Nir Valtman, Arnican toimitusjohtaja ja perustaja – Haastattelusarja

Nir Valtman on Arnican toimitusjohtaja ja perustaja. Arnica on alusta, joka antaa yrityksille mahdollisuuden suojata ohjelmistojen toimitusketjua ennakoivasti riskeiltä automatisoimalla päivittäiset turvallisuustoimet ja antamalla kehittäjille mahdollisuuden ottaa vastuu tietoturvasta lisäämättä riskejä tai hidastamatta kehitystä.

Mikä alun perin veti sinut kyberturvaan?

Kasvoin hakkerointiajattelulla. Aloin tuhoamalla tietokoneluokan ensimmäisessä ohjelmointikurssissa ja murtautumalla muihin tietokoneisiin hyvin vähäisillä ohjelmointitaidoilla, kaikki 13-vuotiaana. Kun liityin Israelin armeijaan, sain käytännön koulutuksen turvallisuuden puolustavasta puolesta, mikä lopulta johti ammattiuraani kyberturva-alalla.

Voitko jakaa Arnican synnystarinan?

Ennen Arnicaa työskentelin Finastrassa, maailman kolmanneksi suurimmassa FinTech-yrityksessä, tietoturvasta vastaavana johtajana. Pöly pahamaineisen Solarwinds-hyökkäyksen jäljiltä oli vasta laskeutunut, ja toimitusjohtajamme kysyi minulta, miten voimme minimoida riskin joutua ohjelmistotuotantoketjun hyökkäyksen kohteeksi. Teimme kattavan arvion yrityksistä, jotka kehittivät ratkaisuja tällä alalla, ja toteutimme joidenkin kanssa konseptin toimivuuskokeita. Yksikään toimittajista ei tarjonnut sitä, mitä etsimme: laaja kattavuus, aktiivinen riskien vähentäminen ja erinomainen kehittäjien kokemus. Erityisesti kehittäjien kokemus oli kriittinen, koska mikä tahansa ratkaisu, jonka asetin kehittäjille, joka häiritsi heidän työprosessejaan, olisi torjuttu ja olisimme joutuneet takaisin nollapisteeseen.

Koska ratkaisua ei löytynyt, päätin tutkia jokaista ohjelmistotuotantoketjun hyökkäystä, joka oli tapahtunut viimeisen 5 vuoden aikana, ymmärtääkseni keskeiset merkit ja siitä, miten niitä voidaan ehkäistä. Samalla puhuin kahden ystävän, Eran Medanin (CTO) ja Diko Dahanin (COO) kanssa, joilla oli laaja kokemus kehityksen ja operatiivisen toiminnan johtamisesta. Eran ja Diko ilmaisivat samanlaisia haasteita ratkaisun löytämisessä – Diko tekniseltä operatiiviselta näkökulmasta ja Eran kehittämisnäkökulmasta. Koska me kaikki olimme tyhjän päällä ratkaisun suhteen, kehitimme hypoteesin siitä, millainen ratkaisun pitäisi olla. Kävimme kymmeniä keskusteluja tietoturvan, operatiivisen toiminnan ja ohjelmistokehityksen johtajien kanssa, mikä vahvisti sekä ongelman että hypoteesimme tarvittavasta ratkaisusta. Pari kuukautta eteenpäin, elokuussa 2021, olimme perustaneet Arnican.

Arnica tarjoaa koko kehitysketjun kattavaa käyttäytymiseen perustuvaa tietoturvaa, voitko määritellä, mitä käyttäytymisperusteinen turvallisuus on?

Jos joku antaisi sinulle käsin kirjoitetun viestin ja sanoisi sinun kirjoittaneen sen, osaisit luultavasti sanoa, onko se todella sinun kirjoittamasi. Jos esimerkiksi käsiala ei ole sinun, viesti on päivätty ennen syntymääsi ja kirjoitettu ranskaksi (jota et osaa puhua tai kirjoittaa), olisi selvää, ettet ole sen kirjoittaja. Otamme samanlaisen lähestymistavan koodiin, paitsi että rakennamme profiilin kullekin kehittäjälle, joka koostuu tuhansista tekijöistä (tunnetaan myös koneoppimisen piirteinä). Havainnoimalla kehittäjien taipumuksia ja käyttäytymistä, voimme estää riskejä, jotka poikkeavat heidän normaaleista kehittämisprosesseistaan. Tämä auttaa meitä estämään tilin kaappauksia, sisäisiä uhkia ja muita riskejä, jotka liittyvät ohjelmistokehitykseen.

