Wie die Entwickler von Comic Relief Snyk nutzten, um die Sicherheit zu automatisieren und die Produktivität im Rahmen ihrer digitalen Transformation zu steigern.

Snyk half Comic Relief, die Agilität der Open-Source-Nutzung auszuschöpfen und gleichzeitig sicher zu bleiben. Durch die Entlastung des Entwicklungsteams – es musste sich nicht mehr „auf alltägliche Dinge wie die Sicherheit von Drittanbietersystemen konzentrieren“ – ließ sich Snyk problemlos in die serverlose Concourse-CI-Deployment-Pipeline von Comic Relief integrieren. So konnten auch weniger erfahrene Entwickler mit Snyk anfällige Bibliotheken proaktiv beheben.

„Es ist unglaublich schwierig, die riesige Anzahl der von uns verwendeten Bibliotheken von Drittanbietern sorgfältig zu prüfen: Welche werden gut gepflegt? Welche verfügen nachweislich über eine gute Sicherheitslage? Als wir von Snyk hörten, dachten wir: Das ist ein Selbstläufer – wir müssen Snyk einsetzen!“

Peter Vanhee, Engineering Practice Lead bei Comic Relief

Herausforderungen

Die Geschichte von Comic Relief dürfte Unternehmen bekannt vorkommen, die eine digitale Transformation durchlaufen. Die Grundprinzipien der digitalen Transformation führen weg vom „Wasserfall“-Ansatz, bei dem Tools, Code und Builds geprüft werden, und ermöglichen Entwicklungsteams stattdessen, ihre Tools selbst auszuwählen, Open-Source-Bibliotheken zu nutzen und kontinuierlich bereitzustellen. Der Einsatz von Bibliotheken von Drittanbietern steigert zwar Agilität und Produktivität, bringt aber auch Sicherheitsrisiken mit sich. Wie Girish Nair, Head of Engineering bei Comic Relief, erklärt: „Bevor wir Snyk hatten, waren veraltete Abhängigkeiten definitiv ein großes Problem. Wir hatten keine Zeit, jedes Paket auf seine Sicherheitslage und Sicherheitslücken zu prüfen oder ein System für manuelle Patches einzurichten.“ Comic Relief muss Risiken vermeiden und nimmt Sicherheit äußerst ernst: „Wir wollen unseren Spendern gerecht werden. Wir wollen nicht, dass ihre Daten verloren gehen oder ihre Transaktionen abgelehnt werden. Wir wollen ihr Vertrauen verdienen.“ Sicherheit, Agilität und die Nutzung von Open-Source-Bibliotheken miteinander in Einklang zu bringen, war eine große Herausforderung: „Es gab keine sichere Methode, die richtige Auswahl zu treffen, ohne erhebliche Ressourcen zu investieren, die wir an anderer Stelle besser hätten einsetzen können.“

Wie Snyk geholfen hat

Die serverlose Nutzung bei Comic Relief entwickelt sich zwar noch weiter, doch das Unternehmen konnte Snyk problemlos in seine Concourse-Continuous-Integration-Deployment-Pipeline integrieren.

Als Teil der Deployment-Pipeline kann Snyk die verwendeten Abhängigkeiten auf Sicherheitslücken prüfen. Wird eine Sicherheitslücke gefunden, wird das Deployment gestoppt. Entdecken das Snyk-Sicherheitsteam oder andere neue Sicherheitslücken oder ist ein neuer Fix verfügbar – durch ein Upgrade oder einen Patch –, benachrichtigt Snyk das Entwicklungsteam von Comic Relief per E-Mail und über seinen Slack-Kanal. Die Snyk-Warnmeldungen werden im täglichen Scrum besprochen, und das Team von Comic Relief legt fest, wer für die Behebung der Sicherheitslücken verantwortlich ist. Comic Relief legt großen Wert darauf, weniger erfahrene Entwickler zu fördern. Ein wichtiger Vorteil von Snyk ist, wie einfach sich Sicherheitslücken beheben lassen. Mit dem Befehl snyk wizard der Snyk CLI können Entwickler aller Erfahrungsstufen den Code von Drittanbietern, den sie verwenden, absichern.

„Man merkt, dass Snyk von Entwicklern für Entwickler entwickelt wurde.“

Peter Vanhee, Engineering Practice Lead bei Comic Relief

Die Ergebnisse

Seit der Integration von Snyk kann sich das Entwicklungsteam von Comic Relief auf die Entwicklung seines Codes konzentrieren und darauf vertrauen, dass Snyk die verwendeten Open-Source-Bibliotheken absichert. „Dank der Automatisierung durch Snyk konnten wir Personalressourcen von routinemäßiger manueller Sicherheitsarbeit auf hochproduktive Feature-Entwicklung umlenken. Da Snyk uns in Form eines Pull Requests über neue Sicherheitslücken informiert und der Fix bereits enthalten ist, haben wir einen ansonsten langwierigen manuellen Ablauf aus Triage und Behebung auf einen einfachen Merge verkürzt, den wir in wenigen Minuten erledigen können.“

„Wir empfehlen Snyk besonders agilen Teams, die schnell Großes erreichen wollen, Sicherheit im Blick haben und auf Qualität in jeder Hinsicht Wert legen.“

Peter Vanhee, Engineering Practice Lead bei Comic Relief

Über Comic Relief

Comic Relief ist eine große Wohltätigkeitsorganisation aus Großbritannien, die sich eine gerechte, von Armut befreite Welt zum Ziel gesetzt hat. Seit dem Start im Jahr 1985 wurden im Vereinigten Königreich weit über eine Milliarde Pfund gesammelt. Dazu veranstaltet die Organisation den Red Nose Day, eine alle zwei Jahre im März stattfindende Fernseh-Spendengala, die sich mit dem Schwesterprojekt Sport Relief abwechselt. Im Mai 2015 strahlte NBC den ersten „Red Nose Day“ in den USA aus; seitdem findet er jedes Jahr statt.

Wenn Sie mehr darüber erfahren möchten, wie Sie Snyk für Ihren Schutz nutzen können, schreiben Sie uns: contact@snyk.io