Wie Onna Technologies mit Snyk und Sysdig den SDLC absichert und dabei Zeit und Geld spart

Onna Technologies, ein Unternehmen für Datenzentralisierungssoftware, integriert Sicherheit in alle Bereiche seines Entwicklungsprozesses und setzt dafür Snyk und Sysdig ein.

Wir haben uns kürzlich mit Brent Neal (Director of Security), Mike Hoffman (Lead Security Engineer) und Andrew Leeb (Senior Software Engineer) von Onna über Datenschutz und Compliance, Cloud-Sicherheitsprioritäten sowie die Vorteile von Snyk und Sysdig für umfassende End-to-End-Container-Sicherheit unterhalten.

Hier finden Sie einige Highlights aus diesem spannenden Gespräch.

F: Wer ist Onna Technologies und wer sind Ihre Kunden?

Brent Neal: Wir sind das Sicherheitsteam von Onna, einer Datenintegrationsplattform, die die Wissenserschließung beschleunigt und Unternehmen wertvolle Einblicke in ihre Collaboration-, Kommunikations- und Content-Anwendungen ermöglicht.

Onnas Knowledge Integration Platform verbindet sich mit den beliebtesten Cloud-Anwendungen von heute, darunter Slack, Microsoft 365, Google Workspace und Zoom. So unterstützt sie Aktivitäten wie E-Discovery, Informationsverwaltung, Wissensmanagement und die Identifizierung der Weitergabe privater und sensibler Daten.

Wir unterstützen einige der weltweit führenden Technologieunternehmen, darunter Dropbox, Lyft und Electronic Arts, und helfen ihnen, Zeit und Geld zu sparen, Risiken zu reduzieren und Wissen zu nutzen, um wettbewerbsfähiger zu sein.

F: Welche Prioritäten setzen Sie im Bereich Cloud-Anwendungssicherheit?

Brent Neal: Es gibt drei entscheidende Bereiche, deren Einhaltung unsere Kunden von uns erwarten und in denen wir rund um die Uhr hervorragende Arbeit leisten müssen. Dazu gehören:

• der Schutz der Privatsphäre von Personen und ihrer sensiblen Daten,

• die Vertraulichkeit von Kundendaten und Geschäftsaktivitäten

• sowie die Einhaltung geltender Vorschriften.

Da wir Kubernetes einsetzen und alles containerisiert ist, nutzen wir Snyk und Sysdig für umfassende Container-Sicherheit. Diese Lösungen verbessern unser Vulnerability-Management-Programm, da wir Schwachstellen schnell erkennen und deren Behebung priorisieren können. Außerdem verlassen wir uns in unserer Produktionsumgebung auf Sysdig zur Bedrohungserkennung. Die wichtigsten Vorteile sind eine deutlich stärkere Sicherheitsposition, die einfachere Erfüllung von Compliance-Anforderungen und eine vereinfachte Beweissammlung für Audits.

Snyk spart uns Zeit und Geld, weil wir echte Shift-Left-Sicherheit umsetzen können. So erkennen wir Schwachstellen und Lizenzprobleme bereits früher in der Pipeline. Außerdem stärkt Snyk das Vertrauen unserer Kunden in Onna, denn sie können sicher sein, dass wir eine moderne Lösung einsetzen, um ihre Daten und ihre Privatsphäre zu schützen.

F: Welche Priorität hat Open-Source-Sicherheit für Onna?

Mike Hoffman: Open-Source-Sicherheit hat für Onna höchste Priorität. Natürlich gehen mit den vielen Vorteilen von Open-Source-Software auch Risiken einher. Uns ist bewusst, dass Probleme mit Anwendungsabhängigkeiten und Bibliotheken auftreten können, die weitere Komplikationen mit sich bringen – von Lizenzproblemen bis hin zu Schwachstellen.

Die Software Composition Analysis (SCA)-Funktion von Snyk verschafft uns jedoch einen besseren Überblick über die von uns verwendeten Bibliotheken und Abhängigkeiten. Zugleich können wir Schwachstellen während der Entwicklung erkennen und beheben. Insgesamt hat Snyk unseren Software Development Lifecycle (SDLC) deutlich verbessert und wesentlich sicherer gemacht.

Sysdig basiert natürlich auf Open-Source-Tools – darunter Falco, das Sysdig entwickelt hat und das inzwischen als De-facto-Standard für Cloud-native-Bedrohungserkennung gilt, sowie Sysdig Open Source, OPA und einige weitere. Mit Sysdig wissen wir, was unter der Haube steckt, und profitieren von einem breit etablierten Standard mit Enterprise-Funktionen und Skalierbarkeit.

F: Was waren die größten Herausforderungen bei der Einführung von Developer Security Operations (DevSecOps)?

BN: Die größte Herausforderung bei der Einführung von DevSecOps ist bislang die Sorge, dass die Entwicklung dadurch langsamer wird. Wir möchten diese Bedenken ausräumen, indem wir Entwicklerinnen und Entwickler mit Tools unterstützen, die Sicherheit nahtlos in ihre bestehenden Prozesse und Workflows integrieren.

Aus geschäftlicher Sicht möchten wir unseren Produktentwicklungsprozess so agil wie möglich gestalten. Da wir mit Snyk Sicherheit nach links verlagern können, fällt der Aufwand für Nacharbeiten zur Behebung eines Problems exponentiell geringer aus, als wenn es erst später im Prozess entdeckt würde.

