Wie Mobbin Sicherheitsbefunde mit Hacktron nahezu sofort triagiert

„Ich wüsste nicht, wie wir das sonst skalieren sollten.

„Es hilft enorm, dass Hacktron den ersten Durchgang bei unseren Sicherheitsproblemen übernimmt.“

Jian Jie Liau
CTO

Über Mobbin

Mobbin ist zu einer unverzichtbaren Infrastruktur für moderne Produktteams geworden. Mehr als zwei Millionen Designer nutzen seine Bibliothek mit über 600.000 Screens aus veröffentlichten Mobile-Apps, Web-Apps und Websites, um von den besten digitalen Produkten der Welt zu lernen.

Die Herausforderung: Befunde tauchten nach dem Release auf, ohne klare Zuständigkeit

KI hat das Tempo, in dem das Engineering-Team von Mobbin Code schreibt und ausliefert, drastisch erhöht.

Sicherheitsbefunde tauchten oft erst auf, nachdem ein Feature ausgeliefert war. Dann war niemand klar zuständig, und das Team musste für jedes Problem erst den richtigen Entwickler finden, der es untersucht.

„Früher tauchte ein Sicherheitsbefund auf, nachdem ein Feature ausgeliefert war. Niemand war zuständig, also mussten wir jemanden finden, der sich darum kümmert.“

Jian Jie Liau
CTO

Die Herausforderung: Manuelle Reviews taten sich mit übergreifenden Änderungen schwer

Vor Hacktron war das Security-Review manuell. Die Entwickler schrieben Tests und prüften Pull Requests selbst. Das funktionierte bei kleinen, isolierten Änderungen. Übergreifende Änderungen waren schwieriger, weil jeder einzelne Reviewer nur die Wechselwirkungen im System berücksichtigen konnte, die das Team bereits kannte.

„Kleine, testbare Einheiten sind im Allgemeinen kein Problem. Bei übergreifenden Änderungen ist die Testsuite aber dadurch begrenzt, wie gut das Team versteht, wie die Systeme in der Codebasis zusammenwirken.“

Jian Jie Liau
CTO

Als die Codegenerierung schneller wurde, brauchte Mobbin ein Security-Review, das mithalten, den breiteren Anwendungskontext in jede Änderung einbringen und den Entwicklern helfen konnte, Entscheidungen zu treffen, solange der Code noch frisch war.

Hacktron bringt das Security-Review in jeden Pull Request

Mobbin nutzt Hacktron jetzt als ersten Sicherheitsdurchgang bei jedem Pull Request. Findet Hacktron etwas, erscheint der Befund im PR-Review, sodass das Security-Review mit dem Code voranschreitet statt erst nach dem Release. Hacktron prüft jede Änderung gegen die übrige Codebasis, verfolgt, wie sie mit der Anwendung zusammenwirkt, und postet seine Befunde direkt in GitHub.

„Mit Hacktron erscheint ein Sicherheitsbefund im PR-Review, und wer für den PR zuständig ist, ist auch für den Sicherheitsbefund zuständig.“

Jian Jie Liau
CTO

Ändert sich der Code, prüft Hacktron ihn erneut. Die Entwickler sehen den Befund, solange der Pull Request aktiv ist, prüfen die Belege und treffen die endgültige Triage-Entscheidung.

„Das Tempo, in dem wir Code ausliefern, ist drastisch gestiegen.

„Der Bedarf an einem automatisierten Tool für Security-Reviews von PRs als zusätzliches Augenpaar war eindeutig da.“

Jian Jie Liau
CTO

• Vor Hacktron: Befunde tauchten oft nach dem Release auf, ohne klare Zuständigkeit.
• Mit Hacktron: Befunde erscheinen im PR-Review, und Sicherheit wird Teil der laufenden Änderung.

Kontext der gesamten Codebasis

Hacktron macht Befunde schneller triagierbar, weil es den Anwendungskontext in die Entscheidung einbringt.

Hacktron kann eine Änderung mit Code an anderer Stelle der Anwendung verbinden und Sicherheitsfolgen hervorheben, die in einem isolierten Diff schwer zu erkennen sind. Es kann auch strukturelle Änderungen erkennen, die im Laufe der Weiterentwicklung der Codebasis einen verwundbaren Pfad schaffen könnten.

„Ich schätze, dass Hacktron nicht nur nach bestehenden Sicherheitslücken sucht.

„Es hebt auch Angriffsflächen oder Änderungen mit hohem Risiko hervor, also Bereiche, die beim Schreiben kein Risiko darstellen, durch künftige Änderungen aber wegen der Struktur des Codes eine Schwachstelle entstehen lassen könnten.“

Jian Jie Liau
CTO

Die Ergebnisse: vom Befund zur Entscheidung in Minuten

„Weil Hacktron Teil des PR-Reviews ist, reagieren die Entwickler fast sofort auf Befunde.

„Wer für den PR zuständig ist, ist auch für den Sicherheitsbefund zuständig.“

Jian Jie Liau
CTO

In den ersten acht Wochen von Mobbin mit Hacktron erreichten 21 Befunde ein abschließendes Urteil. Die mediane Zeit bis zur Triage lag bei etwa 32 Minuten. Selbst der längste Fall war innerhalb von 10,3 Stunden triagiert. Indem Hacktron das Security-Review in jeden Pull Request verlagert und um jeden Befund den Anwendungskontext zusammenträgt, hat es die Triage von einer Übergabe nach dem Release zu einem Teil des laufenden Entwicklungsprozesses gemacht.

Für ein KI-natives Engineering-Team kann das Security-Review jetzt mit der Codegenerierung Schritt halten und Probleme früh aufzeigen, sodass man handeln kann, solange Änderungen noch im Fluss sind.