Nir Valtman, CEO & Founder at Arnica – Wywiad

Nir Valtman jest CEO i założycielem Arnica, platformy, która umożliwia przedsiębiorstwom proaktywne zabezpieczenie łańcucha dostaw oprogramowania przed ryzykiem, automatyzując codzienne operacje bezpieczeństwa i upoważniając deweloperów do posiadania bezpieczeństwa bez narażania na ryzyko lub kompromitowania prędkości.

Czym było to, co pierwotnie przyciągnęło Cię do cyberbezpieczeństwa?

Wyrastałem z mentalnością hakera. Zaczynałem od niszczenia laboratorium komputerowego na moim pierwszym kursie programowania i hakowania innych komputerów z bardzo podstawowymi umiejętnościami programowania, wszystko to miało miejsce, gdy miałem 13 lat. Gdy wstąpiłem do służby wojskowej w Izraelu, otrzymałem praktyczne wykształcenie w dziedzinie obronnej bezpieczeństwa, co ostatecznie doprowadziło do mojej kariery zawodowej w cyberbezpieczeństwie. 

Czy mógłbyś podzielić się historią powstania Arnica?

Przed Arnica pracowałem w Finastra, trzeciej co do wielkości globalnej firmie FinTech, jako VP ds. Bezpieczeństwa. Pył osiadł po słynnym ataku na SolarWinds , a nasz CEO zapytał mnie, jak możemy zminimalizować ryzyko wystąpienia ataku na łańcuch dostaw oprogramowania. Przeprowadziliśmy kompleksową ocenę firm budujących rozwiązania w tym zakresie, z których kilka przetestowaliśmy. Żadna z firm nie była dobrym rozwiązaniem dla tego, czego szukaliśmy: kompleksowego zabezpieczenia, aktywnej mitigacji ryzyka i doskonałego doświadczenia dla deweloperów. W szczególności aspekt doświadczenia deweloperów był kluczowy, ponieważ każde rozwiązanie, które narzuciłbym deweloperom, które zakłóciłoby ich przepływ pracy, zostałoby odrzucone, a wrócilibyśmy do punktu wyjścia. 

Arnica zapewnia zabezpieczenie oparte na zachowaniu, czy mógłbyś wyjaśnić, co to jest zabezpieczenie oparte na zachowaniu?

Jeśli ktoś dałby Ci ręcznie napisaną notatkę i powiedział, że napisałeś ją, prawdopodobnie będziesz w stanie stwierdzić, czy naprawdę ją napisałeś. Jeśli na przykład pismo nie jest Twoje, notatka została napisana przed Twoim urodzeniem i jest napisana po francusku (którego nie znasz), będzie jasne, że nie jesteś autorem. Podchodzimy do kodu w podobny sposób, z tym że tworzymy profil każdego dewelopera, składający się z tysięcy czynników (znanych również jako cechy w uczeniu maszynowym). Obserwując tendencje i zachowania deweloperów, możemy zatrzymać ryzyko, które odbiega od ich normalnych wzorców rozwoju. Pomaga nam to zatrzymać przejęcia kont, zagrożenia wewnętrzne i inne ryzyka związane z rozwojem oprogramowania. 

Czy mógłbyś omówić, jak platforma może identyfikować nuansów, w jaki sposób każdy deweloper pracuje?

Arnica wykorzystuje historyczne audyt i aktywność przyczyniania się do kodu, aby wygenerować odcisk behawioralny dla każdego dewelopera. Odcisk ten reprezentuje znane i oczekiwane zachowanie użycia uprawnień dewelopera, stylu kodowania, języka commitu i praktyk rozwoju. Możemy następnie porównać wszystkie przyszłe działania z tym odciskiem, aby określić prawdopodobieństwo, że przyszły kod pochodzi od tego autora.

Co się dzieje, gdy system flaguje niezwykłe zachowanie?

Zawsze dążymy do maksymalizacji wartości bezpieczeństwa i jednoczesnego eliminowania tarcia w rozwoju. Gdy Arnica wykryje niezwykłe zachowanie konta dewelopera, flagujemy je w Arnica i automatycznie wysyłamy dodatkową weryfikację za pośrednictwem bezpośredniej rozmowy z deweloperem, a także zespołem bezpieczeństwa, zgodnie z Twoją konfiguracją polityki.

Jak Arnica pomaga w audycie kodu?

Arnica zapewnia powiadomienia w czasie rzeczywistym deweloperom, gdy pushują zmiany kodu, redukując liczbę ryzyka, które docierają do wniosków o łączenie. Dla tych ryzyka, które docierają do wniosków o łączenie, Arnica wprowadza automatyczne kontrole kodu na PR. Gdy ryzyko jest zlokalizowane, Arnica komentuje szczegóły ryzyka i kontekst mitigacji dla każdego ryzyka. Arnica może również automatycznie blokuje łączenia, w których istnieją ryzyka, uniemożliwiając im dostęp do kodu produkcyjnego.

Arnica umożliwia również identyfikację podatnych zależności stron trzecich, czy mógłbyś omówić, jak to działa dla deweloperów?

Arnica skanuje wszystkie pakiety stron trzecich i ryzyka przy każdym pushu kodu i powiadamia deweloperów bezpośrednio za pośrednictwem ChatOps, gdy używają wersji z podatnościami lub wprowadzają pakiet o niskiej reputacji do bazy kodu. 

Jakie są inne funkcjonalności oferowane przez platformę Arnica?

Arnica koncentruje się na zapewnieniu platformy dla zespołów bezpieczeństwa aplikacji, aby uzyskać widoczność we wszystkich ryzykach łańcucha dostaw oprogramowania, aby mogli priorytetowo traktować te ryzyka i łatwo zatrzymywać nowe ryzyka i naprawiać istniejące ryzyka. Zapewniamy tę możliwość w szerokim zakresie kategorii ryzyka, w tym nadmierne uprawnienia deweloperów, ryzyka kodu wynikające z SAST (Statycznego Testowania Bezpieczeństwa Aplikacji) i IaC (Infrastruktury jako Kod), zakodowane sekrety, zależności stron trzecich i wiele innych. 

Czy jest coś jeszcze, co chciałbyś podzielić się o Arnica?

W Arnica, tak samo jak rozwijamy rozwiązania zabezpieczeń aplikacji i łańcucha dostaw, myślimy o sobie jako o firmie doświadczeń deweloperskich. Chcemy uczynić rozwiązywanie problemów z bezpieczeństwem łatwym i przyjemnym doświadczeniem. Weźmy na przykład nasze rozwiązanie do mitigacji sekretów. Identyfikujemy sekret przy pushu kodu, walidujemy go i wysyłamy powiadomienie do dewelopera w jego ulubionej narzędziu do czatu. Powiadomienie daje deweloperowi przycisk – „Napraw to dla mnie” – który eliminuje sekret z całej historii git bez konieczności pisania przez dewelopera jakichkolwiek poleceń git. Tylko jeden klik. 

Wierzymy, że jeśli możemy uczynić bezpieczeństwo łatwym i przyjemnym elementem doświadczenia deweloperskiego, każda organizacja, która używa Arnica, będzie lepiej przygotowana.  

Dziękujemy za wspaniały wywiad, czytelnicy, którzy chcą dowiedzieć się więcej, powinni odwiedzić Arnica.