完全な銀行免許とビットコインカストディアンとしての認可を持つ同社は、 Aikido Zen を既存のセキュリティスタックに導入した結果、脆弱性 ノイズ を95%削減し、セキュリティ調査にかかる時間を数時間から数分に短縮するとともに、100以上のサービスにわたる実行時の可視性を確保した。
一目でわかる
- 脆弱性 ノイズ の件数を95％削減し、当初の5,880件の検出結果を275件の関連事項に絞り込んだ
- セキュリティ調査および分析にかかる時間 → 分
- ステージング環境および本番環境において、Zen によって100以上のサービスが保護されています
- でスキャンされたコードリポジトリのほぼすべてが Aikido
- 境界防御を突破する攻撃に対するアプリケーションレベルの保護
- Safe Chainは、新たに侵害されたパッケージに対する予防的な防御策を提供します
課題
Xapo Bankにとって、セキュリティは極めて重要な課題です。正式な銀行免許を取得していると同時にビットコインのカストディアンでもあるXapoは、取引が取り消せない場合もある資産を保護しています。個人顧客は貯蓄をこの銀行に託しており、機関投資家も資産をプラットフォームに移す前に、徹底したセキュリティデューデリジェンスを行っています。
セキュリティ運用および製品セキュリティ責任者のファビオ・ピレス氏にとって、セキュリティはビジネスにとって不可欠な要素である。
「私たちにとってセキュリティ上の失敗とは、単にサービス停止のことではなく、誰かの資産そのものです。だからこそ、Xapoにおけるセキュリティは単なる部署ではなく、製品そのものの基盤となっているのです。」
最新のAppSecプラットフォームを導入している多くの組織とは異なり、Xapoは未熟なセキュリティプログラムからスタートしたわけではありませんでした。同銀行はすでに独自のセキュアなソフトウェア開発ライフサイクル（SSDLC）パイプラインを構築しており、静的アプリケーションセキュリティテスト（SAST ）、シークレット によるスキャン、ソフトウェア構成分析（SCA ）、インフラストラクチャ・アズ・コード、およびランタイム分析を、独立したツール間で連携させていました。検出結果は、Xapoの脆弱性 による管理および資産インベントリからのコンテキスト情報で補完され、担当者が割り当てられ、SLAに紐付けられていました。脆弱性 がSLAに違反すると、プルリクエストはマージできなくなりました。
エッジ側では、Cloudflareが対外向けインフラを保護し、一方、内部サービスはゼロトラストネットワークの背後で稼働していました。Xapoは、独自のデセプショントラップや自動対応システムさえ構築していました。
Xapoの制御機能自体に問題があったわけではない。スキャナーによって出力形式や、照合が必要な誤検知が異なっていたほか、重大度スコアは、その検知結果がXapoの環境で実際に悪用可能かどうかとは関連していなかった。また、ランタイムエージェントはホストやコンテナを検知できたものの、ルート、ペイロード、データフロー、想定されるアウトバウンド動作といったアプリケーションのコンテキストを把握できていなかった。
その最後の死角は、サプライチェーンのセキュリティにとって特に重要なものとなった。
Xapoの脅威モデルでは、同じシナリオが繰り返し浮上しました。それは、信頼されている依存関係が侵害され、正当なサービス内で実行され、信頼できる第三者を通じて密かにデータが流出するというものです。
従来の境界制御は、アプリケーションに何が流入するかに重点を置いています。しかし、サプライチェーンが侵害された場合、重要な兆候は、突然アプリケーションから流出し始めるものにあるかもしれません。
「この業界のあらゆる仕組みは、流入するトラフィックを検査するように設計されていますが、情報漏洩はアウトバウンドの問題であり、アウトバウンドのトラフィックを判断するのに十分なコンテキストを持っているのは、アプリケーション層そのものだけです。」
Xapoは、このシナリオの両面に対処したいと考えていました。つまり、悪意のある依存関係 が環境内に侵入するのを防ぐとともに、予防策がいずれ失敗する可能性も想定し、実行時に悪意のある動作を検知できるようにすることです。
ソリューション
Xapoは Aikido 、すでに成熟した多層防御戦略における新たな層として導入されました。Cloudflareは引き続きエッジの保護を担いました。 Aikido パイプライン全体にわたるコード、依存関係、コンテナのセキュリティを引き継ぎ、それぞれが単なる追加の対策にとどまらず、各分野をリードする機能として運用されており、現在ではXapoのコードリポジトリのほぼすべてが Aikido ツールによってスキャンされています。
Aikido Safe Chainは、組織全体に予防的なゲートを追加しました。これにより、新しいパッケージにセキュリティ上の問題が発生した場合でも、Xapoはインストール後にその問題を検知することにのみ頼る必要がなくなりました。
Zen,Aikidoのアプリ内ファイアウォールは、アプリケーション自体の中に欠けていた実行時レイヤーを追加します。
境界セキュリティとの違いは重要だった。つまり、リクエストの外見だけで判断するのではなく、アプリケーション内部で実際に何が起きているかを追跡し、データがソースからシンクへと流れる過程を追って、脆弱性 が実際に悪用可能かどうかを判断することである。
「ペリメーターは、リクエストの外見に基づいてのみそれを判断することができます。 Aikidoのアプリ内ファイアウォール『Zen 』は、その動作に基づいてリクエストを判定します。」
Zen また、Xapoはサービスごとのアウトバウンド接続状況を可視化できます。チームは、通常のアウトバウンド動作のパターンを把握し、あるサービスが突然新しい宛先との通信を開始したことを特定できます。これは、正当な依存関係が侵害された場合に重要な兆候となります。
