En un coup d'œil
- Aucune interruption de la couverture de numérisation lors du passage des anciens prestataires et outils
- J'ai utilisé analyse d’accessibilité pour réduire des dizaines de milliers de résultats aux quelques-uns qui comptent vraiment
- La précision d’ Aikido a été jugée supérieure à celle de l’outil précédent lors de la validation de principe
- A assuré la mise en place d'une piste d'audit irréprochable à l'intention des auditeurs et des autorités de régulation tout au long de la migration
- Présentez à chaque développeur un seul ticket clair, plutôt qu'une liste de résultats bruts
- Collabore directement avec l'équipe d'Aikido via Slack, avec des corrections le jour même et des réponses rapides
Faire le tri parmi une avalanche de résultats
Revolut est une entreprise mondiale de technologie financière, fondée en 2015 et dont le siège social est situé à Londres, qui opère aujourd’hui dans 40 pays et lance de nouveaux produits chaque trimestre. Son équipe d’ingénieurs compte plus de 2 500 développeurs, et assurer la sécurité d’un système qui évolue à un rythme aussi rapide, qu’il s’agisse de la couche applicative, de l’ cloud, du réseau ou de l’IA, revient à viser une cible en mouvement.
Arsalan Ghazi est responsable de la sécurité des applications chez Revolut, où il a pour mission de protéger les données des clients à tous les niveaux. Il résume en une seule phrase le problème central de l'analyse de la composition logicielle .
«SCA est une véritable mine de découvertes. Il y en a des centaines de milliers chaque jour, chaque semaine, et grâce à l'IA qui aide les chercheurs à en trouver davantage dans les sources ouvertes, ces chiffres se multiplient comme jamais auparavant. »
Le plus difficile n'est pas de trouver des failles, mais de savoir lesquelles sont importantes.
Le défi
Une brèche qui ne cesse de s'élargir
SCA Elle génère un volume de résultats qu'aucune équipe ne peut traiter manuellement, et l'IA ne fait qu'accélérer ce phénomène à mesure que les chercheurs mettent en lumière de nouveaux problèmes dans les logiciels libres. Sans moyen de distinguer les failles exploitables du bruit de fond, une équipe de sécurité passe son temps à trier plutôt qu'à corriger.
Une migration qu'une banque soumise à réglementation ne peut pas se permettre de rater
Revolut disposait déjà d’un outil d’ SCA . Le passage à Aikido a donc impliqué un changement complet de fournisseur, et non une mise en place à partir de zéro. Pour une fintech soumise à la réglementation, cela signifie qu’il a fallu refondre les automatisations internes, mettre à jour la documentation et démontrer aux auditeurs et aux autorités de régulation que la couverture de l’ n’avait jamais connu d’interruption.
Pourquoi Revolut a choisi Aikido
Une accessibilité qui met en avant le travail concret
Ce qui a retenu l'attention lors de la démonstration de faisabilité, c'est analyse d’accessibilité: l'identification des vulnérabilités qui affectent réellement les bibliothèques transitives de Revolut, ce qui permet à l'équipe de déterminer quelles découvertes traiter en priorité.
«analyse d’accessibilité identifie les vulnérabilités réelles dans les bibliothèques transitives. Sur environ 10 000 problèmes recensés, nous savons lesquels traiter en priorité et sur lesquels l'entreprise doit se concentrer pour les corriger. »
Une précision supérieure à celle de l'outil précédent
Après avoir testé la preuve de concept sur de véritables référentiels, l'équipe a estimé que la précision d'Aikido était supérieure à celle de l'outil qu'elle utilisait déjà.
« Lors de la démonstration de faisabilité, la précision s'est avérée supérieure à celle de l'outil que nous utilisions déjà. »
Une équipe qui travaille comme si elle faisait partie de la vôtre
La relation d'accompagnement s'est démarquée tout autant que le produit.
« Il arrive parfois que nous signalions un problème et qu’ils le résolvent le jour même. La communication se fait directement via Slack : quelqu’un accuse réception et répond dans les 15 minutes. Nous ne considérons pas Aikido comme un prestataire tiers, mais comme un membre à part entière de notre équipe. »
Pourquoi les développeurs ne voient que l'essentiel
Revolut ne laisse pas aux développeurs individuels le soin de prendre en charge ces mises à jour. L'équipe chargée de la sécurité des applications gère le déploiement sur l'ensemble des services, effectue le tri et décide, parmi les milliers de problèmes signalés, lesquels nécessitent réellement une correction. Les développeurs n'ont jamais besoin de se connecter à une file d'attente pour rechercher les tâches qui leur incombent. Ils reçoivent un ticket unique dans le système de gestion des incidents de Revolut ( gestion des vulnérabilités ), contenant un lien vers Aikido, le CVE correspondant et la version vers laquelle ils doivent migrer.
