rôle en tant qu'entreprise n'est pas de développer notre propre plateforme de gestion de la sécurité couvrant l'ensemble de notre infrastructure. »
Une liste des problèmes que l'équipe corrige effectivement
Aikido Ces données alimentent désormais le programme de correction en cours de Codafication, et la première modification apportée a concerné la liste des problèmes. La déduplication et le regroupement des problèmes permettent de regrouper les problèmes identifiés dans l'ensemble des composants du produit au sein d'une vue unique, qui indique tous les emplacements où un problème se présente et quelle équipe doit le résoudre.
L’équipe a également exécuté l’audit de sécurité du code par IA d’ Aikido, disponible sur analyse de code par IA, sur la majeure partie du code de sa plateforme. L’exécution a duré 14 heures, et l’équipe n’a pour l’instant détecté aucun faux positif dans les résultats. Cela a facilité la mise en œuvre des mesures correctives : ces problèmes ont été placés en tête de la feuille de route des corrections, et les développeurs en ont corrigé et intégré 39 en environ six semaines. Curtis a donné accès aux développeurs et leur a demandé leur avis.
« Le commentaire disait : “Waouh, c’est du sérieux. Tout ce qui figure ici devrait être considéré comme un problème à résoudre, plutôt que comme une liste de choses probablement inutiles.” »
Environ trois pull requests AutoFix sur quatre merge sont validées sans aucune modification de la part de l’équipe. Aikido lance la pull request, les agents de révision de Codafication l’évaluent, puis elle est soumise à l’approbation finale d’ merge , avant d’atteindre généralement la branche de travail en moins de 10 minutes. Curtis a pu constater la différence lorsque la première vague de pull requests AutoFix est arrivée et qu’il a traité lui-même une liste de celles-ci. Chaque correction lui aurait pris entre une demi-heure et deux heures à effectuer manuellement.
« Ça se résume désormais à un simple clic. »
Grâce à l'intégration Jira, le statut des tickets est désormais centralisé. Curtis peut faire défiler la liste et voir quel développeur est en charge de chaque correction et quel testeur s'en est chargé ; les corrections de sécurité apparaissent également dans les rapports de sprint. Chaque fois que des questions se posaient lors de la mise en place de tout cela, l'équipe les soumettait directement à l'équipe technique de Aikido via un canal partagé.
« Ils se sont montrés extrêmement serviables et très coopératifs. Personne ne s'est renvoyé la balle. Les personnes qui pouvaient réellement régler les problèmes étaient directement disponibles sur le canal de communication. »
Pourquoi Codafication a choisi Aikido
- Une première expérience très positive avec « Safe Chain » d’ Aikido , l’outil gratuit qui bloque les paquets open source malveillants avant leur installation, et qui constitue le point de départ de la solution « Device Protection » d’ Aikido. C’est l’outil que l’équipe a déployé sur tous les appareils des développeurs alors que les attaques de la chaîne d’approvisionnement s npm se multipliaient les uns après les autres dans l’écosystème.
- Aikidoles recherches sur les menaces, qui figuraient déjà parmi les sources utilisées par l'équipe pour son propre renseignement sur les menaces
- Une démonstration de faisabilité qui a permis à l'équipe d'explorer les fonctionnalités et de choisir celles qu'il fallait activer en priorité
« Nous avions eu une bonne expérience avec Safe Chain, et nous savions qu’ Aikido était une entreprise de qualité. Il nous a donc semblé tout à fait logique de venir découvrir ce qu’ils proposaient. »
Aikido avait la réponse avant même que le client ne pose la question
Les clients de Codafication évoluent dans un secteur réglementé où la tolérance au risque est très faible. C'est pourquoi ils suivent de près l'attaques de la chaîne d’approvisionnement . Dès qu'un événement majeur se produit, les e-mails et les appels téléphoniques affluent.
Lors d'une récente attaque, Curtis était en déplacement professionnel. L'équipe chargée des comptes de Aikido a publié un lien vers un tableau de bord dans le canal partagé. D'un seul coup d'œil, on pouvait voir une coche verte : Codafication n'était pas concernée. Moins d'une demi-heure plus tard, un client a envoyé un e-mail demandant à Codafication de certifier que son système de production n'avait pas été affecté.
« C'était beaucoup plus simple de dire simplement oui. »
Avant Aikido, Curtis aurait dû attendre la prochaine vérification prévue, soit quelques heures selon le moment, avant de pouvoir répondre. Cette fois-ci, il avait la réponse avant même que le client ne pose la question.
Comment Codafication utilise aujourd'hui l'Aikido
« Nous mettons progressivement en place différentes fonctionnalités d’ Aikido . Il s’agit en grande partie de remplacer des solutions développées en interne, mais certaines d’entre elles constituent de véritables nouveautés. »
- Les vérifications des pull requests constituent le premier rempart de sécurité pour les dépôts dédiés aux outils internes, à l'automatisation et à l'infrastructure
- AutoFix et vérifications proactives des branches sur les dépôts de produits principaux
- Audit de sécurité du code d'IA, réalisé sur la majeure partie du code sous-jacent à la plateforme de gestion des sinistres
- Contrôles de la qualité du code et suivi de la couverture de code
- Intégration Jira alimentant les rapports techniques des sprints
- La surveillance des domaines, dont les premiers résultats ont mis en évidence deux problèmes déjà signalés dans le dernier rapport de test d'intrusion externe
- Suivant : accès au référentiel de conteneurs, et un test d'intrusion basé sur l'IA portant sur le même périmètre que leur test d'intrusion externe semestriel, afin de comparer les résultats
Verdict final
« Nous avons toujours disposé d'outils couvrant un aspect spécifique. Mais aucun ne regroupait l'ensemble de ces éléments de manière à rendre le tout gérable et à nous permettre de voir si nous maîtrisons bien la situation. »
