Cooperativa Ailos fortalece a segurança de aplicativos e APIs com a F5

A cooperativa brasileira Ailos tem uma estratégia de transformação digital voltada à expansão dos serviços financeiros que promovem o crescimento econômico de pessoas, empresas e centros urbanos. A meta é alcançar 2 milhões de clientes até 2025. Reconhecida por sua inovação, a Ailos foi pioneira em transferências instantâneas e gratuitas antes mesmo do PIX, o sistema de pagamentos instantâneos do Banco Central do Brasil. A organização protege seus ativos digitais com os serviços do F5 Distributed Cloud.

Desafio de negócios

Fundada há 20 anos em Santa Catarina, Brasil, a Cooperativa Ailos atende 1,6 milhão de clientes em todo o país. Em cidades como Presidente Getúlio, 90% da população é cliente da Ailos. Reconhecendo seu papel nesse ecossistema, os líderes da Ailos vêm reformulando processos e aplicações para aprimorar a experiência de atendimento ao cliente. Eles também têm se concentrado na criação de uma infraestrutura escalável para apoiar a futura expansão dos negócios da Cooperativa.

Como parte dessa jornada, o ambiente bancário central da Ailos utiliza uma aplicação monolítica legada que coexiste com aplicações modernas baseadas em nuvem na AWS e no Azure. A Cooperativa também utiliza o MuleSoft, uma plataforma nativa da nuvem que facilita a publicação de APIs. Os clientes acessam essas aplicações e esses serviços pelo site e pelo aplicativo móvel da Ailos.

Os processos de desenvolvimento, publicação e consumo de aplicações e APIs da Cooperativa Ailos seguem as melhores práticas de DevSecOps. Embora a equipe da Ailos seja responsável pelo design das aplicações, o desenvolvimento é realizado em colaboração com parceiros terceirizados e precisa atender aos requisitos de alta agilidade do setor de serviços financeiros. Para garantir a integridade dos dados, a empresa precisava de uma solução multicloud que proporcionasse visibilidade e controle consolidados sobre todas as suas APIs e aplicações, independentemente de onde estivessem implantadas.

Além disso, a segurança dos dados críticos armazenados localmente e na nuvem exige uma plataforma integrada capaz de atender à infraestrutura distribuída da organização. A latência foi um fator determinante na escolha de uma solução. Por exemplo, se um empresário de Santa Catarina viajasse para a Alemanha, a plataforma da Ailos na Europa precisaria oferecer um desempenho comparável ao observado no Brasil.

Por fim, os gestores da Ailos concentraram seus futuros investimentos em tecnologia em SaaS e software para reduzir as despesas de capital. O objetivo era tratar todos os recursos, inclusive a segurança digital, como software, a fim de aumentar a flexibilidade e a eficiência da gestão. Ao adotar uma plataforma de segurança e desempenho baseada em software, capaz de fornecer insights sobre todo o espectro de aplicações legadas e APIs modernas, a Ailos buscava simplificar a gestão de seu ambiente em expansão e eliminar gradualmente tarefas manuais trabalhosas em diversas plataformas. No início de 2023, a Ailos iniciou um processo de solicitação de propostas (RFP) para encontrar a solução ideal para alcançar essas metas ambiciosas.

Solução

Durante anos, a Cooperativa Ailos contou com o F5 BIG-IP Local Traffic Manager (LTM) e o F5 BIG-IP Application Security Manager (ASM) para garantir o desempenho e a segurança de sua aplicação principal. No entanto, o crescimento das aplicações modernas e a proliferação de APIs geraram a necessidade de adotar um modelo de segurança que priorizasse a nuvem. Após realizar várias avaliações de prova de conceito (POC) com diversos fornecedores, os líderes da Ailos optaram por implantar o F5 Distributed Cloud Services para proteger 200 aplicações e milhares de APIs.

Os serviços implantados pela Ailos incluem F5 Distributed Cloud Network Connect, Distributed Cloud DNS Load Balancer e Distributed Cloud App Stack. Essa infraestrutura é implantada em um modelo SaaS híbrido. Para aplicações voltadas ao público, o Distributed Cloud Network Connect fornece a entrega de serviços baseada em SaaS entre as nuvens públicas da AWS, Azure e MuleSoft, por meio da rede global da F5, até os sites de borda regional gerenciados pela F5, garantindo suporte contínuo aos processos que dependem das nuvens públicas da Ailos.

Enquanto isso, nos data centers locais, a Ailos optou por implantar um pacote de software F5 Customer Edge (CE) para dar suporte à aplicação local da empresa, eliminando qualquer dependência dos sites Regional Edge para a prestação de serviços e, ao mesmo tempo, garantindo que a aplicação não seja divulgada publicamente na Internet. O CE opera de forma automatizada, como um mini-PoP nos data centers da Ailos. O gerenciamento do ciclo de vida dessas instâncias é realizado por meio do console SaaS central. Juntos, esses modelos de implantação oferecem uma abordagem híbrida para proteger e melhorar o desempenho de todo o catálogo de aplicações e APIs da Ailos.

A infraestrutura de nuvem global da F5 garante desempenho e segurança para os clientes da Ailos em todo o mundo. Seja acessando o core bancário da Ailos em Santa Catarina ou em Berlim, os clientes interagem por meio do site ou aplicativo da empresa. O acesso é rigorosamente filtrado e verificado por várias instâncias dos Serviços de Nuvem Distribuída, que usam inteligência artificial e aprendizado de máquina (ML) para realizar análises comportamentais precisas, garantindo o desempenho ideal e protegendo a experiência digital. Em seguida, o tráfego é direcionado para uma nuvem privada ou pública da Ailos, onde aplicativos e APIs são processados para atender às necessidades dos clientes. A solução de proteção de aplicações web e APIs (WAAP) do F5 Distributed Cloud desempenha um papel crucial na identificação e neutralização de possíveis ataques aos aplicativos e às APIs da Ailos.