Bislang haben wir einige Entwicklerinnen und Entwickler mit Snyk vertraut gemacht und planen, die Lösung im gesamten Team einzuführen. Unser Ziel ist es, Snyk überall zu integrieren, damit alle unsere Entwicklerinnen und Entwickler Schwachstellen direkt sehen und lernen können, sie zu beheben, bevor sie in der Pipeline weiter voranschreiten.

F: Was hat Sie dazu bewogen, Container-Scanning und statische Anwendungssicherheitstests (SAST) einzuführen?

BN: In vielen Sicherheitsfragebögen unserer Kunden wird gefragt: „Welche Anwendung nutzen Sie für SAST?“ oder „Wie schützen Sie Ihre Container?“

Mit einem branchenführenden Produkt von Snyk können wir diese Fragen klar beantworten. So können wir unseren Kunden versichern, dass wir unseren Code scannen und die erforderlichen Maßnahmen zum Schutz ihrer Daten ergreifen.

F: Welche Sicherheitsanforderungen haben Sie zu Sysdig geführt?

BN: Aus technologischer Sicht konzentrierten sich die wichtigsten Aspekte unseres Anwendungsfalls auf:

1. Sicherheit auf Enterprise-Niveau zum Schutz von Kundendaten und zur Erfüllung interner Anforderungen. Dazu gehörte Kubernetes-Sicherheit für unsere GKE-Umgebung. Compliance allein reicht uns nicht – wir benötigen eine leistungsstarke Echtzeiterkennung, um unsere Produktions-Workloads zu schützen.

2. Die Möglichkeit, nach Schwachstellen und Fehlkonfigurationen zu suchen und riskante Builds und Konfigurationen zu blockieren, bevor sie in die Produktion gelangen.

3. Die Priorisierung der Behebung von Schwachstellen, damit unsere Entwicklerinnen und Entwickler Probleme angehen können, die ein tatsächliches Risiko darstellen.

Sysdig erfüllte diese Anforderungen und bot Funktionen, die unsere Sicherheit deutlich verbessert haben. Da Sysdig Schwachstellen priorisiert und eine präzise Bedrohungserkennung ermöglicht, sparen unsere Entwickler-, DevOps- und Sicherheitsteams Zeit.

Ein weiterer großer Vorteil ist die kontinuierliche Unterstützung durch das Sysdig-Team. Seit unserem ersten Gespräch reagiert Sysdig äußerst schnell und macht die Problemlösung einfach. Eine solche Zusammenarbeit ist für uns bei Onna enorm wichtig.

F: Wie nutzen Sie die Runtime-Sicherheit von Sysdig? Können Sie Beispiele für Richtlinien nennen, die Sie für Ihre Umgebung aktiviert haben?

MH: Der größte Vorteil von Sysdig ist die Verbesserung unserer Sicherheitslage. Sysdig stellt uns die Tools und den nötigen Überblick bereit, damit wir unsere eigenen Informationen und die unserer Kunden schützen und gleichzeitig unsere internen Richtlinien, Vorschriften und Verpflichtungen gegenüber unseren Kunden einhalten können.

Sysdig bietet eine leistungsstarke hostbasierte Sicherheitslösung, mit der wir unsere Umgebung effektiv auf zahlreiche potenzielle Bedrohungen überwachen können. Unsere Richtlinien alarmieren uns bei unzulässigem Systemzugriff, der Verwendung von Netzwerktools, Änderungen an bestimmten Dateien und Verzeichnissen sowie bei lateralen Bewegungen in der Umgebung. Die Lösung gibt nicht nur Warnmeldungen aus, sondern hilft dem Sicherheitsteam auch zu verstehen, wie bestimmte Komponenten in unserer Umgebung normalerweise funktionieren.

F: Welchen Nutzen oder welches Ergebnis möchten Sie mit der Integration von Snyk und Sysdig erzielen?

BN: Die Integration von Snyk und Sysdig wird uns dabei helfen, unseren Shift-Left-Ansatz weiter zu verfeinern, Kosten zu senken, Produkte und Funktionen schneller bereitzustellen und unsere Sicherheitslage zu verbessern. Sobald die Integration von Snyk und Sysdig gegen Ende dieses Jahres eingeführt wird, liegt unser Hauptaugenmerk auf der Priorisierung. Letztlich erhalten wir dadurch einen besseren Überblick darüber, welche Sicherheitsprobleme behoben werden müssen und wie wir sie priorisieren sollten.

F: Welchen Rat haben Sie für Unternehmen, die zögern, in ein integriertes Software-Sicherheitstool zu investieren?

BN: Ich würde Unternehmen empfehlen, die Kosten für Nacharbeiten und Zeitverluste zu analysieren, die entstehen, wenn Sicherheit nicht nach links verlagert wird. Je früher Sicherheit berücksichtigt wird, desto stärker sinken die Kosten und desto effizienter wird es, Sicherheit direkt in den SDLC zu integrieren.

Erleben Sie selbst, was Snyk und Sysdig leisten können

Möchten Sie Ihre Kubernetes-Apps schneller bereitstellen und gleichzeitig umfassende End-to-End-Container-Sicherheit gewährleisten? Mit der Integration von Snyk und Sysdig können Sie sofort bis zu 95 % der Schwachstellen beseitigen, deren Behebung sonst Monate dauern würde.