Amaysim, ortamında bulunan kod açıklarını, yanlış yapılandırmaları ve diğer sorunları tespit etmek ve bunların iyileştirilmesine öncelik vermek için yeni bir bulut güvenliği işletim modelini benimsemiştir.
Babanın Peter James’i.
Mobil sanal ağ operatörü (MVNO), Wiz’in bulut tabanlı uygulama koruma platformunu (CNAPP) kullanıyor.
Gartner’a göre bir CNAPP, bir dizi güvenlik tarama özelliğini “geliştirme ve üretim aşamalarında bulutta yerel uygulamaları güvence altına almak ve korumak için tasarlanmış” tek bir platformda bir araya getiriyor.
BT operasyonları direktörü Peter James, Sidney AWS Zirvesi’nde Amaysim’in tümü AWS’de olmak üzere “çok geniş bir bulut altyapısı yelpazesi” işlettiğini söyledi.
James, “Bulut içinde doğmadık ama bulutu hızla benimseyen kişilerdik” dedi.
“EC2’de çalışan monolitlerden payımıza düşeni aldık, çok sayıda konteynerimiz var ve CDK üzerinde çalışan daha modern iş yüklerimiz var [Cloud Development Kit] ya da sunucusuz ve aradaki her şey.”
James, bulutun erken benimsenmesinin, gelişen kullanım ve sağladığı değişim temposu ile birleştiğinde, Amaysim’in çevreyi güvence altına alma konusunda çok çeşitli zorluklarla karşılaştığı anlamına geldiğini söyledi.
Çevreye yönelik tehditler, “geliştirici veya mühendislik yanlış yapılandırmasından ulus devlet saldırılarına veya diğer saldırılara kadar” uzanıyordu.
Şirketin mühendislik ekipleri, saldırı yüzeyinde buna karşılık gelen etkilere sahip olan bir değişim oranı olan “muhtemelen ayda 200 üretim sürümü yayınlıyor”.
Ayrıca James, “Sekiz ya da dokuz yıl önce bulut altyapımızı kullanma şeklimiz, bugünkü iş yüklerinden ve şeylere nasıl yaslandığımızdan çok farklı” dedi.
Bu zorluklar bir araya geldiğinde Amaysim’in bulut güvenlik modelinin ortamın ve mevcut kaynakların kullanımına göre ölçeklenebilmesini sağlamak için bir CNAPP’yi denemesine ve nihayetinde benimsemesine yol açtı.
CNAPP’ın kullanım örneklerinden biri, hangi güvenlik açıklarının ele alınması gerektiğini belirleyerek uyarıları toplamak ve önceliklendirmektir.
James, “Mühendislik ve güvenlik için zaman ve çaba, sahip olduğumuz en değerli varlıklardan biridir” dedi.
“En büyük zorluklardan biri önceliklendirmeydi. Denemeniz ve çözmeniz gereken temel güvenlik açıklarının yanı sıra, potansiyel olarak çok sayıda dikkat dağıtıcı güvenlik unsuru vardır.
“Güvenlik risklerimizi gerçekten azalttığımızdan emin olmak için mühendislerimize veya altyapı ekibimize özel olarak hazırlanmış veya önceliklendirilmiş bir liste veriyoruz.
“Genel bir kural olarak mühendisler doğru olanı yapmak isterler. Bu konuda yardımcı olmak ve onların doğru şeyi verimli bir şekilde yapmalarına yardımcı olacak araçları, uygulamaları ve süreçleri kullanmak istiyoruz.”
CNAPP ile yapılan çalışmalar başlangıçta bulut altyapısı değerlendirmesine odaklanmış olsa da platform aynı zamanda mühendislerin en başından itibaren daha güvenli yazılım oluşturmasına yardımcı olmak için de kullanılacak.
James, “Önümüzdeki yıl gerçekten hayata geçirmek istediğimiz şey, henüz olmayan şeyleri düzelttiğimizden emin olmaktır” dedi.
“Şu ana kadar odaklandığımız ve gerçekten iyi olan şey, üretim ortamlarımıza ve gerçekte nelerin çalıştığına bakmaktı.
“Bir sonraki aşamada, ‘Tamam, nasıl olgunlaşacağız ve bundan sonra inşa ettiğimiz şeylerin, ekiplerimizin ellerinden gelenin en iyisini yapmalarına olanak sağlamak için yalnızca engelleyiciler veya süreç geçitleri yerine doğru korkuluklara sahip olmasını nasıl sağlayacağız? Ayrıca risk duruşumuzu da genişletmiyoruz’ mu?
“Mühendislerin üretime kadar kendi kodlarına sahip olmaları gerektiğine kesinlikle inanıyoruz. Wiz gibi araçlar eninde sonunda şunları yapmamızı sağlar: [enable that]Çok büyük bir dayatma olmadan.”
iTnews Güvenlik Durumu 2024 rapor artık mevcut. Tam erişim için burayı tıklayın.
Ry Crozier, AWS’nin konuğu olarak AWS Summit Sydney’e katıldı.