A importância estratégica das APIs no ecossistema digital da Ailos também levou à implementação do Distributed Cloud API Security com recursos de descoberta de APIs. Essa plataforma nativa da nuvem opera 24 horas por dia, 7 dias por semana, fornecendo uma visão abrangente das APIs publicadas e consumidas em todo o mundo. Um recurso essencial é sua capacidade de identificar APIs ocultas — APIs em uso que não estão em conformidade e que, muitas vezes, não são documentadas nem têm suporte —, diferenciando-as das APIs legítimas essenciais para os negócios. Controles automatizados impedem que os desenvolvedores da Ailos acessem APIs de terceiros que possam comprometer a segurança.

Como parte da migração para os Serviços de Nuvem Distribuída, a Ailos reformulou suas políticas de segurança para estabelecer uma gestão sustentável de suas redes, aplicações e APIs distribuídas. Essa transição permitirá que a Ailos desative futuramente sua aplicação monolítica e passe a depender exclusivamente de sistemas baseados em nuvem.

Resultados

Reduza em 75% o tempo gasto no gerenciamento de ambientes diversos e distribuídos

A introdução do F5 Distributed Cloud Services marcou o início de uma nova era para a Ailos, simplificando o gerenciamento de ambientes heterogêneos e distribuídos por meio de uma única plataforma. A solução oferece visibilidade sobre aplicativos e APIs em toda a infraestrutura de rede, desde os ambientes locais que hospedam o core bancário original até as nuvens públicas AWS, Azure e MuleSoft.

“Começamos analisando os riscos atuais e futuros do nosso ambiente e, a partir daí, buscamos uma solução que apoiasse a expansão dos nossos negócios”, afirma Sidnei Fernando da Silveira, CISO da Ailos. “Concluímos que era essencial contar com uma solução integrada e de baixa complexidade administrativa. O F5 Distributed Cloud Services surgiu como a solução confiável, aumentando a produtividade da nossa equipe e proporcionando visibilidade abrangente dos diferentes ambientes — tudo gerenciado em uma única plataforma.”

A análise de Daniel Devegili, Analista de Segurança da Informação da Ailos, indica uma redução de 75% no tempo dedicado ao gerenciamento dos diversos ambientes da empresa. Ele afirma: “Antes de adotarmos os serviços do F5 Distributed Cloud, precisávamos operar quatro plataformas diferentes e, depois, realizar ações manuais para correlacionar os dados gerados por cada painel e obter uma visão holística do ambiente.”

Obtenha 100% de visibilidade das APIs

Uma das principais preocupações era reforçar a segurança das APIs de serviços financeiros da Ailos, que enfrentam ameaças cada vez maiores. “Foi feita uma realocação orçamentária para incluir na RFP tecnologias dinâmicas e automatizadas para identificar e bloquear APIs maliciosas”, afirmou Silveira.

“Com o F5 Distributed Cloud API Security, a equipe de segurança cibernética da Ailos alcançou 100% de visibilidade das APIs”, afirma Devegili. Vários tipos de ataque — incluindo ataques DDoS — têm as APIs como alvo. A solução da F5 atua de forma preditiva para identificar essas ameaças, conseguindo até mesmo distinguir APIs ocultas de APIs legítimas. O bloqueio automatizado agiliza o trabalho dos desenvolvedores da Ailos, que agora podem consumir APIs previamente verificadas pela F5.

Além disso, os gestores da Ailos agora têm visibilidade diária dos ambientes locais e de nuvem pública, bem como dos aplicativos e APIs associados. Por meio de um único painel, eles podem realizar análises detalhadas e otimizar os recursos de seus aplicativos. Essa abordagem simplificada permite que a equipe se concentre na inovação e no aprimoramento de serviços financeiros digitais seguros.

A Ailos também pode comparar os ganhos obtidos com a migração da solução anterior da Cooperativa, baseada em hardware, para o F5 Distributed Cloud Services. Devegili afirma: “Agora, a empresa avançou da visibilidade para a observabilidade, na qual dados de diversas plataformas são cruzados no F5 Distributed Cloud Services, gerando um diagnóstico preciso e granular do que está acontecendo com as APIs da empresa.”

Acelere em 120% a publicação de aplicativos e APIs

A dependência da empresa de páginas da web e aplicativos para realizar transações financeiras faz do desenvolvimento de software o cerne de seus negócios. Por isso, Silveira considera a criação de um pipeline de desenvolvimento alinhado às melhores práticas de DevSecOps uma das principais frentes de batalha da empresa em cibersegurança. “Hoje, 60% dos nossos esforços estão concentrados nessa área. As questões relacionadas à proteção da infraestrutura estão bem equacionadas e, por isso, representam 40% do nosso foco.”

O Distributed Cloud WAAP foi implantado como parte de uma estratégia mais ampla voltada à conscientização dos desenvolvedores sobre a segurança de aplicações e APIs. A automação resultante garante que os desenvolvedores tenham acesso apenas a componentes de software que já tenham sido inspecionados, verificados e autorizados para uso no pipeline de desenvolvimento da empresa pelo Distributed Cloud API Security.

Segundo Devegili, essa estratégia acelerou a publicação segura de aplicativos e APIs da Ailos. Ele afirma: “Aumentamos em 120% a velocidade do processo de publicação de aplicativos e APIs.”

Veja todas as histórias de clientes›