Nir Valtman, CEO e Fondatore di Arnica – Serie di Interviste

Nir Valtman è il CEO e Fondatore di Arnica, una piattaforma che consente alle imprese di proteggere proattivamente la catena di approvvigionamento di software dai rischi automatizzando le operazioni di sicurezza quotidiane e autorizzando gli sviluppatori a possedere la sicurezza senza incorrere in rischi o compromettere la velocità.

Cosa ti ha inizialmente attirato verso la sicurezza informatica?

Sono cresciuto con una mentalità da hacker. Ho iniziato distruggendo il laboratorio di informatica nel mio primo corso di programmazione e hackeando altri computer con pochissime competenze di programmazione, tutto a 13 anni. Quando mi sono arruolato nell’esercito in Israele, ho ricevuto un’educazione pratica sul lato difensivo della sicurezza, che alla fine ha portato alla mia carriera professionale nella sicurezza informatica.

Puoi condividere la storia di come è nata Arnica?

Prima di Arnica, ho lavorato a Finastra, la terza più grande azienda di FinTech a livello globale, come VP di Sicurezza. La polvere dell’infame Solarwinds si stava depositando e il nostro CEO mi ha chiesto come potevamo minimizzare il rischio di essere colpiti da un attacco alla catena di approvvigionamento di software. Abbiamo fatto una valutazione completa delle aziende che costruivano soluzioni in questo settore, alcune delle quali abbiamo testato con proof of concept. Nessuno dei fornitori era adatto a ciò che stavamo cercando: copertura completa, mitigazione attiva dei rischi e una grande esperienza per gli sviluppatori. In particolare, l’aspetto dell’esperienza dello sviluppatore era critico perché qualsiasi soluzione che avrei imposto agli sviluppatori che avesse interrotto i loro flussi di lavoro sarebbe stata rifiutata e saremmo tornati al punto di partenza.

Senza aver trovato una soluzione, ho deciso di ricercare ogni attacco alla catena di approvvigionamento di software che si era verificato negli ultimi 5 anni per formare una comprensione dei sintomi chiave e di come prevenirli. Allo stesso tempo, ho parlato con due amici, Eran Medan (CTO) e Diko Dahan (COO), che avevano una vasta esperienza di leadership nello sviluppo e nelle operazioni. Eran e Diko hanno espresso sfide simili nel trovare una soluzione – Diko da una prospettiva di tech ops e Eran da una prospettiva di sviluppo. Considerando che non avevamo trovato una soluzione, abbiamo sviluppato un’ipotesi di come doveva essere una soluzione. Abbiamo eseguito decine di chiamate di convalida con leader di sicurezza, operazioni e ingegneria, che hanno convalidato sia il problema che la nostra ipotesi sulla soluzione necessaria. Saltando alcuni mesi a agosto 2021, avevamo co-fondato Arnica.

Arnica fornisce una sicurezza basata sul comportamento end-to-end, potresti definire cosa sia la sicurezza basata sul comportamento?

Se qualcuno ti desse una nota scritta a mano e ti dicesse che l’hai scritta tu, probabilmente saresti in grado di dire se è stata scritta veramente da te. Se, ad esempio, la grafia non è la tua, la nota è datata prima che tu nascessi e è scritta in francese (che non sai parlare o scrivere), sarebbe chiaro che non sei l’autore. Seguiamo un approccio simile al codice, tranne che costruiamo un profilo di ogni sviluppatore composto da migliaia di fattori (noti anche come caratteristiche nel machine learning). Osservando le tendenze e il comportamento degli sviluppatori, possiamo fermare i rischi che deviano dai loro modelli di sviluppo normali. Ci aiuta a fermare gli attacchi di account, le minacce interne e altri rischi associati allo sviluppo di software.

Puoi discutere come la piattaforma possa identificare le sfumature di come ogni sviluppatore lavora?

Arnica sfrutta l’attività di audit storico e di contribuzione del codice per generare un’impronta comportamentale per ogni sviluppatore. Questa impronta rappresenta il comportamento noto e atteso dell’utilizzo delle autorizzazioni dello sviluppatore, dello stile di codifica, della lingua di commit e delle pratiche di sviluppo. Siamo quindi in grado di confrontare tutte le attività future con questa impronta per determinare la probabilità che il codice futuro provenga da questo autore.

Cosa succede una volta che il sistema segnala un comportamento anomalo?

Ci sforziamo sempre di massimizzare il valore di sicurezza e, allo stesso tempo, eliminare la frizione nello sviluppo. Quando Arnica rileva un comportamento anomalo da un account di sviluppatore, lo segnaliamo in Arnica e inviamo automaticamente un’autenticazione aggiuntiva attraverso una chat diretta allo sviluppatore in questione e al team di sicurezza in base alla configurazione della tua politica.

Come aiuta Arnica con l’audit del codice?

Arnica fornisce notifiche in tempo reale agli sviluppatori quando spingono modifiche al codice, riducendo il numero di rischi che raggiungono le richieste di pull. Per quei rischi che raggiungono le richieste di pull, Arnica introduce controlli di codice automatizzati sulle PR. Quando vengono individuati rischi, Arnica commenta con i dettagli del rischio e il contesto di mitigazione per ogni rischio. Arnica può anche bloccare automaticamente le fusioni in cui esistono rischi, impedendo loro di raggiungere il codice di produzione.

Arnica consente anche l’identificazione delle dipendenze di terze parti vulnerabili, potresti discutere come funziona questo per gli sviluppatori?

Arnica esamina tutti i pacchetti di terze parti e i rischi su ogni push del codice e notifica gli sviluppatori direttamente via ChatOps quando utilizzano versioni con vulnerabilità o introducono un pacchetto a bassa reputazione nella base del codice.

Quali sono alcune delle altre funzionalità offerte dalla piattaforma Arnica?

Arnica si concentra sul fornire una piattaforma per i team di sicurezza delle applicazioni per ottenere visibilità su tutti i rischi della catena di approvvigionamento di software, per essere in grado di priorizzare quei rischi e per essere in grado di fermare facilmente nuovi rischi e risolvere quelli esistenti. Forniamo questa capacità su una vasta gamma di categorie di rischi, tra cui autorizzazioni eccessive per gli sviluppatori, rischi del codice derivanti da SAST (Static Application Security Testing) e IaC (Infrastructure as Code) scanning, segreti hardcoded, dipendenze di terze parti e altro.

C’è qualcos’altro che vorresti condividere su Arnica?

In Arnica, quanto sviluppiamo soluzioni di sicurezza delle applicazioni e della catena di approvvigionamento, ci consideriamo una società di esperienza dello sviluppatore. Vogliamo rendere la risoluzione dei problemi di sicurezza un’esperienza fluida e piacevole. Prendiamo ad esempio la nostra soluzione di mitigazione dei segreti. Identifichiamo il segreto al push del codice, lo convalidiamo e inviamo una notifica allo sviluppatore nel suo strumento di chat preferito. La notifica fornisce allo sviluppatore un pulsante – “Risolvere per me” – che elimina il segreto dall’intera cronologia git senza che lo sviluppatore debba scrivere alcun comando git. Solo un clic.

Crediamo che se possiamo rendere la sicurezza un parte facile e piacevole dell’esperienza di sviluppo, ogni organizzazione che utilizza Arnica sarà meglio offerta.

Crediamo che se possiamo rendere la sicurezza un parte facile e piacevole dell’esperienza di sviluppo, ogni organizzazione che utilizza Arnica sarà meglio offerta. Grazie per la grande intervista, i lettori che desiderano saperne di più possono visitare Arnica.