一目でわかる
- 包括的な ペンテスト を約5時間半で完了させた。これに対し、以前の人的テストでは約15営業日を要していた。
- 人間のペンテストよりも多くの問題を洗い出し、その中には深刻度の高い発見事項も含まれていた
- ツールを統合し、重複や誤検知を排除することで、アラートの数を数万件から数百件に削減しました
- 開発者にワンクリックで実行できる「AutoFix」機能を提供したことで、問題1件あたりの修正に費やす時間が大幅に短縮された
- Axiosのインシデントの際には迅速な確認を行うなど、サプライチェーン上のリスクを早期に把握した
- セキュリティ部門を、開発の妨げとなる存在から、開発者が問題を持ち込む相手へと変えた
拡大する決済ビジネスに合わせてセキュリティ体制を強化する
Tyro Paymentsは2003年以来、事業運営において決済を「手間のかからない部分」にするべく取り組んできました。シドニーに拠点を置く同社は、オーストラリアの銀行監督機関APRAの規制を受ける上場銀行であり、全国8万社以上の加盟店に対し、店舗・オンライン・モバイル決済に加え、拡大を続ける銀行商品群を提供しています。
アルン・シン氏は、Tyroの情報セキュリティ責任者です。同氏は、同社が保有する機密性の高い顧客確認（KYC）情報を含め、加盟店各社の個人データを保護する責任を担っています。決済企業にとって、この責任は、すべての加盟店に対して約束する中核的な責務と密接に関連しています。
「私たちは加盟店から多くの機密データ、特にKYC情報を数多く受け取っています。それらを保護することは、当社の事業における中核的な約束の一つです。加盟店が初めて契約を結ぶ際、私たちは『データを安全に保護する』と約束しています。」
難しいのは、開発者が迅速に製品をリリースする中で、その約束を守り続けることです。Tyroがどれほど進歩したかを最も如実に示しているのは、同社のペネトレーションテストに起きた変化です。
課題
分散型ツールと増え続ける未処理案件
導入する前に Aikidoを導入する前、チームはさまざまな脆弱性 ツールを個別に運用しており、検出された脆弱性の報告は、誰にも処理しきれないほどの速さで山積みになっていました。
「プレ-Aikido 導入前は、かなり分散化された脆弱性 運用していました。誤検知の割合がかなり高く、特にセキュリティチームはアラートの洪水に溺れそうになっていました。エンジニアリングチームに調査すべき何千ものアラートを押し付けると、その作業は常に優先順位を下げられてしまうことになっていました。未処理のタスクは増え続けるばかりで、やがて手に負えなくなってしまったのです。」
追いつけなかったペネトレーションテスト
ペネトレーションテストは時間がかかり、費用もかかった上、その待ち時間に見合う成果が得られることはめったになかった。たった1回のテストでプロジェクトが数週間も停滞し、得られる成果はごくわずかだった。
「ペンテスト 約15営業ペンテスト プロジェクトの遅延を招く上、費用は数万ドルに上ります。発見された脆弱性はそれほど多くなく、ほんの一握り程度でした。」
Tyro Paymentsが選ばれた理由 Aikido
チームが信頼できる調査結果
最も重要な変更点は、精度の向上でした。従来のツールでは、パッケージにCVEが割り当てられている場合、Tyroが脆弱にさらされているとみなされていたため、開発者は実際にはリスクにさらされていなかったコードにパッチを当てることに時間を浪費していました。 Aikido はソースコードを読み取り、脆弱性のあるコードが実際に実行可能かどうかを確認します。
「本来なら10分か15分で済むはずの作業に半日かかってしまい、ようやくCVEに登録されていた脆弱な機能に気づいたのですが、実際にはその機能を使ったことがなかったのです。つまり、実際には脆弱性にはさらされていなかったのです。そこで Aikidoなら、ソースコードを分析して脆弱性性を文脈に合わせて把握し、その脆弱なコードが実際に使用されているかどうかを教えてくれます。」
数字に基づいて下された決断
タイロは選ばなかった Aikido を選んだわけではない。チームは他の選択肢と比較検討した結果、これが最も優れていると判断したのだ。
「私たちは比較しました Aikido をSnyk、Checkmarx、そしてCrowdStrikeのアプリケーションセキュリティ態勢管理ツールと比較しました。情報の提示方法、誤検知の低減、そしてエンジニアが発見、影響評価、是正措置を進める際のガイダンスという点において、常にAikidoがトップの評価を得ました。選択は極めて容易でした。」
迅速に動いたプロダクトチーム
その製品を手掛けた人々も、製品そのものと同じくらい際立っていた。
「もし新しい機能や改善点があれば、私たちは Aikido チームにメッセージを送ると、24時間以内に迅速に対応して修正をリリースしてくれました。ここ数年、この製品が進化していく様子を見守ることができて、本当に素晴らしい経験でした。」
数万件の通知から数百件へ
以下に統合 Aikido への統合により、チームは直接的な依存関係 から、従来のツールでは把握しきれていなかった推移的な依存関係依存関係 、エンドツーエンドの可視性を得ることができ、本来の業務を覆いノイズ を取り除くことができました。
「このツールは、直接的な依存関係 から推移的な依存関係 依存関係 、エンドツーエンドの可視性を提供してくれます。これは、当社がこれまで使用していた他の多くのツールにはなかった機能です。また、アラートの優先順位付け、重複排除、誤検知の除去も行います。その結果、常時数万件あったアラートが、わずか数百件にまで減少しました。」
