Nir Valtman, generální ředitel a zakladatel společnosti Arnica – rozhovor

Nir Valtman je generální ředitel a zakladatel společnosti Arnica, platformy, která umožňuje podnikům proaktivně chránit softwarový dodavatelský řetězec před riziky automatizací denních bezpečnostních operací a umožňováním vývojářům převzít odpovědnost za bezpečnost bez vzniku dalších rizik či zpomalení vývoje.

Co vás původně přitáhlo k kybernetické bezpečnosti?

Vyrůstal jsem s myšlením hackera. Začal jsem tím, že zničil počítačovou laboratoř ve své první programovací třídě a hackl do jiných počítačů s velmi malými programovacími dovednostmi, a to vše, když mi bylo 13 let. Když jsem vstoupil do armádní služby v Izraeli, získal jsem praktické vzdělání v obranné straně bezpečnosti, což nakonec vedlo k mé profesionální kariéře v kybernetické bezpečnosti. 

Můžete sdílet příběh o vzniku Arnicy?

Před Arnica jsem pracoval ve společnosti Finastra, třetí největší globální FinTech společnosti, jako viceprezident pro bezpečnost. Následky nechvalně známého incidentu SolarWinds se právě začaly uklidňovat a náš generální ředitel se mě zeptal, jak můžeme minimalizovat riziko, že budeme zasaženi útokem na softwarový dodavatelský řetězec. Provedli jsme komplexní hodnocení společností, které stavěly řešení v tomto prostoru, u několika z nich jsme provedli ověření konceptu. Žádný z dodavatelů nebyl vhodným řešením pro to, co jsme hledali: komplexní pokrytí, aktivní zmírnění rizik a skvělou zkušenost pro vývojáře. Zvláště zkušenost vývojáře byla kritická, protože jakékoli řešení, které bych uvalil na vývojáře, které by narušilo jejich pracovní postupy, by bylo odmítnuto a my bychom se vrátili na začátek. 

Bez nalezení řešení, rozhodl jsem se prozkoumat každý softwarový dodavatelský řetězec útok, který se udál za posledních 5 let, abych vytvořil pochopení klíčových symptomů a jak je předcházet. Současně jsem mluvil se dvěma přáteli, Eranem Medanem (CTO) a Dikem Dahanem (COO), kteří měli rozsáhlé zkušenosti s vedením vývoje a operací. Eran a Diko vyjádřili podobné výzvy při hledání řešení – Diko z technického operačního hlediska a Eran z hlediska vývoje. Vzhledem k tomu, že nikdo z nás nenašel vhodné řešení, vyvinuli jsme hypotézu, jak by mělo vypadat řešení. Prošli jsme desítky validačních hovorů s bezpečnostními, operačními a inženýrskými lídry, které potvrdily problém a naši hypotézu o nutném řešení. O několik měsíců později, v srpnu 2021, jsme založili Arnica. 

Arnica poskytuje bezpečnost založenou na chování, můžete definovat, co je bezpečnost založenou na chování?

Pokud někdo dal vám ručně psanou poznámku a řekl vám, že jste ji napsali, pravděpodobně byste byli schopni říci, zda je to skutečně vaše. Pokud například písmo není vaše, poznámka byla datována před vaším narozením a je napsána ve francouzštině (kterou neumíte mluvit nebo psát), bylo by zřejmé, že nejste autorem. Přistupujeme podobně ke kódu, kromě toho, že vytváříme profil každého vývojáře, který se skládá z tisíců faktorů (také známých jako příznaky ve strojovém učení). Sledováním tendencí a chování vývojářů můžeme zastavit rizika, která se odchylují od jejich normálních vývojových vzorců. To nám pomáhá zastavit převzetí účtů, vnitřní hrozby a další rizika spojená s vývojem softwaru. 

Můžete diskutovat, jak platforma identifikuje nuance toho, jak každý vývojář pracuje?

Arnica využívá historické audity a aktivity kódu k vygenerování behaviorálního otisku pro každého vývojáře. Tento otisk reprezentuje známé a očekávané chování vývojářova používání oprávnění, stylu kódování, jazyka commitu a vývojových postupů. Jsme pak schopni porovnat všechny budoucí aktivity s tímto otiskem, abychom určili pravděpodobnost, že budoucí kód pochází od tohoto autora.

Co se stane, když systém označí anomální chování?

Vždy usilujeme o maximální bezpečnostní hodnotu a současně eliminujeme vývojářské tření. Když Arnica detekuje anomální chování od vývojářského účtu, označíme to v Arnica a automaticky pošleme další ověření prostřednictvím přímého chatu danému vývojáři a bezpečnostnímu týmu na základě vaší konfigurace zásad.

Jak Arnica pomáhá s auditem kódu?

Arnica poskytuje okamžité oznámení vývojářům, když pushují změny kódu, snižuje počet rizik, které dosáhnou pull requests. Pro ta rizika, která dosáhnou pull requests, Arnica zavádí automatizované kontroly kódu na PR. Když jsou rizika nalezena, Arnica komentuje s podrobnostmi o riziku a kontextem pro každé riziko. Arnica může také automaticky blokovat merge, kde existují rizika, bránící jim v dosažení produkčního kódu.

Arnica také umožňuje identifikaci zranitelných závislostí třetích stran, můžete diskutovat, jak to funguje pro vývojáře?

Arnica skenuje všechny balíčky třetích stran a rizika na každé pushnutí kódu a upozorňuje vývojáře přímo prostřednictvím ChatOps, když používají verze se zranitelnostmi nebo zavádějí balíček s nízkou reputací do kódu. 

Jaké jsou některé další funkcionality, které nabízí platforma Arnica?

Arnica se zaměřuje na poskytování platformy pro bezpečnostní týmy aplikací, aby získaly přehled o všech rizicích softwarový dodavatelský řetězec, aby mohli priorizovat tato rizika a aby mohli snadno zastavit nová rizika a opravit existující rizika. Poskytujeme tuto schopnost napříč širokým spektrem kategorií rizik, včetně nadměrných oprávnění vývojářů, rizik kódu vyplývajících z SAST (Static Application Security Testing) a IaC (Infrastructure as Code) skenování, tajných údajů zapsaných přímo do kódu, závislostí třetích stran a dalších. 

Je něco jiného, co byste rádi sdíleli o Arnice?

V Arnice, stejně jako vyvíjíme řešení pro zabezpečení aplikací a softwarového dodavatelského řetězce, považujeme se za společnost pro zkušenosti vývojářů. Chceme udělat řešení bezpečnostních problémů bezproblémovou a příjemnou zkušeností. Vezměte si například naše řešení pro odstraňování uniklých tajných údajů. Identifikujeme tajné údaje při pushnutí kódu, ověřujeme je a posíláme oznámení vývojáři v jeho chatovém nástroji podle jeho výběru. Oznámení dává vývojáři tlačítko – „Opravit to pro mě“ – které odstraní tajné údaje z celé historie Gitu bez toho, aby vývojář musel psát jakýkoli git příkaz. Jen jeden klik. 

Věříme, že pokud můžeme udělat bezpečnost snadnou a příjemnou součástí vývojářské zkušenosti, každá organizace, která používá Arnica, bude lepší.  

Děkuji za skvělý rozhovor, čtenáři, kteří chtějí se dozvědět více, by měli navštívit Arnica.