7 AppSec-Tipps vom Director of Product Security bei Snowflake

Auf der diesjährigen AWS re:Invent sprach Mic McCully, Field CTO bei Snyk, mit Jacob Salassi, Director of Product Security bei Snowflake. Sie sprachen darüber, wie Snowflake verschiedene Sicherheitsherausforderungen mit der richtigen Kombination aus Prozessen, Veränderungen der Unternehmenskultur und Tool-Partnern (darunter Snyk!) bewältigt hat. Erfahren Sie, welche Maßnahmen Jacob und sein Team etabliert haben, um ein erfolgreiches Application-Security-Programm aufzubauen.

Wie Snowflake bewährte AppSec-Praktiken etabliert hat

Als reguliertes Unternehmen, das mit sensiblen Daten und namhaften Kunden – darunter Behörden – arbeitet, wusste das Snowflake-Team: Die Absicherung seiner Anwendungen ist unverzichtbar. Doch dafür mussten Jacob und sein Team einige Herausforderungen bewältigen, etwa die Unterstützung der Entwickler zu gewinnen und einheitliche Prozesse zu etablieren. Im Gespräch mit Mic auf der AWS re:Invent gab Jacob, basierend auf seinen Erfahrungen mit dem Snowflake-Team, mehrere Tipps, wie sich diese Herausforderungen meistern lassen.

Beginnen Sie mit Empathie

An erster Stelle steht bei einem Application-Security-Programm das Engagement der Entwickler. Schließlich kennen die Entwicklungsteams ihre Anwendungen besser als alle anderen und können Best Practices für Sicherheit bereits in einer frühen Phase des Entwicklungszyklus umsetzen.

Um die Unterstützung der Entwickler zu gewinnen, musste das Snowflake-Team mit Empathie beginnen – also verstehen, wie Entwicklungsarbeit aussieht und welchen Chancen und Herausforderungen Entwickler täglich begegnen. Jacob sagte dazu: „Ich glaube, das Wichtigste war für mich immer, [AppSec] aus der Perspektive eines Entwicklers anzugehen.“

Etablieren Sie einen Feedback-Kreislauf

Damit die Zusammenarbeit zwischen Entwicklung und Sicherheit funktioniert, wusste Jacobs Team, dass es einen gezielten Raum für den Austausch schaffen musste. Es organisierte regelmäßige Aktivitäten wie wöchentliche Gesprächsmöglichkeiten, Umfragen, Einzelgespräche und Community-Aufbau. Jacob beschrieb die Einstellung seines Teams zu Feedback so: „Sie müssen immer zeigen, dass Sie zugehört haben.“

Setzen Sie auf technische Exzellenz

Jacobs Team beschloss außerdem, ein Security-Champion-Programm einzurichten. Zunächst legte es jedoch klar fest, was Entwickler übernehmen konnten und was stattdessen von anderen erledigt werden sollte.

Jacob sagte: „Ein wichtiger Aspekt unseres Ansatzes ist, dass wir über technische Exzellenz sprechen und weniger über Sicherheit. Wenn Sie die Grenze zwischen technischer Exzellenz und Sicherheit überschreiten, sollten Sie sich fragen: ‚Sollte ich einen Entwickler damit beauftragen? Oder sollte ich dafür einen Security Engineer hinzuziehen?‘ Und ich denke, wir konzentrieren uns besonders auf die Frage: ‚Wie weit können wir einen Entwickler an diese Grenze heranführen? Und wo verläuft diese Grenze?‘“

Fördern Sie Verantwortungsbewusstsein

Ein weiterer Tipp von Jacob: Befähigen Sie Mitarbeitende, Sicherheitsprobleme in ihrer eigenen Arbeit zu beheben – und zwar nicht nur im eigenen und im Code von Drittanbietern. Vor diesem Hintergrund setzte sich sein Team für einen Infrastructure-as-Code-Ansatz (IaC) ein.

Er sagte: „Ich denke, hier versteht jeder, dass Entwickler für die Fehler in ihrem Repository verantwortlich sind. Aber wie viele denken, dass Entwickler auch für die Fehler auf dem Server verantwortlich sind? Ich schon. Und wahrscheinlich kennen viele von Ihnen die Situation, dass Security Operations oder andere Security Engineers Produktionsserver anfassen, mit deren Bereitstellung sie nichts zu tun hatten. Sie wissen nicht, was darauf läuft, haben sie nicht erstellt und müssen sie nun in der Produktionsumgebung anfassen und Pakete ändern … Deshalb konzentrieren wir uns besonders auf die Frage: Wie bekommen wir all das in den Code?“

Bieten Sie gezielte Schulungen an

Jacob betonte außerdem, wie wichtig es ist, regelmäßige, teamspezifische Schulungen anzubieten. Er sagte: „Sie sollten rollenbasierte Schulungen anbieten und sie auf den jeweiligen Kontext abstimmen. Sie sollten nicht davon ausgehen, dass es viel bringt, jedem Team dieselben Folien zu zeigen.“

Gestalten Sie das gesamte Sicherheitserlebnis

Jacobs Team konzentrierte sich außerdem darauf, Entwicklern ein nahtloses Sicherheitserlebnis zu bieten, indem es ihnen den einfachsten Weg zur Erledigung von Sicherheitsaufgaben ermöglichte. Dazu entwickelte das Team eine agile Anbieterstrategie, zu der auch die automatisierten PR-Fixes von Snyk für eigenen Code und das Projektmanagement mit JIRA gehörten.

Jacob sagte: „Wir verbringen viel Zeit damit, sicherzustellen, dass alle benötigten Informationen direkt vor ihnen liegen und sie nicht ihren aktuellen Arbeitskontext oder etwas Vertrautes verlassen müssen, um das jeweilige Problem zu lösen.“

Dokumentieren, dokumentieren, dokumentieren

Abschließend betonte Jacob, wie wichtig es ist, alle Application-Security-Aktivitäten zu dokumentieren, um spätere Gespräche und Entscheidungen zu unterstützen. Er sagte: „Ich war fest davon überzeugt, dass AppSec daran gescheitert ist, die eigenen Artefakte aufzubewahren … Das sind wertvolle Daten, die Sie strukturieren und dauerhaft speichern sollten.“

Wie Snyk Snowflake dabei unterstützt, diese Ziele zu erreichen

Diese Ziele zu erreichen, war eine große Aufgabe. Deshalb bezog das Product-Security-Team von Snowflake Snyk in seine Application-Security-Initiativen ein. Snyk stellte die passenden Tools bereit, darunter:

• Developer-first-Tools, die auf die bestehenden Workflows von Entwicklern zugeschnitten sind

• Behebung von Sicherheitsproblemen in eigenem Code und Code von Drittanbietern – direkt über die CLIs der Entwickler

• Nahtlose Integration mit anderen Tools, darunter JIRA

• Erkennung von Sicherheitslücken in Base-Image-Abhängigkeiten und Dockerfile-Befehlen

Erfahren Sie mehr über die Partnerschaft von Snowflake und Snyk: Hören Sie sich das vollständige Gespräch von Jacob und Mic auf der AWS re:Invent 2023 an.

Play Video