Nir Valtman, Arnica’nın CEO’su ve Kurucusu — Röportaj Serisi

Nir Valtman, Arnica‘nın CEO’su ve kurucusudur. Arnica, günlük güvenlik operasyonlarını otomatikleştirerek kuruluşların yazılım tedarik zincirini risklere karşı proaktif biçimde korumasını ve geliştiricilerin ek risk yaratmadan veya geliştirme hızından ödün vermeden güvenliğin sorumluluğunu üstlenmesini sağlayan bir platformdur.

Siber güvenliğe ilk olarak neler sizi çekti?

Ben bir hacker zihniyetiyle büyüdüm. 13 yaşımdayken ilk kodlama dersimde bilgisayar laboratuvarını yok ettim ve çok az kodlama becerisiyle diğer bilgisayarlara sızdım. İsrail’de askerlik hizmetine katıldığımda, güvenlik konusunda pratik bir eğitim aldım ve bu da sonunda siber güvenlik alanında profesyonel kariyerime yol açtı.

Arnica’nın kuruluş hikayesini paylaşabilir misiniz?

Arnica’dan önce, dünyanın üçüncü en büyük finansal teknoloji şirketi Finastra’da güvenlikten sorumlu başkan yardımcısı olarak çalışıyordum. Ünlü Solarwinds olayının etkileri henüz yatışmaya başlamıştı ve CEO’m bana nasıl bir yazılım tedarik zinciri saldırısının riskini minimize edebileceğimizi sordu. Bu alanda çözüm geliştiren şirketleri değerlendirdik ve bazılarıyla kavram kanıtlama çalışmaları yürüttük. Ancak hiçbir sağlayıcı aradığımız özellikleri karşılayamadı: kapsamlı koruma, aktif risk azaltma ve geliştirici deneyimi. Özellikle geliştirici deneyimi çok önemliydi, çünkü geliştiricilerin iş akışını bozan herhangi bir çözüm reddedilecek ve başa dönecektik.

Çözüm bulamadığım için, son 5 yıl içinde gerçekleşen tüm yazılım tedarik zinciri saldırılarını araştırdım ve ana semptomları ve bunları nasıl önleyebileceğimi anlamaya çalıştım. Aynı zamanda, geniş geliştirme ve operasyon liderliği deneyimi olan iki arkadaşım, Eran Medan (CTO) ve Diko Dahan (COO) ile konuştum. Eran ve Diko, benzer zorluklarla karşılaştılar – Diko, teknoloji operasyonları açısından ve Eran, geliştirme açısından. Hiçbir çözüm bulamadığımız için, bir çözümün nasıl olması gerektiği konusunda bir hipotez geliştirdik. Güvenlik, operasyon ve mühendislik liderleriyle doğrulama görüşmeleri yaptık ve problemi ve hipotezimizi doğruladık. Birkaç ay sonra, Ağustos 2021’de Arnica’yı kurduk.

Arnica, uçtan uca davranış tabanlı güvenlik sağlar. Davranış tabanlı güvenlik nedir?

Birisi size el yazısı ile yazılmış bir not verdiğinde ve bunu sizin yazdığınızı söylediğinde, muhtemelen bunu gerçekten sizin yazıp yazmadığınızı anlayabilirsiniz. Örneğin, el yazısı sizinki değilse, not sizin doğumunuzdan önce yazılmışsa ve Fransızca yazılmışsa (ki bunu konuşmayı veya yazmayı bilmiyorsanız), bunun sizin yazmadığınız anlaşılacaktır. Biz de benzer bir yaklaşım kullanıyoruz, ancak kod için. Her geliştirici için binlerce faktörden (makine öğrenmesindeki özellikler) oluşan bir profil oluşturuyoruz. Geliştiricilerin eğilimlerini ve davranışlarını gözlemleyerek, normal geliştirme kalıplarından sapma risklerini durdurabiliyoruz. Bu, hesap ele geçirme, iç tehditler ve yazılım geliştirmeye ilişkin diğer riskleri durdurmamıza yardımcı oluyor.

