Autoscaling della sicurezza delle applicazioni di produzione nella pipeline CI/CD di Betterment

Betterment si affida al Next-Gen WAF di Fastly per l'autoscaling della sicurezza delle applicazioni di produzione nella pipeline CI/CD

Sfida

Betterment aveva bisogno di una soluzione in grado di proteggere le informazioni personali identificative (PII) e le risorse finanziarie dei clienti, che potesse adattarsi automaticamente e bloccare gli attacchi senza richiedere una continua ottimizzazione delle firme né compromettere le prestazioni.

Betterment è un consulente finanziario online con oltre 14 miliardi di dollari di asset in gestione. Per supportare una base utenti di oltre 380.000 clienti che accedono alla sua piattaforma online, l'azienda avvia quotidianamente numerosi server web attraverso la propria pipeline di integrazione e distribuzione continue (CI/CD).
Sapere se, quando e in che modo gli account degli utenti potrebbero essere oggetto di attacchi è fondamentale per garantirne la sicurezza. Prima di implementare Next-Gen WAF, la preoccupazione principale dei team di ingegneria e sicurezza di Betterment (sulla base delle precedenti esperienze con i WAF legacy) era il rapporto segnale/rumore. Era fondamentale che un WAF fosse in grado di scalare automaticamente e bloccare con precisione gli attacchi senza aumentare il volume delle chiamate all'assistenza o creare più lavoro per i team di ingegneria o sicurezza.

Soluzione

Da quando ha adottato Next-Gen WAF, il team di sicurezza di Betterment ha visto ridursi il proprio carico di lavoro grazie all'automazione dell'implementazione e degli aggiornamenti e alla possibilità di accedere rapidamente a informazioni approfondite senza compromettere le prestazioni.

Difesa web scalabile automaticamente

Per implementare il WAF di nuova generazione, il team operativo di Betterment ha creato un semplice playbook Ansible in modo che ogni nuova istanza dell'applicazione riceva automaticamente l'installazione dei moduli e degli agenti del Next-Gen WAF nell'ambito della propria pipeline CI/CD. "Non dobbiamo più occuparci di installazioni o aggiornamenti", ha affermato Anson Gomes, ingegnere capo della sicurezza di Betterment. In qualità di ex consulente per la sicurezza, Gomes aveva precedentemente testato WAF legacy che non erano scalabili in modo nativo e richiedevano una nuova distribuzione di un'istanza WAF per ogni server delle applicazioni, il che aumentava i costi e la complessità che non avevano il tempo di gestire.

Maggiore copertura nel rispetto degli accordi sul livello di servizio del sito

Il team di Betterment è rimasto colpito dalla solida copertura di sicurezza offerta fin da subito dai Next-Gen WAF, in grado di bloccare le richieste dannose. Il fatto che i Next-Gen WAF non incidano sulle prestazioni e sulla disponibilità dell'
applicazione né aumentino la superficie di attacco di Betterment rappresenta un ulteriore vantaggio. Grazie a dashboard di facile utilizzo che garantiscono visibilità, eventuali vulnerabilità rilevate vengono chiaramente evidenziate e segnalate al team competente, che provvede a risolverle tempestivamente.

Next-Gen WAF ha migliorato la visibilità anche per il team operativo. Le dashboard hanno mostrato i risultati di una scansione standard che ha individuato alcuni servizi sconosciuti e configurazioni errate, che sono stati utilizzati per ottimizzare il sistema di allerta e correggere il comportamento delle applicazioni.

Norme di alimentazione personalizzabili contribuiscono a garantire la sicurezza e la conformità

Oltre ai rilevamenti preconfigurati che bloccano automaticamente il traffico dannoso, Betterment utilizza Power Rules per aiutare a prevenire gli attacchi contro la logica applicativa specifica e e garantire la sicurezza dei dati finanziari. Ad esempio, sono in grado di
definire, monitorare e bloccare gli abusi sulle loro API limitando l'accesso in base al punto di origine. Anche le Power Rules di protezione dall'acquisizione dell'account (ATO), configurabili con menu a discesa facili da usare nella dashboard, sono state utilizzate per contribuire a prevenire la compromissione degli account utente.