Банко Серфинанза го намалува времето за управување со пронаоѓање за околу 90% и ги автоматизира своите контроли за безбеден развој со вештачка интелигенција

Студија на случај

За Банко Серфинанца

Банко Серфинанца СА е колумбиска финансиска институција со седиште во Баранкила, специјализирана за потрошувачко банкарство, финансирање на мало и финансиски решенија за мали и средни бизниси.

Како дел од својата стратегија за раст и дигитална трансформација, Банката изгради свои технолошки капацитети за да го забрза лансирањето на дигитални производи и услуги. Развојот на нејзиниот софтвер се потпира на два столба: внатрешна фабрика за софтвер и група специјализирани стратешки партнери кои исто така пишуваат код за Банката.

Предизвикот: вградена безбедност низ дистрибуираниот развој

Кога развојот се забрзува и е поделен помеѓу внатрешен тим и неколку надворешни партнери, контролата на безбедноста повеќе не може да се потпира на рачни прегледи. Секоја испорака е шанса ранливоста на кодот или небезбедната конфигурација на инфраструктурата да стигне до производство без никој да ја забележи на време.

И откривањето не беше проблемот. Со периодични прегледи, безбедносниот тим добиваше томови наоди што мораше рачно да се класифицираат, одлучувајќи еден по еден што заслужува време од развивачот, а потоа доделувајќи ги. Таа класификациска работа, а не анализата, беше тесното грло. Банко Серфинанца идентификуваше три специфични потреби:

• Континуирана, постојана видливост во ризикот од влегување на целиот код во Банката, без разлика дали е напишан од нејзината внатрешна фабрика или од партнер.
• Автоматско приоритизирање, а не рачно тријажирање. Одлучувањето што прво да се поправи не треба да зависи од тоа некој да ги прегледува списоците една по една.
• Контрола во рамките на развојниот циклус, а не потоа. Анализата треба да се спроведува на секој commit и секој pull request, а не како периодичен преглед што остава празнини помеѓу едната рунда и следната.

Основната цел не беше да се додаде уште една алатка за анализа: туку да се зајакне безбедното управување со развојот со автоматизирани, мерливи докази.

Нашиот предизвик не беше откривањето на ранливости, туку тоа да се прави со брзината со која се движат нашиот внатрешен тим за развој и нашите надворешни партнери. Брзото темпо на работење значи постојано зголемување на кодот што влегува во Банката, а со рачни контроли тоа не беше одржливо.

Леонел Сантијаго Санандрес

Директор за оперативен ризик

Решението: платформа усогласена со визијата за дигитална трансформација

Банката го усвои Xygeni по темелна евалуација на алтернативите достапни на пазарот.

Првиот контакт се одржа на 18ENISE, настанот организиран од INCIBE во Леон, Шпанија, каде што тимот на Banco Serfinanza го откри пристапот на Xygeni за управување со безбедноста во развојот на софтвер.

Оттаму, беше спроведен доказ за концептот за да се потврдат две работи: дека платформата е интегрирана со процесите и алатките што Банката веќе ги имаше воспоставено и дека резултатите што ги произведе беа применливи без да се додаде работно оптоварување на безбедносниот тим.

Xygeni го опфаќа целиот циклус од една платформа, со анализа на сопственички код, зависности од отворен код, апликации што работат, API-ја, изложени акредитиви и инфраструктура како код, плус заштита на синџирот на снабдување со софтвер и ASPM слој што ги консолидира и сопствените наоди и оние внесени од други алатки во еден единствен модел на ризик.

Од таа платформа, Банко Серфинанза распореди четири можности, избрани поради нивното вклопување во приоритетите на Банката: вештачка интелигенција SAST на сопственички код, CI/CD Безбедност на pipelines, IaC Security на инфраструктурата како код и слојот на вештачка интелигенција на платформата, кој го автоматизира тријажирањето и приоритизацијата на сè што другите три детектираат.

Интеграцијата беше направена на GitLab, додавајќи анализа на постоечките pipelineс. Репозиториите беа воведувани прогресивно, во фази и според приоритетите на Банката, наместо да се вклучува анализата низ целиот имот одеднаш.cisјонот го избегна вообичаениот ефект од воведувањето на безбедноста: почетен обем на наоди толку голем што тимовите за развој го игнорираа.

Резултатите покажаа силна усогласеност со целите на организацијата, особено во автоматизацијата, видливоста на ризикот и посилните контроли за безбеден развој.

Користени производи на Xygeni

Иако Banco Serfinanza ги тестираше сите производи на Xygeni, зголемувајќи ја покриеноста на анализи и откривањето на проблеми, фокусот и валидираните придобивки за време на PoC беа концентрирани на следново:

CI/CD Безбедност

Pipelines се анализираат како код, со иста каденца како и апликацискиот код. Xygeni проверува pipeline дефиниции и SCM поставки за небезбедни конфигурации, прекумерни дозволи, незаштитени гранки и ризик во процесот на градење, мапирани на OWASP CI/CD Топ 10. За банка со дистрибуиран развој, pipeline е исто толку критична контролна точка како и самиот код: тоа е местото каде што се спојува сè што влегува во Банката, без разлика дали доаѓа одвнатре или однадвор.

