Cette banque et ce dépositaire de bitcoins, dûment agréés, ont intégré Aikido et Zen à leur infrastructure de sécurité déjà bien établie, ce qui leur a permis de réduire de 95 % le nombre de fausses alertes de vulnérabilité, de ramener la durée des enquêtes de sécurité de plusieurs heures à quelques minutes, et d’obtenir une visibilité en temps réel sur plus de 100 services.
En un coup d'œil
- 95 % de bruit de vulnérabilité en moins, faisant passer 5 880 résultats initiaux à 275 problèmes pertinents
- Des heures réduites à quelques minutes pour l'analyse et l'investigation de sécurité
- Plus de 100 services protégés par Zen dans les environnements de staging et de production
- Quasi-totalité des dépôts de code scannés avec Aikido
- Protection au niveau applicatif contre les attaques contournant les défenses du périmètre
- Safe Chain constitue un rempart préventif contre les paquets récemment compromis
Enjeu
Pour Xapo Bank, les enjeux en matière de sécurité sont exceptionnellement élevés. En tant que banque à part entière et dépositaire Bitcoin, Xapo protège des actifs où les transactions peuvent être irréversibles. Ses membres lui confient leurs économies, tandis que ses clients institutionnels mènent des audits de due diligence rigoureux avant de transférer le moindre actif sur la plateforme.
Pour Fabio Pires, Head of Security Operations and Product Security, la sécurité constitue par conséquent un pilier fondamental de l'activité.
"Chez nous, un incident de sécurité ne se traduit pas par une simple interruption de service, mais par la perte de l'épargne de clients. C'est pourquoi la sécurité chez Xapo n'est pas un simple département, c'est le socle sur lequel repose notre produit."
Contrairement à nombre d'organisations adoptant une plateforme AppSec moderne, Xapo ne partait pas d'un programme de sécurité immature. La banque avait déjà mis en place ses propres pipelines SSDLC (secure software development lifecycle), orchestrant des tests de sécurité des applications statiques (SAST), l'analyse des secrets, l'analyse de la composition logicielle (SCA), ainsi que l'analyse d'infrastructure as code (IaC) et de runtime au travers d'outils indépendants. Les résultats étaient enrichis par le contexte de gestion des vulnérabilités et de l'inventaire des actifs de Xapo, se voyaient assigner des responsables et étaient liés à des SLA. Une PR ne pouvait pas être merge dès qu'une vulnérabilité enfreignait son SLA.
En périphérie, Cloudflare protégeait l'infrastructure publique, tandis que les services internes fonctionnaient derrière un réseau zero-trust. Xapo avait même développé ses propres pièges de détection (deception traps) et systèmes de réponse automatisée.
Le problème ne venait pas des contrôles de Xapo. Les différents scanners généraient des formats et des faux positifs difficiles à concilier. De plus, les scores de criticité ne reflétaient pas l'exploitabilité réelle d'une faille dans l'environnement de Xapo, et les agents de runtime, bien qu'ayant une vision des hôtes et des conteneurs, manquaient de contexte applicatif tel que les routes, les charges utiles, les flux de données ou les comportements sortants attendus.
Ce dernier angle mort s'est avéré particulièrement critique pour la sécurité de la chaîne d'approvisionnement.
Les modèles de menace de Xapo mettaient régulièrement en évidence le même scénario : une dépendance de confiance est compromise, s'exécute au sein d'un service légitime et exfiltre discrètement des données par l'intermédiaire d'un tiers réputé.
Les contrôles périmétriques traditionnels se concentrent principalement sur ce qui entre dans une application. Cependant, en cas de compromission réussie de la chaîne d'approvisionnement, l'indicateur critique peut être ce qui commence soudainement à en sortir.
"Dans ce secteur, tout est conçu pour inspecter ce qui entre, mais l'exfiltration est un problème sortant, et le seul endroit disposant d'un contexte suffisant pour juger le trafic sortant est la couche applicative elle-même."
Xapo souhaitait répondre aux deux aspects de ce scénario : empêcher les dépendances malveillantes d'entrer dans l'environnement, puis supposer que la prévention pourrait éventuellement échouer et détecter les comportements malveillants à l'exécution.
Solution
Xapo a intégré Aikido comme une couche supplémentaire dans une stratégie de défense en profondeur déjà mature. Cloudflare a continué à protéger la périphérie. Aikido a pris en charge la sécurité du code, des dépendances et de la sécurité des conteneurs tout au long du pipeline, chaque solution fonctionnant comme une capacité de premier plan plutôt que comme une simple couverture supplémentaire, la quasi-totalité des dépôts de code de Xapo étant désormais analysée par les outils Aikido.
Aikido Safe Chain a ajouté un filtre préventif à l'échelle de l'organisation. Si un nouveau paquet est compromis, Xapo n'a pas à compter exclusivement sur la découverte de cette compromission après l'installation.
Zen, le pare-feu intégré à l’application d’Aikido, ajoute la couche d'exécution manquante au cœur même des applications.
La distinction avec la sécurité périmétrique était importante : juger une requête sur son apparence par rapport au suivi de ses actions réelles au sein de l'application, en suivant les données de la source au récepteur pour déterminer si une vulnérabilité est réellement exploitable.
« Le périmètre ne peut juger une requête que sur son apparence. Zen, le pare-feu intégré à l’application d’Aikido, la juge sur ses actes. »
Zen offre également à Xapo une visibilité sur les connexions sortantes au niveau de chaque service. L'équipe peut établir à quoi ressemble un comportement sortant normal et identifier lorsqu'un service commence soudainement à communiquer avec une nouvelle destination, un signal important si une dépendance légitime est compromise.
