En un coup d'œil
- Regroupement de trois outils distincts, Snyk pour le SCA, Sonar pour l'analyse statique et OWASP ZAP pour l'analyse à la compilation, en un seul composant Aikido code
- Utilisation de l'analyse d'accessibilité lors d'un audit PCI pour démontrer que les vulnérabilités élevées bloquant l'audit étaient situées côté client et non exploitables
- Remplacement des barrières fictives par de véritables filtres qui bloquent les vulnérabilités critiques et élevées avant un merge ou un build
- Adhésion des équipes d'ingénierie qui géraient les outils précédents
- Décision de consolidation prise après que l'attaque de la chaîne d'approvisionnement Shai-Hulud a exposé les failles de l'ancienne stack
Trop de résultats, pas assez de corrections
Reward Gateway conçoit des logiciels d'engagement et d'avantages sociaux — reconnaissance, récompenses, bien-être et réductions — que les entreprises utilisent pour prendre soin de leurs équipes. Fondée à Londres en 2006 et faisant désormais partie d'Edenred, l'entreprise exploite une plateforme SaaS qui gère un volume élevé de transactions et de données sensibles, ce qui la soumet à la norme PCI. Sa plateforme dessert plus de 10 millions de salariés au sein d'entreprises clientes.
Angel Indzhov est responsable de la cybersécurité chez Reward Gateway, où il dirige les opérations de sécurité, la sécurité des produits et la lutte contre la criminalité financière. Il décrit un problème que la plupart des responsables de la sécurité connaissent désormais : le problème n'est plus de trouver les failles.
"Nous sommes de plus en plus efficaces pour détecter les problèmes. Nous ne le sommes pas plus pour les corriger."
Le volume ne cesse d'augmenter, en particulier avec les nouveaux modèles qui génèrent davantage de résultats, et une base de code existante est beaucoup plus difficile à corriger qu'un projet partant de zéro. Ce dont Reward Gateway avait besoin, ce n'était pas d'un plus grand nombre de résultats, mais d'un moyen de savoir lesquels importaient réellement.
Le défi
Une pile technique qui ne fonctionnait pas en harmonie
Avant Aikido, la sécurité reposait sur trois outils distincts qui n'avaient jamais été conçus pour fonctionner ensemble.
"Nous utilisions Sonar pour le code statique, Snyk uniquement pour le SCA et OWASP ZAP dans les pipelines de build. Tant d'outils que les équipes essaient de combiner, mais qui ne fonctionnent pas vraiment ensemble."
Une attaque sur la chaîne d'approvisionnement comme révélateur
La fragmentation est devenue un véritable problème lors de l'attaque sur la chaîne d'approvisionnement Shai-Hulud. La configuration existante ne permettait pas de répondre assez rapidement aux questions cruciales.
"Lorsque l'attaque Shai-Hulud s'est produite l'année dernière, nous avons eu le sentiment que nos outils n'étaient pas adaptés à nos besoins. Cela nous a poussés à chercher une nouvelle solution et à consolider notre approche."
La sécurité ne contrôlait pas les outils
Si la pile technique était si fragmentée, c'est en partie parce que l'équipe d'ingénierie avait acheté chaque outil pour répondre à un besoin spécifique à un moment donné. La sécurité ne supervisait pas le processus et le budget était géré ailleurs, ce qui signifiait que tout changement nécessitait d'abord de convaincre les ingénieurs.
"Tous ces outils ont été achetés par l'ingénierie, nous avons donc dû les convaincre. Ce n'était pas notre budget."
Pourquoi Reward Gateway a choisi Aikido
Une consolidation par étapes réfléchies
Reward Gateway n'a pas tout remplacé du jour au lendemain. L'entreprise a d'abord découvert Aikido par le biais de Safe Chain, a apprécié l'outil, puis a mené un galop d'essai complet (POC) ciblant les aspects les plus critiques — le code et la surface d'attaque —, plutôt que de se lancer dans un déploiement à grande échelle impossible à achever.