« Nos développeurs reçoivent simplement un ticket qui leur est attribué, contenant un lien vers Aikido, les informations relatives au CVE et la version qu’ils doivent mettre à jour. Les retours sont positifs. Ils trouvent tout ce dont ils ont besoin dans le ticket et se mettent immédiatement au travail pour corriger le problème. »
Ce contrôle s'étend à la manière dont Revolut gère les nouvelles versions des paquets. Afin de se prémunir contre le risque qu'une nouvelle version s'avère compromise, la politique interne de l'équipe impose aux développeurs d'attendre cinq jours avant de mettre en production une version recommandée.
Remplacer les anciens fournisseurs sans interruption
La différence que le commutateur devait garantir concernait la continuité : une portée cohérente de l'analyse d'SCA s dans l'ensemble des référentiels, sans aucune période pendant laquelle l'équipe ne pourrait pas détecter de problèmes.
« Changer de prestataire n'est pas chose facile. Il faut reconfigurer les automatisations, mettre à jour la documentation et fournir à vos auditeurs et aux autorités de régulation une piste d'audit complète. Une fois le contrat signé, la mise en place d'Aikido s s'est avérée simple et rapide. »
Cette migration n’a pas été la seule mesure de rationalisation. Revolut avait développé en interne son propre outil d’ DAST , conformément à sa volonté de développer ses propres solutions lorsque cela est possible, mais celui-ci impliquait une charge importante en termes de maintenance et de tâches manuelles. L’entreprise l’a remplacé par Aikido dès qu’elle a constaté que cette solution fonctionnait sans ces contraintes.
« Chez Revolut, nous développons nos outils en interne autant que possible ; nous disposions donc de notre propre outil d’ DAST . Celui-ci nécessitait beaucoup de maintenance et de travail manuel. Nous l’avons remplacé par Aikido , car il fonctionnait immédiatement, sans aucune configuration. »
Quelle sera la prochaine étape pour Revolut ?
Revolut utilise actuellement l'adresse Aikido pour analyse de la composition logicielle avec analyse d’accessibilité, et pour Tests de sécurité des applications dynamiques (DAST).
L'équipe étudie la possibilité d'une « protection en temps d’exécution » avec Zen afin de combler une lacune qu'Arsalan décrit sans détour.
« Nous appliquons la stratégie du “shift left”, mais il n’y a aucune protection du côté droit. Nous souhaitons disposer d’une protection lors de l’exécution contre des menaces telles que les failles “zero-day”, pour lesquelles la mise à jour d’une bibliothèque prend du temps. »
Une solution de protection des appareils est actuellement testée afin de remédier aux risques liés à la chaîne d'approvisionnement sur les machines des développeurs, où la vulnérabilité des paquets logiciels et des postes de travail constitue une préoccupation croissante. Le programme « pentest IA » figure dans la feuille de route pour un prochain trimestre, et une première phase d'essai est encore en cours de validation. L'objectif qu'Arsalan a fixé à son équipe est de détecter davantage de problèmes en interne que ne le font les programmes externes, afin de faire pencher davantage la balance vers une approche interne et de détecter les problèmes plus tôt dans le cycle de développement.
En matière d'analyse statique, Revolut a développé ses propres capacités en interne. Un outil d'SAST tiers qu'elle avait testé il y a plusieurs années peinait à détecter les véritables vulnérabilités critiques ; l'équipe a donc rédigé ses propres règles, en s'appuyant sur les résultats des programmes de prime aux bogues et des tests d'intrusion, afin d'analyser l'intégralité de la base de code et chaque nouvelle pull request. Elle cherche désormais à déterminer si l'analyse d'Aikido permet de détecter des problèmes que son système basé sur des règles ne parvient pas à repérer.
« Nous suivons de près les découvertes d'Aikido . Certaines de leurs récentes découvertes ne reposaient pas simplement sur des règles, mais utilisaient un modèle de langage de grande envergure (LLM) pour l'SAST, et c'est justement ce qui nous manque actuellement. »
Verdict final
C'est sur cette interprétation du partenariat qu'Arsalan revient sans cesse.
« Ils nous aident à protéger notre code et nos données, et à faire évoluer l'outil en fonction de ce que nous observons et de ce qui, selon nous, pourrait fonctionner. C'est ce qui me plaît le plus. »