Xapoは Aikido 厳しい概念実証（PoC）を経てきました。
セキュリティチームは、独自の偽の悪意あるnpmパッケージを公開し、Zen に対して攻撃ペイロードを送信し、発見したすべての脆弱性を記録しました。特に際立っていたのは、製品がすでに何ができるかということだけでなく、それができない場合に Aikido 対応できなかった場合に、どれほど迅速に対応したかという点でした。
Xapoは、 Aikido 共有のSlackチャンネルを通じてエンジニアと直接連絡を取ることができました。バグは数日または数週間で修正され、要望された機能については納期を定めた契約上の約束として具体化されました。
その一つが、アウトバウンドトラフィックの可視化とブロック機能でした。これはXapoの要望リストから契約上の約束へと発展し、最終的には製品に組み込まれました。ファビオ氏は、ベンダーのこうした迅速な対応は稀であると述べています。
Aikido また、チームに既存のセキュリティインフラの置き換えを強いるのではなく、Xapoがすでに構築していたセキュリティインフラと統合されました。APIやWebhookを通じて検出結果がXapoの脆弱性 管理・自動化システムに送信され、手動でのコピー＆ペーストを行うことなく、検出結果がチケットに変換され、検知情報が対応プレイブックとして活用されます。
結果
最も明確に測定できる影響は、脆弱性 ノイズ の件数であり、Xapoのセキュリティチームはもはや調査を行う必要がなくなりました。
Aikido 当初の5,880件の調査結果を275件の関連事項に絞り込み、誤検知を95％削減し、ノイズ 。
到達可能性やその他の文脈的要因により、 Aikido 、調査結果がチームに届く前に、それが有意義なリスクであるかどうかを判断することが可能になります。Xapo社によれば、こうした文脈情報がない場合、影響を受けるコンポーネントが実際に使用されており、リスクをもたらしているかどうかを判断するための独自の仕組みを構築し、その仕組みによって生成された誤検知を手作業で検証する必要があるとのことです。
これにより、セキュリティチームは、どの調査結果が重要でないかを立証することに時間を費やすのではなく、実際のセキュリティ問題への対応により多くの時間を割くことができるようになります。
調査のスピードも向上しました。以前は数時間かかっていた分析が、今ではわずか数分で済むようになりました。
サプライチェーン上のインシデントはその好例です。以前は、チームが資産インベントリと収集したソフトウェアの部品表（SBOM ）を手作業で確認し、ライブラリがどこに存在しているかを特定した上で、影響を受けるバージョンによってXapoが新たに公開されたセキュリティ上の脆弱性にさらされていないかを照合する必要がありました。
現在、 Aikido は、自身の環境内のライブラリが影響を受けた場合にチームに通知する一方、Safe ChainはCI/CD に予防的なゲートを追加します。Xapoのコアシステムは単一のプログラミング言語を中心に構築されていますが、チームは Aikido が新たに発生しているパッケージの脆弱性を調査し、自社の環境の実情と照らし合わせているという事実を重視しています。
Zen 現在では、ステージング環境および本番環境の100以上のサービスに展開されており、Xapoはこれまで得られなかったサービスごとの実行状況の可視性を確保できるようになった。
その追加のセキュリティ層は、Xapoのサービスの一つが実際にスキャン攻撃を受けた際に、その有効性を証明しました。
レート制限が作動する前に、悪意のあるリクエストの第一波が境界を通過してしまいました。Zen はそれらを即座に検知し、どのサービスが標的とされたか、どのルートがヒットしたか、使用されたペイロード、そしてそのアクティビティが実際に悪用可能であったかどうかといったアプリケーションのコンテキスト情報を表示しました。
以前はログに基づく事後調査にとどまっていたものが、リアルタイムで信頼性の高い検知へと変化しました。
"Aikidoのランタイムコンテキストのおかげで、警告が答えへと変わる。私たちは「これは本当なのか？」と何時間も悩む必要はなかった。すでに分かっていたからだ。」
Xapoの境界防御は、これまで通りその役割を果たし続けています。Zen は、その背後にさらなる防御層を追加し、アーキテクチャ全体を強化します。
エッジは引き続き、大量のトラフィックや幅広い種類の攻撃に対処しています。Zen は、エッジを突破した攻撃に対して、アプリケーション内部からの新たな視点を提供します。一方、 Aikidoの依存関係およびマルウェアインテリジェンス機能とSafe Chainは、侵害された依存関係がそもそもアプリケーションに到達する可能性を低減するのに役立ちます。
検出結果は、Xapo独自の自動化システムに直接反映されます。検出結果には悪用可能性に関するコンテキストが添付されており、自動対応アクションをトリガーすることができます。ファビオが説明するように、悪意のあるユーザーをブロックする作業は、もはや「ウォー・ルーム」での対応ではなく、API への1回の呼び出しで済むようになりました。
その結果、アプリケーション自体がもう一つの検知層となったアーキテクチャが実現されました。
最終的な評価
Xapoは、単なるもう一つの境界セキュリティツールを求めていたわけではなかった。境界セキュリティツールを増やしたところで、そのギャップを埋めることはできなかっただろう。実際にそのギャップを埋めたのは「コンテキスト」であり、それはXapoの既存の制御機能では提供できなかったものだった。
「Aikido 「これにより、アプリケーションは、最大の死角から検知対象の一部へと変わりました。また、Zen により、境界をすり抜けた攻撃であっても、アプリケーションそのものを理解している層を突破しなければならなくなりました。」
信頼が商品の根幹をなす銀行にとって、この追加の対策は、予防と対応の間に存在する重要なギャップを埋めるものとなります。
