Como a Mobbin faz a triagem de segurança quase imediata com o Hacktron

“Não vejo outra forma de escalar isso.

“Ajuda muito ter o Hacktron fazendo a primeira passada nos nossos problemas de segurança.”

Jian Jie Liau
CTO

Sobre a Mobbin

A Mobbin se tornou infraestrutura essencial para equipes de produto modernas. Mais de dois milhões de designers usam sua biblioteca de mais de 600.000 telas de apps mobile, aplicações web e sites já lançados para aprender com os melhores produtos digitais do mundo.

O desafio: achados surgiam depois do lançamento, sem um responsável claro

A IA aumentou muito a velocidade com que a equipe de engenharia da Mobbin escreve e entrega código.

Os achados de segurança muitas vezes só apareciam depois que uma funcionalidade já tinha sido lançada. A essa altura, não havia um responsável claro, e a equipe precisava encontrar o engenheiro certo para investigar cada problema.

“Antes, um achado de segurança aparecia depois que a funcionalidade já tinha sido lançada. Ninguém era designado como responsável, então precisávamos encontrar alguém para assumi-lo.”

Jian Jie Liau
CTO

O desafio: a revisão manual tinha dificuldade com mudanças transversais

Antes do Hacktron, a revisão de segurança era manual. Os próprios engenheiros escreviam testes e revisavam os pull requests. Isso funcionava para mudanças pequenas e isoladas. Mudanças transversais eram mais difíceis, porque cada revisor só conseguia considerar as interações do sistema que a equipe já enxergava.

“Em geral, unidades pequenas e testáveis não são problema. Mas, em mudanças transversais, a suíte de testes fica limitada pelo entendimento da equipe sobre como os sistemas interagem na base de código.”

Jian Jie Liau
CTO

Com a aceleração da geração de código, a Mobbin precisava de uma revisão de segurança que acompanhasse o ritmo, levasse o contexto mais amplo da aplicação a cada mudança e ajudasse os engenheiros a decidir enquanto o código ainda estava fresco.

O Hacktron leva a revisão de segurança a cada pull request

Agora a Mobbin usa o Hacktron como a primeira passada de segurança em cada pull request. Quando o Hacktron identifica um achado, ele aparece como parte do processo de revisão do PR, então a revisão de segurança avança junto com o código, e não depois do lançamento. O Hacktron revisa cada mudança em relação ao restante da base de código, rastreia como ela interage com a aplicação e publica os achados diretamente no GitHub.

“Com o Hacktron, um achado de segurança aparece no processo de revisão do PR, e o dono do PR também é o dono do achado de segurança.”

Jian Jie Liau
CTO

Quando o código muda, o Hacktron revisa de novo. Os engenheiros veem o achado enquanto o pull request está ativo, examinam as evidências e tomam a decisão final de triagem.

“A velocidade com que estamos entregando código aumentou muito.

“Precisávamos mesmo de uma ferramenta automatizada de revisão de segurança de PRs, como um par de olhos extra.”

Jian Jie Liau
CTO

• Antes do Hacktron: os achados muitas vezes apareciam depois do lançamento, sem um responsável claro.
• Com o Hacktron: os achados aparecem durante a revisão do PR, e a segurança passa a fazer parte da mudança em andamento.

Contexto de toda a base de código

O Hacktron torna a triagem dos achados mais rápida ao levar o contexto da aplicação para a decisão.

O Hacktron consegue relacionar uma mudança a código em outras partes da aplicação e destacar implicações de segurança difíceis de ver em um diff isolado. Ele também consegue identificar mudanças estruturais que podem criar um caminho vulnerável conforme a base de código evolui.

“O que eu valorizo é que o Hacktron não só verifica vulnerabilidades de segurança existentes.

“Ele também destaca superfícies ou mudanças de alto risco: áreas que não representam risco no momento em que são escritas, mas que podem gerar uma vulnerabilidade em mudanças futuras por causa da forma como o código foi estruturado.”

Jian Jie Liau
CTO

Os resultados: do achado à decisão em minutos

“Como o Hacktron faz parte do processo de revisão de PRs, os engenheiros reagem aos achados quase de imediato.

“O dono do PR também é o dono do achado de segurança.”

Jian Jie Liau
CTO

Nas primeiras oito semanas da Mobbin com o Hacktron, 21 achados chegaram a um veredito final. O tempo mediano até a triagem foi de aproximadamente 32 minutos. Até o caso mais demorado foi triado em 10,3 horas. Ao levar a revisão de segurança para cada pull request e reunir o contexto da aplicação em torno de cada achado, o Hacktron transformou a triagem, antes um repasse depois do lançamento, em parte do fluxo ativo de desenvolvimento.

Para uma equipe de engenharia nativa de IA, a revisão de segurança agora acompanha o ritmo da geração de código e revela os problemas cedo, para agir enquanto as mudanças ainda estão em andamento.