Nir Valtman，Arnica 的 CEO 和创始人 – 采访系列

Nir Valtman 是 Arnica 的 CEO 和创始人，Arnica 是一个平台，能够让企业主动保护软件供应链免受风险，通过自动化日常安全操作，并赋予开发人员在不冒险和不损害速度的情况下拥有安全的权力。Arnica 的官网可以提供更多信息。

您最初是什么吸引您进入网络安全领域的？

我从小就有黑客的思维方式。我13岁时就开始了我的编程之旅，通过破坏电脑实验室和入侵其他电脑，尽管我当时的编程技能还很有限。当我在以色列军队服役时，我接受了防御性安全的实践教育，这最终导致我从事网络安全的职业生涯。

您能否分享一下 Arnica 的创立故事？

在创立 Arnica 之前，我曾在 Finastra，这家全球第三大金融科技公司担任安全副总裁。SolarWinds 事件的尘埃刚刚落定，我们的 CEO 问我如何才能减少被软件供应链攻击影响的风险。我们对该领域的几家公司进行了全面评估，甚至与一些公司进行了试验，但没有一家公司能满足我们的需求：全面覆盖、主动缓解风险和为开发人员提供良好的体验。特别是开发人员的体验方面，对我来说非常关键，因为任何我强加于开发人员的解决方案，如果会破坏他们的工作流程，都会被拒绝，我们将回到起点。

由于没有找到合适的解决方案，我决定研究过去五年发生的所有软件供应链攻击，以了解关键症状和如何预防它们。同时，我与两位朋友 Eran Medan（CTO）和 Diko Dahan（COO）讨论，他们在开发和运营领导方面有丰富的经验。Eran 和 Diko 从技术运营和开发的角度表达了类似的挑战——在寻找解决方案方面，他们都一无所获。鉴于我们都找不到解决方案，我们形成了一个关于什么样的解决方案是必要的假设。我们与安全、运营和工程领导人进行了几十个验证电话，这些电话验证了问题和我们关于必要解决方案的假设。快进几个月到 2021 年 8 月，我们共同创立了 Arnica。

Arnica 提供基于行为的端到端安全，能否定义什么是基于行为的安全？

如果有人给你一张手写的纸条，并告诉你这是你写的，你可能能够判断出这是否真的由你写。如果，例如，笔迹不是你的，纸条的日期在你出生之前，而且是用法语写的（你不会说或写法语），那么很明显你不是作者。我们对代码采取了类似的方法，但我们为每个开发人员建立了一个由数千个因素（也称为机器学习中的特征）组成的配置文件。通过观察开发人员的倾向和行为，我们可以阻止偏离他们正常开发模式的风险。这有助于我们阻止账户接管、内部威胁和其他与软件开发相关的风险。

您能否讨论一下平台如何识别每个开发人员工作的细微差别？

Arnica 利用历史审计和代码贡献活动来为每个开发人员生成行为指纹。这个指纹代表了开发人员已知和预期的行为，包括权限使用、编码风格、提交语言和开发实践。然后，我们可以将所有未来的活动与这个指纹进行比较，以确定未来代码来自该作者的可能性。

系统一旦标记出异常行为会发生什么？

我们始终努力最大化安全价值，同时消除开发摩擦。当 Arnica 从开发人员账户中检测到异常行为时，我们会在 Arnica 中标记它，并根据您的策略配置自动向开发人员和安全团队发送额外的身份验证请求，通过直接聊天进行通信。

Arnica 如何协助代码审计？

Arnica 为开发人员提供实时通知，当他们推送代码更改时，减少了到达拉取请求的风险数量。对于到达拉取请求的风险，Arnica 在 PR 上引入了自动代码检查。当发现风险时，Arnica 会评论风险详情和缓解上下文，并可以自动阻止存在风险的合并，防止它们进入生产代码。

Arnica 还能够识别易受攻击的第三方依赖项，能否讨论一下这对开发人员的工作原理？

Arnica 扫描每个代码推送的所有第三方包和风险，并通过 ChatOps 直接通知开发人员，当他们使用带有漏洞的版本或将低声誉包引入代码库时。

Arnica 平台提供的其他功能是什么？

Arnica 致力于为应用程序安全团队提供一个平台，以便他们能够在整个软件供应链中看到所有风险，能够优先考虑这些风险，并能够轻松停止新的风险和修复现有的风险。我们在广泛的风险类别中提供这一能力，包括过度的开发人员权限、来自 SAST（静态应用程序安全测试）和 IaC（基础设施即代码）扫描的代码风险、硬编码的秘密、第三方依赖项等。

您还想分享关于 Arnica 的其他信息吗？

在 Arnica，我们不仅仅开发应用程序安全和供应链安全解决方案，我们认为自己是一家开发人员体验公司。我们希望解决安全问题成为一种无缝和愉快的体验。例如，我们的秘密缓解解决方案可以在代码推送时识别秘密，验证它，并在开发人员选择的聊天工具中向开发人员发送通知。通知中有一个按钮——“为我解决”——它可以从整个 Git 历史记录中消除秘密，而无需开发人员编写任何 Git 命令。只需点击一下。

我们相信，如果我们能够让安全成为开发体验中容易和愉快的一部分，那么使用 Arnica 的每个组织都将受益。

感谢这次精彩的采访，希望了解更多的读者可以访问 Arnica。