一目でわかる
- Aikido エンジニアリングチームと非技術チームに分かれた、約1,000席を対象としたデバイス保護
- DerivがすでにGitHubパイプラインで実行していた Aikido DerivがすでにGitHubパイプラインで実行していた「Safe Chain」から一歩進んだもの
- 保護対象の各デバイスに関する完全なソフトウェア部品表（SBOM ）は、 Aikido'sAPI
- パッケージの公開から48時間という最低期間を省略する、重大なCVE修正
- デバイス保護のアラートが、Deriv独自の調査ワークフローに組み込まれている
- サポートの提供が進むにつれ、対応OSの範囲が拡大しています
AIコーディングアシスタントは、パブリックレジストリから任意のパッケージを取得することができます
Derivは、外国為替、派生指数、株式、株価指数、商品、仮想通貨、ETFの24時間取引を提供しており、「誰でも、どこからでも取引ができるようにする」ことを使命としています。
Derivは金融プラットフォームであるため、セキュリティエンジニアリング担当副社長のデビッド・アッシャー氏とそのチームは、セキュリティを最優先事項としており、その取り組みの多くはソフトウェアサプライチェーンに焦点を当てています。同チームは、攻撃テストと防御の両面でAIを活用しています。
Derivには300人以上の開発者が在籍しており、その誰もがいつでもパブリックレジストリからパッケージを取得することができます。さらに言えば、CursorやClaude Codeといった同社のAIコーディングアシスタントも、今では常にその作業を行っています。
「それらのパッケージにマルウェアが含まれていないことを確認する必要があります。ですから、保護メカニズムを備えておくことは非常に重要です。」
Derivでは、すでに第一段階の仕組みが整っていました。商用製品を購入する前に、チームは Aikido パッケージマネージャーがパッケージをインストールする前にマルウェアの有無をチェックするオープンソースのラッパーである「Safe Chain」を、GitHubのパイプラインおよび各デバイス上で実行しました。David氏によると、その機能は十分に果たされたものの、可視性の面で依然として課題が残っていました。つまり、チームは各マシンにすでにインストールされているすべてのソフトウェアを把握できていなかったのです。
各デバイスでの予防策
デビッドにとって、「Device Protection」は、デバイス自体へのマルウェアの侵入を防ぐことで、Safe Chainのアプローチをさらに一歩前進させたものでした。Derivでは現在、複数のオペレーティングシステムにまたがる約1,000台のデバイスでこのソリューションを運用しています。これにより、セキュリティチームは登録されたすべてのデバイスと、各デバイスが実行しているバージョンの概要を把握できるようになりました。また、各デバイスは、エコシステム全体にインストールされているパッケージの一覧であるソフトウェア部品表（SBOM ）も報告しています。
「すべてのデバイスについて、SBOM の全内容を把握できるため、デバイス上にどのようなパッケージが存在するかについて、さらなる知見を得ることができます。」
チームは、サポート対象のエコシステム向けに用意されたテストパッケージを使用して、この設定を定期的にテストしています Aikido 。また、Davidはその上にアラート自動化システムを構築しました。Device Protectionがマルウェアの組織内への侵入を阻止した場合、Derivのセキュリティ運用チームは、そのインストール試行に至った原因を直ちに調査します。
なぜ端末上のエージェントが評価で優勝したのか
Derivは、このツールを選ぶ前に他のツールも検討しました Aikido、しかし Aikido 各デバイス上でエージェントを実行する仕組みとなっており、Davidはこの設計を、Derivが検討していた集中型のアプローチよりも回避が難しいと見なした。また、何か問題が発生した際、セキュリティチームに必要な状況情報を提供してくれる。
「アラートが発生した場合、誰が、どこで、いつ、どのような行動をとったのかを把握することが非常に重要です。そうすることで、直ちに調査を行い、その端末で発生している可能性のあるその他の問題を確実に封じ込めることができます。」
遡及的なチェック、そして待ったなしの重要なパッチ
デビッドは、デバイスインベントリを使って、展開前からマシン上に残っている古いパッケージを探したところ、それらがまだ存在していることを確認し、安心した。また、この機能は事後チェックにも活用できる。 Aikido インテルは新しいマルウェアを迅速に検知しており、リリース後にパッケージがマルウェアであると特定された場合、Derivの自動化システムがそのバージョンが誰かのマシンにインストールされていないかを確認します。
また、「Device Protection」は緊急パッチの適用も迅速に行います。デフォルトでは、パッケージの有効期限を48時間に設定しているため、新しく公開されたバージョンを48時間保持し、公開されたばかりのマルウェアを利用した攻撃をブロックします。新しいバージョンで重大なCVEが修正された場合、「Device Protection」は適切な制御措置を講じた上で、そのバージョンを即座に許可するようになりました。この処理は自動的に行われ、そのバージョンにのみ適用されるため、Derivのチームが設定を行う必要はありません。
「重大なCVEのパッチを適用するのに、2日も待つ必要はありません。そこが重要な点なのです。」
その例外については、Derivが Aikido。Davidは、 Aikidoのチームと共有しているサポートチャネルでリクエストを提起しており、Derivの開始以来、HomebrewやLinuxのサポートを含め、少なくとも2つの新しいエコシステムが追加されたと彼は数えている。
「他の多くの企業は、対応が非常に遅々として進まないことがあります。ロードマップに盛り込んで、半年後にまた確認するといった具合ですが、その頃には手遅れになっており、私たちはすでに次の段階に進んでいるのです。」
エンジニアリング以外の分野への展開
Deriv社では、デバイス保護のライセンス数を、エンジニアリングチームと非技術チームの間で割り当てています。
「技術系以外のチームもますます技術的になってきており、誰もが業務にAIを活用している。だからこそ、 Aikido 社内にAIを活用できる人材を配置することは、非常に重要です。」
誰でも、承認されていないものをインストールしようとする可能性があります。Derivにはそのための他の管理機能があり、同じデバイスインベントリもコンプライアンスの遵守に役立っています。より多くのマシンをそのインベントリに組み込むため、Derivは、 Aikido 対応するようになりました。
サプライチェーンの問題に共に取り組む
デビッドは、完璧な解決策などないことを明確に認識している。彼が重視しているのは、Derivのペースに合わせて動いてくれるベンダーだ。DerivはAIを活用して迅速に製品をリリースしており、彼は Aikido 対応の速さにも、そのスピードを感じている：
「私たちは、製品を改善すると同時に、サプライチェーンのセキュリティ上の課題を解決するために協力しているような気がします。」
