En un coup d'œil
- Les paquets malveillants et vulnérables sont bloqués dès l'installation, sur tous les appareils de l'entreprise, y compris ceux des non-développeurs qui écrivent du code avec des outils d'IA
- Le scan des dépendances et des conteneurs s'exécute sur l'ensemble des dépôts et des conteneurs
- Une vérification Aikido obligatoire dans GitHub empêche le code vulnérable d'atteindre la production
- Les développeurs restent dans leur flux de travail habituel au lieu d'avoir à apprendre un autre outil
- Aikido alimente la chaîne de conformité, en créant des tickets datés et en rendant les SLA manqués plus visibles
Le nouveau risque provenait de l'open source, et l'ancienne configuration ne surveillait que la production
Too Good To Go, l'entreprise à l'origine de la plus grande place de marché mondiale pour les surplus alimentaires, utilise Aikido pour intercepter les paquets open source malveillants et vulnérables avant qu'ils n'atteignent l'appareil d'un développeur ou la production, et pour lier ses efforts de sécurité à la conformité.
Robert Christiansen, vice-président de l'ingénierie, est responsable de l'ingénierie, de l'expérience développeur et de la conformité au sein des équipes logicielles de l'entreprise. Too Good To Go gère sa plateforme de revente de surplus alimentaires depuis 2016 et met aujourd'hui en relation plus de 150 millions d'utilisateurs inscrits avec plus de 200 000 partenaires commerciaux actifs dans 20 pays, le tout soutenu par une équipe d'ingénieurs au sein d'une entreprise comptant environ 1 300 collaborateurs.
Il y a un an et demi, la priorité de l'équipe était d'arrêter les bibliothèques infectées avant qu'elles n'atteignent la production. Au cours des six derniers mois, les attaques contre les paquets open source et les développeurs qui les installent se sont multipliées rapidement, et les projets open source subissent une vague de nouvelles vulnérabilités. Le risque le plus important se situe désormais plus en amont de la chaîne : un paquet qui compromet l'appareil d'un développeur avant même qu'un code ne soit déployé. Les développeurs disposent généralement de plus de privilèges que quiconque, ce qui fait de leurs appareils la cible la plus précieuse.
L'exposition s'étendait également au-delà de l'ingénierie. Des collaborateurs d'autres départements ont commencé à rédiger du code avec des outils d'IA, important des paquets Node et Python sur des appareils pour lesquels aucun processus de sécurité n'avait été défini. Robert qualifie cette situation de plus dangereuse encore. Les outils existants de l'équipe ne faisaient des scans qu'après la compilation. Cela protégeait la production tout en laissant le développement vulnérable.
La conformité a encore relevé le niveau d'exigence. Too Good To Go est soumis aux réglementations NIS2 et PCI, cette dernière imposant ses propres délais de réaction face à une vulnérabilité. L'équipe avait besoin d'un outil unique capable de bloquer les problèmes sur l'appareil et au moment de la compilation, tout en prouvant que le suivi avait été effectué dans les délais impartis.
Un seul outil, de l'appareil au pipeline
Aikido Safe Chain s'exécute désormais sur tous les appareils de l'entreprise. L'outil vérifie si Node ou Python est installé et sécurise l'étape d'installation, bloquant ainsi un paquet malveillant avant qu'il ne s'implante, quel que soit l'utilisateur. La protection des appareils couvre les quelque 160 personnes que l'entreprise classe dans l'équipe d'ingénierie, qu'elles écrivent du code ou non.
Dans le pipeline, chaque modification doit valider un contrôle Aikido dans GitHub avant de pouvoir passer en production. Comme cette vérification est intégrée au flux de développement habituel, la sécurité ne se transforme jamais en une étape supplémentaire à laquelle il faut penser. Aikido suit les dépendances vulnérables et les images de conteneurs à travers près de 200 dépôts et plus de 200 conteneurs, y compris les chaînes complexes de dépendances transitives que contiennent même les images Docker durcies.
Les développeurs dont la mission est de mettre à jour les bibliothèques utilisent le plugin IntelliJ pour vérifier si une anomalie constitue un réel problème et si une mise risque de perturber le système avant même d'intervenir.
Les développeurs n'ont même plus besoin de consulter Aikido en permanence. C'est devenu une composante naturelle de leur flux de travail.
Pourquoi Too Good To Go a choisi Aikido
- Une protection sur l'appareil et au moment de la compilation (les deux angles morts de l'ancienne configuration)
- Une installation rapide et sans effort
- Une interface utilisateur simple et une tarification transparente
Aikido intercepte ce qui serait passé entre les mailles du filet
Le changement le plus notable réside dans ce qui ne passe plus inaperçu. Safe Chain et la protection des appareils ont déjà bloqué des paquets sur les postes des développeurs. Lorsque l'on demande à Robert si Aikido détecte de réelles menaces, sa réponse est sans appel : « Absolument, il intercepte des éléments qui seraient passés autrement. »
Nous disposons désormais d'une visibilité totale sur les bibliothèques à corriger, tant pour l'infrastructure que pour le code.
Robert retient un résultat commercial majeur au-dessus de tout : l'équipe n'a connu aucun incident lié à une bibliothèque compromise.
Côté conformité, Aikido génère des tickets dotés d'échéances. Ainsi, lorsqu'un correctif dépasse son SLA, tout le monde le remarque immédiatement. La norme PCI fixant des exigences strictes en matière de délais de réponse, cet historique permet à Too Good To Go de maintenir sa conformité sans avoir à courir après les statuts manuellement.
Comment Too Good To Go utilise Aikido aujourd'hui
Utilisation actuelle
- analyse des dépendances
- Analyse des conteneurs
- Aikido Safe Chain à l'échelle de toute l'entreprise
- La protection des appareils pour toute l'ingénierie
- Un contrôle du pipeline GitHub
- Le plugin IntelliJ pour les développeurs en charge des correctifs
Prochainement
- Un modèle de criticité qui associe chaque vulnérabilité à son exposition réelle, permettant ainsi de patcher mensuellement les services internes non connectés à Internet, tandis que les services exposés sont corrigés sans délai
En évaluation
- Le pentest IA, que l'ingénieur de sécurité de l'équipe souhaite évaluer afin de réaliser des tests automatisés plus fréquents en complément des pentests annuels habituels
Verdict final
Le produit a été facile à configurer, et il fonctionne. Je me réjouis de l'avoir adopté et j'aurais aimé en disposer plus tôt.