Her geliştiricinin çalışma şeklinin nüanslarını nasıl tespit edebilirsiniz?

Arnica, geliştiricilerin davranışsal parmak izini oluşturmak için geçmiş denetim ve kod katkı faaliyetini kullanır. Bu parmak izi, geliştiricinin bilinen ve beklenen davranışını temsil eder: izin kullanımı, kodlama stili, commit dili ve geliştirme uygulamaları. Sonra, gelecekteki tüm faaliyetleri bu parmak izi ile karşılaştırarak, gelecekteki kodun bu geliştiriciden geldiği olasılığını belirleyebiliriz.

Sistem anormal davranışları tespit ettiğinde ne olur?

Güvenlik değerini maksimize etmeye ve aynı zamanda geliştirme sürtünmesini ortadan kaldırmaya çalışıyoruz. Arnica, bir geliştirici hesabından anormal davranış tespit ettiğinde, bunu Arnica’da işaretler ve otomatik olarak geliştiriciye ve güvenlik ekibine, politika yapılandırmanıza göre, bir sohbet yoluyla ek kimlik doğrulama gönderir.

Arnica, kod denetimine nasıl yardımcı olur?

Arnica, geliştiricilere kod değişikliklerini pushladıklarında anlık bildirimler sağlar ve pull request’lere ulaşan risklerin sayısını azaltır. Pull request’lerde riskler bulunduğunda, Arnica otomatik kod kontrolleri sunar. Riskler bulunduğunda, Arnica risk ayrıntıları ve azaltma bağlamı ile yorum yapar. Arnica, üretim koduna ulaşmasını önlemek için risklerin bulunduğu merge’leri otomatik olarak engelleyebilir.

Arnica, geliştiricilerin güvenlik açığı içeren üçüncü taraf bağımlılıklarını tespit etmesine de olanak tanır. Nasıl çalışır?

Arnica, her kod push’u için tüm üçüncü taraf paketlerini ve riskleri taramakta ve geliştiricilere, güvenlik açığı içeren sürümleri kullandıklarında veya kod tabanına düşük itibarlı bir paket eklediğinde doğrudan sohbet yoluyla bildirir.

Arnica platformunun sunduğu diğer bazı işlevler nelerdir?

Arnica, uygulama güvenlik ekiplerinin tüm yazılım tedarik zinciri risklerine karşı görünürlük kazanmasına, bu riskleri önceliklendirmesine ve yeni riskleri durdurup mevcut riskleri kolayca düzeltmesine olanak tanıyan bir platformdur. Aşırı geliştirici izinleri, SAST (Statik Uygulama Güvenlik Testi) ve IaC (Kod Olarak Altyapı) taramalarının ortaya çıkardığı kod riskleri, koda gömülmüş gizli bilgiler, üçüncü taraf bağımlılıkları ve daha fazlası dahil olmak üzere geniş bir risk kategorisi yelpazesi sunar.

Arnica hakkında paylaşmak istediğiniz başka bir şey var mı?

Arnica’da, uygulama ve tedarik zinciri güvenlik çözümleri geliştirdiğimiz kadar, kendimizi geliştirici deneyimi şirketi olarak görüyoruz. Güvenlik sorunlarını çözmeyi sorunsuz ve keyifli bir deneyim haline getirmek istiyoruz. Gizli bilgi sızıntılarını giderme çözümümüzü düşünün. Kod push’u sırasında gizli anahtarı tespit eder, doğrular ve geliştiricinin tercih ettiği sohbet aracında bir bildirim gönderir. Bildirim, geliştiriciye “Benim İçin Düzelt” düğmesi verir ve bu, geliştiricinin herhangi bir git komutu yazmasına gerek kalmadan tüm git geçmişinden gizli anahtarı ortadan kaldırır. Sadece bir tık.

Güvenliği geliştirme deneyiminin keyifli ve kolay bir parçası haline getirebilirsek, Arnica kullanan her organizasyon daha iyi olacaktır.

Harika röportaj için teşekkür ederiz. Daha fazla bilgi almak isteyen okuyucular Arnica‘yı ziyaret edebilir.