Voitko keskustella siitä, miten alusta tunnistaa kunkin kehittäjän työskentelytapojen nuansseja?

Arnica hyödyntää historiallista audit- ja koodin muutostietoa luodakseen käyttäytymisprofiilin kullekin kehittäjälle. Tämä profiili edustaa kehittäjän tunnettua ja odotettua käyttäytymistä, kuten käyttöoikeuksien käyttö, koodaustyylit, commit-kieli ja kehittämisprosessit. Voimme vertailla tätä profiilia tulevaan toimintaan ja määrittää, kuinka todennäköistä on, että tuleva koodi tulee tästä kirjoittajasta.

Mitä tapahtuu, kun järjestelmä merkitsee epätyypillisen käyttäytymisen?

Pyrimme aina maksimoimaan turvallisuuden arvoa ja samalla poistamaan kehittäjien kitkaa. Kun Arnica havaitsee epätyypillisen käyttäytymisen kehittäjätililtä, merkitsemme sen Arnicaan ja lähetämme automaattisesti pyynnön lisätodennuksesta kehittäjälle suoraan chat-työkalussa ja turvallisuustiimille määritettyjen tietoturvakäytäntöjen mukaisesti.

Miten Arnica auttaa koodin tarkastuksessa?

Arnica tarjoaa kehittäjille reaaliaikaisia ilmoituksia, kun he tekevät koodimuutoksia, vähentäen riskien määrää, jotka pääsevät pull-pyyntöihin. Niille riskeille, jotka pääsevät pull-pyyntöihin, Arnica esittää automaattisia kooditarkastuksia. Kun riskejä havaitaan, Arnica kommentoi riskien yksityiskohtia ja niiden torjuntayksityiskohtia kullekin riskille. Arnica voi myös automaattisesti estää yhdistämisiä, joissa on riskejä, estäen niiden pääsyn tuotantokoodiin.

Arnica mahdollistaa myös haavoittuvien 3. osapuolen riippuvuuksien tunnistamisen, voitko keskustella siitä, miten tämä toimii kehittäjille?

Arnica skannaa kaikki kolmannen osapuolen paketit ja riskejä koodin jokaisella työnnöllä ja ilmoittaa kehittäjille suoraan ChatOpsin kautta, kun he käyttävät haavoittuvuuksia sisältäviä versioita tai tuovat matalan maineen paketin koodipohjaan.

Mitkä ovat jotkut muut toiminnallisuudet, jotka Arnica-alusta tarjoaa?

Arnica on keskittynyt tarjoamaan sovellusten turvallisuustiimille alustan, jolla voidaan saada näkyvyys kaikkiin ohjelmistotuotantoketjun riskeihin, priorisoida näitä riskejä ja helposti estää uusia riskejä ja korjata olemassa olevia riskejä. Tarjoamme tämän kyvyn laajalla riskiluokkien joukolla, mukaan lukien kehittäjien liian laajat käyttöoikeudet, SAST-tarkastuksissa (sovellusten staattinen tietoturvatestaus) ja IaC-tarkastuksissa (infrastruktuuri koodina) havaitut koodiriskit, kovakoodatut salaisuudet, kolmannen osapuolen riippuvuudet ja paljon muuta.

Onko jotain muuta, mitä haluaisit jakaa Arnicasta?

Arnicassa kehitämme sovellus- ja tuotantoketjun turvallisuusratkaisuja, mutta ajattelemme itseämme kehittäjäkokemukseen keskittyvänä yrityksenä. Haluamme tehdä tietoturvaongelmien ratkaisemisesta sujuva ja miellyttävä kokemus. Otetaan esimerkiksi salaisuuden torjuntaratkaisumme. Tunnistamme salaisuuden, kun koodi lähetetään versionhallintaan, tarkistamme sen ja lähetämme ilmoituksen kehittäjälle heidän valitsemassaan chat-työkalussa. Ilmoitus antaa kehittäjälle painikkeen – “Korjaa se minulle” – joka poistaa salaisuuden koko git-historiasta ilman, että kehittäjän tarvitsee kirjoittaa yhtään git-komentoa. Vain yksi napsautus.

Uskomme, että jos voimme tehdä turvallisuudesta helpon ja miellyttävän osan kehittäjäkokemuksesta, jokainen organisaatio, joka käyttää Arnicaa, on paremmassa asemassa.

Kiitos haastattelusta, lukijat, jotka haluavat oppia lisää, voivat vierailla Arnica-sivustolla.