Une analyse d’accessibilité digne de confiance
La fonctionnalité qui a fait pencher la balance est l'analyse d’accessibilité. Face à la multitude de résultats, dont une grande majorité présentait une faible priorité, l'équipe avait besoin d'un moyen de distinguer ce qui pouvait réellement être exploité de ce qui ne le pouvait pas.
"Pour moi, la réponse réside dans l'analyse d’accessibilité. Elle montre précisément ce qui doit se produire pour exploiter une faille, ce qui permet de savoir quelle vulnérabilité posera réellement problème. C'était du pain bénit."
Une équipe réactive
Les personnes derrière le produit ont autant marqué les esprits que la solution elle-même lors de la phase de test.
"Il n'y a pas d'autre fournisseur avec qui nous avons collaboré qui communique autant et se soucie réellement de nos retours. Nous soumettons un problème, nous en discutons et nous le résolvons."
L'analyse d’accessibilité à l'épreuve de l'audit PCI
La preuve la plus éclatante est intervenue lors d'un audit PCI. Reward Gateway recensait des vulnérabilités de niveau critique dans son répertoire de paiement — le genre de failles qui doivent impérativement être résolues avant qu'un audit ne soit validé —, et le calendrier était serré.
"Nous avons passé un audit PCI, et Snyk signalait des vulnérabilités critiques dans le dépôt des paiements qui devaient être corrigées de toute urgence, juste avant la date limite. L'analyse d'atteignabilité d'Aikido a montré qu'il s'agissait de problèmes côté client qui n'affectaient en rien le côté serveur. Cela a permis d'écarter le risque et de prouver à tout le monde que c'est exactement l'outil qu'il nous faut."
Cet audit a fait bien plus que lever les doutes. C'est ce qui a fini de convaincre les équipes d'ingénierie qui géraient les anciens outils d'adopter Aikido, car cela leur a montré où se trouvait le véritable risque — et, tout aussi utilement, là où il n'était pas.
Des barrières qui bloquent vraiment
L'atteignabilité a transformé la manière dont l'équipe traite les résultats. Les barrières ont changé la donne lorsqu'une faille passe entre les mailles du filet.
"Auparavant, nos barrières étaient fictives. Presque rien n'était vraiment bloqué. Aujourd'hui, tout ce qui est critique ou élevé est stoppé. Impossible de merge votre PR ou de lancer un build."
L'étape suivante consiste à appliquer ces mêmes barrières de manière cohérente à chaque étape, afin qu'un contrôle omis à un endroit soit rattrapé à un autre.
Remplacer totalement les outils ponctuels
Grâce à l'atteignabilité et à de véritables barrières en place, les outils cloisonnés n'avaient plus de raison d'être.
"Nous utilisons le composant code de bout en bout : analyse statique du code, détection de secrets et gestion des licences. Snyk, Sonar, ZAP, nous les remplaçons totalement."
Les prochaines étapes pour Reward Gateway
Reward Gateway déploie le composant code d'Aikido pour l'analyse statique du code, la détection de secrets, l'analyse de la composition logicielle avec atteinte, et l'analyse des licences, avec des barrières bloquantes sur les résultats critiques et élevés.
À partir de là, l'équipe étend ces barrières à un plus grand nombre d'étapes du pipeline. Elle évalue le pentest IA, bien qu'elle souhaite d'abord préparer les environnements adéquats pour que les résultats soient pertinents. Elle a identifié la protection des appareils comme une priorité absolue suite à un incident, ciblant directement la faille liée aux navigateurs et aux extensions IDE, où il n'y a pas de verrouillage de version ni de cohérence sur laquelle s'appuyer. L'audit de code d'Aikido fait également partie des pistes à tester. Rien de tout cela n'est encore en production.
Verdict final
L'atteignabilité a fourni un filtre à l'équipe, la centralisation lui a offert un espace de travail unique, et de véritables barrières lui ont donné les moyens de bloquer efficacement le code à risque.
"L'objectif est d'obtenir des améliorations progressives, et c'est ce que j'apprécie avec ce produit."