Xapo a soumis Aikido à un test de faisabilité exigeant.
L'équipe de sécurité a publié ses propres faux paquets npm malveillants, a envoyé des charges utiles d'attaque à Zen et a documenté chaque lacune découverte. Ce qui s'est démarqué n'était pas seulement ce que le produit pouvait déjà faire, mais la rapidité avec laquelle Aikido a réagi lorsqu'il ne le pouvait pas.
Xapo a bénéficié d'un accès direct aux ingénieurs d'Aikido via un canal Slack partagé. Les bugs ont été traités en quelques jours ou semaines, tandis que les fonctionnalités demandées ont fait l'objet d'engagements contractuels assortis de dates de livraison.
La visibilité et le blocage du trafic sortant faisaient partie de ces demandes. Cette fonctionnalité est passée de la liste de souhaits de Xapo à un engagement contractuel, puis a été intégrée au produit. Fabio qualifie ce niveau de réactivité de la part d'un fournisseur de rare.
Aikido s'est également intégré à l'infrastructure de sécurité que Xapo avait déjà mise en place, évitant ainsi d'obliger l'équipe à la remplacer. Les API et les webhooks transmettent les résultats aux outils de gestion des vulnérabilités et d'automatisation de Xapo, transformant les résultats en tickets et les détections en scénarios de réponse sans copier-coller manuel.
Résultats
L'impact mesurable le plus évident est la réduction du bruit lié aux vulnérabilités que l'équipe de sécurité de Xapo n'a plus besoin d'analyser.
Aikido a réduit 5 880 résultats initiaux à 275 problèmes pertinents, soit une réduction de 95 % des faux positifs et du bruit.
L'analyse de l'accessibilité et d'autres facteurs contextuels permettent à Aikido de déterminer si les résultats représentent un risque réel avant qu'ils ne parviennent à l'équipe. Sans ce contexte, Xapo affirme qu'il aurait dû créer ses propres mécanismes pour déterminer si les composants concernés étaient réellement utilisés et présentaient un risque, puis valider manuellement les faux positifs générés par ces mécanismes.
Cela donne à l'équipe de sécurité plus de temps pour se consacrer aux véritables problèmes de sécurité au lieu de prouver quels résultats ne posent aucun problème.
La vitesse d'investigation s'est également améliorée. Une analyse qui prenait auparavant des heures ne prend désormais que quelques minutes.
Les incidents liés à la chaîne d'approvisionnement en sont un bon exemple. Auparavant, l'équipe devait vérifier manuellement son inventaire des actifs et son SBOM (Software Bill of Materials) capturé, identifier l'emplacement d'une bibliothèque et recouper si la version concernée exposait Xapo à une compromission récemment divulguée.
Aujourd'hui, Aikido avertit l'équipe lorsqu'une bibliothèque de son environnement est affectée, tandis que Safe Chain ajoute un filtre préventif dans la CI/CD. Les systèmes principaux de Xapo sont construits autour d'un seul langage de programmation, mais l'équipe apprécie de savoir qu'Aikido étudie les compromissions de paquets émergentes et les met en regard de la réalité de son propre environnement.
Zen est désormais déployé sur plus de 100 services en environnements de staging et de production, offrant à Xapo une visibilité d'exécution par service qui n'existait pas auparavant.
Cette couche supplémentaire a prouvé sa valeur lors d'une véritable attaque par balayage contre l'un des services de Xapo.
La première vague de requêtes malveillantes a traversé le périmètre avant que la limitation de débit ne s'enclenche. Zen les a signalées immédiatement, le contexte applicatif indiquant le service ciblé, la route touchée, la charge utile utilisée et si l'activité était réellement exploitable.
Ce qui aurait pu auparavant nécessiter une enquête a posteriori à partir des logs est devenu une détection en temps réel et hautement fiable.
"Le contexte d'exécution d'Aikido transforme les alertes en réponses. Nous n'avons pas passé des heures à nous demander 'est-ce bien réel ?'. Nous le savions déjà."
Les défenses périmétriques de Xapo continuent de gérer ce qu'elles ont toujours géré. Zen y ajoute une couche en amont, renforçant l'architecture dans son ensemble.
L'edge continue de gérer le volume et les grandes catégories d'attaques. Zen apporte une perspective supplémentaire depuis l'intérieur de l'application pour tout ce qui parvient à passer. Parallèlement, l'intelligence d'Aikido en matière de dépendances et de malwares ainsi que Safe Chain contribuent à réduire la probabilité qu'une dépendance compromise n'atteigne l'application.
La détection alimente ensuite directement l'automatisation de Xapo. Les résultats arrivent avec un contexte d'exploitabilité et peuvent déclencher des actions de réponse automatisées. Comme l'explique Fabio, bloquer un utilisateur malveillant relève désormais d'un simple appel API plutôt que d'une cellule de crise.
Il en résulte une architecture où l'application elle-même est devenue une couche de détection supplémentaire.
Verdict final
Xapo ne cherchait pas un autre outil de périmètre. Davantage d'outils périmétriques n'auraient pas comblé cette lacune. C'est le contexte qui l'a fait, le genre de contexte que les contrôles existants de Xapo ne pouvaient pas fournir.
"Aikido a transformé nos applications, qui constituaient notre plus grand angle mort, en un élément de notre surface de détection, et Zen garantit que tout ce qui passe à travers le périmètre doit encore franchir une couche qui comprend l'application elle-même."
Pour une banque où la confiance est fondamentale pour le produit, cette couche supplémentaire comble un écart important entre la prévention et la réponse.