AI SAST

Статичка анализа на сопственички код на секој, поддржана од вештачка интелигенција commit pull requestДетектира небезбедни шеми како што се SQL инјекција или крос-сајт скриптирање и го користи сопствениот контекст на складиштето за да го одвои она што е експлоатирачко од она што е теоретско, така што програмерите го гледаат само она што е важно. Истото standard се однесува на код од внатрешниот тим и од стратешките партнери, а кога ќе се потврди наодот, AI Auto-fix ја предлага поправката директно во pull request.

IaC Security

Небезбедните конфигурации во инфраструктурата како код се откриваат пред да се обезбедат, низ Terraform, CloudFormation, ARM, Bicep, Kubernetes, Helm и Dockerfiles, плус сликите од контејнери што ги градат. Guardrails во pull request и pipeline запирање на ризична промена пред да стигне до облакот, а AI Auto-fix го предлага корегираниот шаблон. Поправката се случува кога чини минути, а не по распоредувањето, кога чини период за одржување.

Резултатите

90% помалку време поминато во идентификување, приоритизација и доделување на безбедносни наоди

Заштедите не доаѓаат од побрзо откривање, туку од тоа што повеќе не се класифицира рачно. Анализата се префрли од периодичен преглед на автоматско извршување на секоја commit и секој pull request, а слојот со вештачка интелигенција го доставува ризикот веќе подреден според реален контекст, наместо според теоретска сериозност. Она што порано беше повторувачка задача за безбедносниот тим, прегледување на листи и одлучување што да се додели на кого, сега е веќе решено. Скокот до тие 90% се совпаѓа со воведувањето на слојот со вештачка интелигенција. Континуираното откривање веќе беше решено со вештачка интелигенција. SAST, CI/CD Безбедност и IaC Security; она што недостасуваше беше елиминирање на мануелната работа што се натрупуваше по секоја анализа.

Управување со код што не го пишува сопствениот тим на Банката

Безбедносната контрола се однесува подеднакво на развојот од внатрешната фабрика и од стратешките партнери. Банката премина од доверба во практиките на секој добавувач кон барање на истите проверливи standard, со автоматизирани докази дека е исполнето при секоја испорака, низ повеќе од 100 складишта под континуирана анализа. Ова е резултатот со најдолгорочен дострел во целото распоредување. А standard што се проверува при секоја испорака не зависи од зрелоста на секој партнер или од комерцијалниот однос со нив, и ѝ дава на Банката различна позиција во разговорите со добавувачите.

Рано откривање на слабости пред распоредување на производството

Ранливостите во кодот и небезбедните конфигурации на инфраструктурата се идентификуваат во текот на циклусот на развој, каде што нивното поправање чини само дел од она што ќе чини подоцна. Денес, сите критични и високи наоди се решаваат пред да стигнат до производство.

Од наоѓање до поправка: циклусот се мери во часови, а не во денови

Слабоста што претходно можеше да остане неоткриена до следниот закажан преглед, сега се појавува за неколку минути, во истиот pull request каде што беше воведено и е поправено додека контекстот е сè уште свеж за развивачот. Поправањето престанува да биде прекин и станува дел од работата што веќе е во тек.

Автоматско приоритизирање: од голем број наоди до кратка листа

Тријажата повеќе не е задача на безбедносниот тим. Вештачката интелигенција на платформата го подредува ризикот според реален контекст и ја намалува бучавата што стигнува до развојните тимови. Ефектот не е само технички: го подобрува автоматското приоритизирање: од обем на наоди до кратки листи, односот помеѓу безбедноста и производот, бидејќи она што од програмерите се бара да го поправат е оправдано.

Имплементацијата на Xygeni ни овозможи значително да ги зајакнеме нашите безбедни развојни процеси преку автоматизирање на контролите и рано откривање на ранливости.

Го намаливме времето што го поминувавме во управување и приоритизација на наодите за околу 90%, а денес повеќето од нив се решаваат пред да стигнат до производство. Освен техничките можности на платформата, ја цениме и работата на нејзиниот тим. commitпосветеност на континуирано подобрување, иновации и тесна поддршка во текот на целиот процес.

Xygeni стана важен овозможувач во нашата стратегија за дигитална трансформација и управување со технолошки ризици.

Леонел Сантијаго Санандрес

Директор за оперативен ризик, Banco Serfinanza SA

Банко Серфинанза го намалува времето за управување со пронаоѓање за околу 90% и ги автоматизира своите контроли за безбеден развој со вештачка интелигенција

Студија на случај

Студија на случај

За Банко Серфинанца

Предизвикот: вградена безбедност низ дистрибуираниот развој

Решението: платформа усогласена со визијата за дигитална трансформација

Користени производи на Xygeni

CI/CD Безбедност

AI SAST

IaC Security

Резултатите

Управување со код што не го пишува сопствениот тим на Банката

Рано откривање на слабости пред распоредување на производството

Од наоѓање до поправка: циклусот се мери во часови, а не во денови

Автоматско приоритизирање: од голем број наоди до кратка листа

Обезбедете го вашиот развој и испорака на софтвер

со Xygeni Security