Wie Lunar beim Aufbau einer Cloud-Native-Bank Security nach links verlagerte

Auf der SnykCon 2021 gab es zahlreiche aufschlussreiche Vorträge von Unternehmen, denen der Aufbau erfolgreicher AppSec-Programme gelungen ist. Der Vortrag von Kasper Nissen, Lead Platform Architect bei Lunar und Botschafter der Cloud Native Computing Foundation (CNCF), war da keine Ausnahme.

In diesem Beitrag fassen wir Nissens Vortrag darüber zusammen, wie sein Security-Team bei Lunar beim Aufbau einer Cloud-Native-Bank Security nach links verlagern konnte. Er erläutert, was es bedeutet, Security nach links zu verlagern, wie sich die Zuständigkeiten in einer Microservices-Architektur eindeutig festlegen lassen, wie Entwicklerinnen und Entwickler mit Security-Tools unterstützt werden können und vieles mehr.

Vom Fintech-Startup zur Cloud-Native-Bank

Lunar begann als Fintech-Startup mit einer Mobile-Banking-App, die auf einer bestehenden Bank im nordischen Raum aufbaute. 2020 wurde Lunar jedoch zu einer offiziellen Bank mit eigener Banklizenz. Heute ist Lunar eine vollständig Cloud-Native-Bank und bedient Kundinnen und Kunden in Dänemark, Norwegen und Schweden.

Als wir anfingen, standen wir vor der Frage: Wie können wir im 21. Jahrhundert tatsächlich eine Bank aufbauen? Deshalb setzen wir bei allem auf Cloud-Native-Technologien und eine vollständig autonome Microservices-Architektur.

Agile Cloud-Native-Security

Mit der Einführung einer Cloud-Native-Architektur auf Basis von Containern, Infrastructure as Code (IaC) und weiteren modernen Technologien erkannte Lunar, dass ein besserer Ansatz für Application Security nötig war. Laut Nissen brauchte das Unternehmen eine Möglichkeit, gleichzeitig sicher und agil zu sein, damit Lunar als Bank wettbewerbsfähig sein konnte, ohne Sicherheitsrisiken einzugehen.

Security nach links zu verlagern – also Security früher im Softwareentwicklungslebenszyklus (SDLC) umzusetzen – hat Lunar geholfen, die Sicherheit seiner Microservices zu verbessern, ohne die Entwicklung zu verlangsamen. Die Priorisierung von Security war entscheidend für Lunars Wandel vom Fintech-Startup zur etablierten Bank.

Wir verlagern Security nach links, übernehmen also Aufgaben aus dem alten Wasserfallmodell und erledigen sie früher. Security ist etwas, das wir kontinuierlich umsetzen, zu dem wir Feedback einholen und das wir bei Bedarf anpassen und korrigieren.

Klare Zuständigkeiten für Microservices

Da Lunars Entwicklerinnen und Entwickler nun mehr Verantwortung für die Cloud-Infrastruktur übernehmen, wusste das Security-Team, dass klar festgelegt werden musste, wer für jeden Microservice zuständig ist. Bei der Single Team Owned Service Architecture (STOSA) wird jeder Microservice von einem Entwicklungsteam verwaltet – vom Design über Entwicklung, Tests, Security und Deployment bis hin zu Monitoring und mehr.

In einer STOSA-Organisation trägt das Team, dem ein Service gehört, letztlich zu 100 % die Verantwortung für alle Aspekte dieses Service. Bei Lunar nutzen wir dieses Paradigma für den Aufbau unserer Infrastruktur und Plattform, weil wir unseren Entwicklungsteams ermöglichen, diese Verantwortung zu übernehmen.

Entwicklerinnen und Entwickler mit Security-Tools unterstützen

Lunar erkannte, dass die schnelle Bereitstellung sicherer Software voraussetzt, dass Entwicklerinnen und Entwickler Application Security in ihren bestehenden Workflows umsetzen können. Deshalb stellt Lunar sicher, dass alle in Security-Tools eingewiesen werden, mit denen sich standardmäßig ganz einfach das Richtige tun lässt.

Unsere Entwicklerinnen und Entwickler sind für Schwachstellen in ihren Services und den verwendeten Abhängigkeiten verantwortlich. Wir müssen sie dabei unterstützen, dieser Verantwortung gerecht zu werden. Deshalb geben wir ihnen konkrete Handlungsempfehlungen, setzen auf Automatisierung und versuchen, alle Tools für das tägliche Monitoring einzubinden.

Lunar nutzt Snyk beispielsweise, um automatisch Abhängigkeiten auf Sicherheitsprobleme zu prüfen und Container zu scannen. Indem das Schwachstellen-Scanning nahtlos in den Entwicklungsprozess integriert wird, können die Entwicklerinnen und Entwickler bei Lunar die Application Security selbst in die Hand nehmen. So ist jeder Microservice standardmäßig sicher.

Außerdem nutzt Lunar das Snyk-Plugin für Backstage, ein Entwicklerportal, das Einblick in Cloud-Native-Softwareprojekte im gesamten Unternehmen bietet. Mit Snyk, Backstage und weiteren Tools kann Lunar jetzt jede Änderung am Quellcode und an Konfigurationen lückenlos nachvollziehen. Das ist entscheidend, um die Sicherheitsanforderungen der Finanzdienstleistungsbranche zu erfüllen.

Geschwindigkeit und Security vereint

Seit der Einführung des Shift-Left-Security-Ansatzes hat Lunar Security in einen dynamischen Entwicklungslebenszyklus integriert. Die Bank veröffentlicht durchschnittlich 25 Releases für die Produktion pro Tag. Die Entwicklerinnen und Entwickler verantworten ihre Releases selbst und stellen sicher, dass sie bei jedem neuen Build die Security-Standards einhalten. Dieser optimierte Ansatz war entscheidend dafür, dass Lunar die Compliance-Anforderungen für eine Bank mit Lizenz erfüllen kann.

Machen Sie es einfach, das Richtige zu tun, und integrieren Sie Security, wo immer es möglich ist. Wenn Sie Security nach links verlagern, versorgen Sie Ihre Entwicklerinnen und Entwickler mit konkreten Handlungsempfehlungen, damit sie diese Verantwortung tatsächlich übernehmen können.

Möchten Sie mehr darüber erfahren, wie Sie Ihre Fintech-Software schützen? Erfahren Sie, wie Snyk Ihnen helfen kann, die Finanzbranche umzukrempeln – nicht Ihre Entwicklerinnen und Entwickler.