残っていた問題の修正も、より迅速に行えるようになりました。開発者がパッチの適用方法や、その修正によって他の部分に不具合が生じないかを検討するために何時間も費やす代わりに、AutoFixがその作業を代行し、開発者にレビュー用の変更内容を提示します。
「～とともに AikidoのAutoFixを使えば、ボタンをクリックするだけで実際の修正が適用され、それを確認してPRを提出し、テストを行えば完了です。これにより、ワークフローが本当に効率化されました。」
数時間で完了したペンテスト
最も顕著な成果が得られたのは、AIによるペネトレーションテストでした。Tyro社は、新たに発売するヘルスケア製品について概念実証（PoC）を実施し、AIペンテスト と、従来から採用していた人間のテスターによるテストをペンテスト 行いました。
「当社の現職のペネトレーションテスターが約15日間を要しました。同じ作業を Aikidoで同じテストを実施しました。所要時間は5時間半で、約30件の問題（うち9件が重大）を発見しましたが、人間のペネトレーションテスターが発見したのは5件（うち1件が重大）でした。」
今後の計画としては、人員を維持しつつ処理速度を向上させ、AIを活用して対応範囲を広げ、人間のレビュー担当者がそれを確認するという方針です。
「当社の計画は、ペネトレーションテスト コード監査ペネトレーションテスト ペネトレーションテストのパートナー企業による人的レビューを加えたハイブリッドモデルです。コストは以前支払っていた金額よりも大幅に安いため、限られたリソースでより多くのことを実現できます。」
開発者が実際に使用するトレーニング
セキュリティ意識の向上は、それ自体が独立した予算項目となっていましたが、あまり好まれているものではありませんでした。Tyroが費用を負担していたツールは、実際の業務とは切り離された状態で運用されており、開発者への学びはほとんどありませんでした。短時間で視聴できる教育用動画は Aikido がYouTubeやその他のソーシャルメディアプラットフォームで絶えず公開している「一口サイズ」の教育動画は、それまで主流だった本格的なセキュリティ意識向上プラットフォームよりも、開発者の関心をより引きつけるものだった。
「私が入社した当時、当社には約10万ドルかかる開発者向けセキュリティプログラムがありました。開発者たちは常にそれに対して否定的なフィードバックをしていました。彼らの業務負荷に合わせて調整されていなかったため、実際にそこから学ぶことはほとんどありませんでした。どちらかといえば、単なる形式的なチェック作業に過ぎなかったのです。しかし、 Aikidoのおかげで、脆弱性 、それを防ぐ方法を学ぶために視聴する、短くて分かりやすい脆弱性 。私たちが長年提唱してきたセキュア開発の実践が、早い段階から実際に導入され始めていることに気づき始めました。」
サプライチェーン全体を把握する
Tyroでは、サプライチェーンリスクは取締役会レベルで議論される重要な課題であり、マルウェアスキャンや脅威インテリジェンスが真価を発揮する場面でもあります。これらは、侵害されたパッケージが本番環境に到達する前に検知する役割を果たしています。その価値は、Axiosのインシデントの際に、チームが困難な質問に迅速に回答できたことからも明らかでした。
「サプライチェーンのセキュリティは最優先課題です。取締役会レベルでもこの件について議論しています。 Aikidoのマルウェアスキャン機能と脅威インテリジェンスを活用することで、問題を早期に検知し、本番環境に到達する前に未然に防いでいます。Axiosの侵害事件が起きた際、チームからは『当社ではAikidoは使用していない』との報告がありました。そこで私たちは Aikidoにアクセスして状況を報告し、バージョンを確認した上で、システムが侵害されていないかチェックしました。幸いにも被害はありませんでしたが、これは大きな気づきとなりました。」
その後、レッドチーム演習によって次の脆弱性が明らかになりました。Tyroは、VS Codeマーケットプレイスに公開された悪意のあるIDE拡張機能が開発者のシークレット盗み出すシナリオをシミュレートしたところ、そのレイヤーでは対策が講じられていないことが判明しました。この脆弱性を解消することが、デバイス保護が次の優先課題となっている理由です。
Tyro Paymentsの今後の展望
Tyroは現在、 Aikido を、ソフトウェア構成解析、静的解析（SAST）、動的解析（DAST）、AutoFix、到達可能性解析、マルウェアスキャンおよび脅威インテリジェンス、ならびに開発者向けトレーニングに活用しています。
今後は、AIによるペネトレーションテストを、人間によるレビューを組み合わせたハイブリッドモデルへと拡大し、併せてAIによるコード監査の可能性を模索するとともに、レッドチーム演習で明らかになった開発者とデバイスの間のギャップを解消するためのデバイス保護パイロットを実施していく方針です。
最終的な評価
アルンにとって最も大きく変わったのは、開発者たちがセキュリティをどのように扱うようになったかという点だ。
「以前は、セキュリティに対する彼らの認識はかなり否定的でした。しかし今では、関係は非常に良好です。問題が見つかったり、セキュリティ侵害の話を聞いたりすると、彼らは私たちに相談に来て、積極的に関わり、学びたいと望んでいます。」
それがどういうことなのかと尋ねられると、彼は簡潔に答える。
「今あるもので、以前よりもはるかに多くのことができるようになった。」
