一目でわかる
- Aikido SAST そして SCA GitHub連携を通じてすべてのリポジトリを走査する
- IntelliJプラグインは、開発者がコードを書いている最中にフィードバックを提供します
- Jiraとの連携により、発見事項が修正チケットに変換され、開発者がそれを引き継ぐ
- Aikido 新しいカスタマーポータルでの AI「ペンテスト」が1時間40分で完了しました
- ポータルが公開される前に是正された重大な問題点が1件あった
- ペンテスト ホワイトボックステストを実行したのは、 Aikido すでにリポジトリへのアクセス権を持っていたため
- Veracode、 Checkmarx、 Snykとの比較評価
課題
ファースト・ナショナル・バンク・オブ・アメリカ（FNBA）は、ミシガン州イーストランシングに本社を置く、家族経営の全米認可銀行です。FNBAは、標準的な住宅ローン基準を満たさない借り手に対し、全米で融資を行っており、つい最近までは、同社が開発した物件のほぼすべてが、同銀行の保有物件として残っていました。
銀行の成長に伴い、規制当局の期待も高まったため、FNBAは、コード品質やJavaレビューをカバーしていた開発プロセスに、セキュリティレビューを追加することにした。また、ソフトウェア開発マネージャーのエリック・タッカー氏は、2000年代初頭にさかのぼるデータベースを多用するJavaフレームワーク上で動作する、旧式の社内アプリケーションに存在する既知の脆弱性に対しても対策を講じたいと考えていた。
その後、顧客向けポータルが登場しました。IDおよびアクセス管理エンジニアのマット・キーラー氏は、FNBAで長年にわたり外部および内部ネットワークのペネトレーションテストを実施してきましたが、このプロジェクトが始まるまで、同銀行のアプリケーションコードは他のセキュリティ対策の背後に隠されたままでした。ポータルの導入により状況は一変し、連邦規制対象機関であるFNBAは、アプリケーションを公開する前にペンテスト を実施する必要がありました。
ソリューション
開発チームが先手を打った。エリックと同僚たちが評価を実施し、FNBAがすでに検討していた内容とどれほど迅速に Aikido FNBAがすでに保有していたシステムとどれほど迅速に連携できるかという点が、決定に大きく影響した。
「GitHubとの連携は本当に簡単でした。すべてのリポジトリでスムーズに導入できて、とても助かりました。」
エリック・タッカー
Aikido 現在、FNBAの各リポジトリにおける静的コード解析の結果やオープンソース依存関係に関する検出結果が報告されており、エリックのチームが定期的にそれらに対処しています。IntelliJプラグインは開発者がコードを記述している最中にフィードバックを提供し、検出結果はGitHubのプルリクエストに表示され、新たな重大な問題が発生すると通知で知らされます。Jiraとの連携により、これらの検出結果はチケットに変換され、どの開発者でも引き継ぐことができます。
「社内のアプリケーションの脆弱性を低減させるため、開発者たちにバージョンアップやSQLインジェクション対策の修正を割り当てています。GitHubのアカウントを持つ開発者なら誰でもアクセスして、脆弱性 を選んで修正し、チケットを作成できます。その後は、当社のSDLCプロセスを通じて処理を進めることができます。その段階では非常に簡単です。」
エリック・タッカー
ポータルの準備が整うと、セキュリティチームが引き継ぎました。マットは2026年3月に Aikido AIによるペンテスト を2026年3月に実行しました。処理は1時間40分で完了し、未解決の課題がリストアップされました。各課題には重大度評価と修正にかかる推定時間が付されていたため、マットは優先順位を判断し、修正作業を直接開発者に割り当てることができました。ペンテスト では重大度の高い問題が1件発見されましたが、FNBAはポータルが一般公開される前にこれを修正しました。
ファースト・ナショナル・バンク・オブ・アメリカが選んだ理由 Aikido
FNBAは4～5つの製品を評価し、その中からVeracode、Checkmarx、Snykを挙げました。評価の途中で、チームは自社のコードベースにおいて補う必要のある検出のギャップを指摘しました。 Aikido FNBAが他の評価をまだ進めている最中に、チームはそれを構築してリリースし、これが決定の決め手となった。
ペネトレーションテストの実施決定は、最初の決定に続いて後になって下されました。 Aikido すでにFNBAのコードセキュリティ用リポジトリに接続されていたため、ペンテスト は外部からアプリケーションを攻撃するよりも、コードを詳細に分析することができた。
「このホワイトボックス型のペンテスト は、すべてのリポジトリの背景情報を把握しており、現実の世界で物事がどのように機能するかを関連付けて分析できたため、より大きな効果をもたらした。」
マット・キーラー
FNBAも時間との戦いを強いられており、迅速かつ信頼性の高いペンテスト をできるだけ早く実施する必要がありました。
「締め切りが迫っていたのですが、すぐにペンテスト を起動できたのは本当に助かりました。このツールを使うことに決めてから1日以内に、ペンテスト を起動することができました。 Aikido。」
マット・キーラー
この決定の背景となった要因：
- すべてのリポジトリを迅速に網羅したGitHub連携機能
- FNBAが要請した検出機能は、評価の途中で構築・出荷された
- 開発者に即座にフィードバックを提供するIntelliJプラグイン
- 既存のSDLCに適合するJira連携
- ペンテスト をデフォルトでホワイトボックスにしたリポジトリのコンテキスト
- ペンテスト チームは、運用を決定してから1日以内に開始できる
結果
ペンテスト が迅速に完了したおかげで、重大度の高い脆弱性が修正された状態でポータルが公開されました。マット自身の見立てでは、チームはいずれは解決できたでしょうが、それは数週間、あるいは1～2ヶ月後になってからだったでしょう。
開発面においては、その結果は、エリックが社内外の監査人に提示できる実績となっている。
「私たちは、発見された問題を継続的に解消するとともに、新たな脆弱性や依存関係の問題に関する報告を絶えず受け取り、それらを修正しています。」
エリック・タッカー
セットアップにかかる時間も考慮に入れられた。エリックは Aikidoセットアップと統合のプロセスが、他の製品の場合、評価を始めることさえできないうちにチームに発生していたコストに比べれば、非常に簡単だと評価している。
最終的な評価
「ペンテスト を即座に発射できたこと、そしてその価格を考えると、私たちにとって信じられないほどの価値がありました。」
マット・キーラー
