Cloud-native Anwendungen absichern: Der VP Information Security von ActiveCampaign gibt Einblicke

Cloud-native Technologien liegen im Trend: Unternehmen verabschieden sich zunehmend von On-Premises-Infrastrukturen und langen Software-Release-Zyklen und setzen stattdessen auf iterative Entwicklung mit cloudbasierten Tools und Infrastrukturen. Cloud-native Anwendungen ermöglichen zwar schnelle Deployments und bessere Skalierbarkeit, dieser neue Softwareansatz bringt jedoch auch Sicherheitsherausforderungen mit sich.

Im kürzlich veranstalteten Webinar Best Practices for Securing Modern Cloud Native Applications sprach Simon Maple, VP Developer Relations & Community bei Snyk, mit Chaim Mazal, VP Information Security bei ActiveCampaign, über den Wandel in der Application-Security-Landschaft und seine Auswirkungen auf ActiveCampaign. Das haben sie berichtet.

Wie sich moderne Anwendungen verändert haben

Früher bestanden Anwendungen vor allem aus individuellem Code, den Entwickler schrieben, und Open-Source-Bibliotheken, die sie einbanden. Die Betriebsteams kümmerten sich um Server, VMs, Netzwerke und die übrige Infrastruktur, die für den Betrieb der Software erforderlich war. Cloud-native Entwicklung, bei der Unternehmen DevOps-Methoden, Microservice-Architekturen, Containerisierung und mehr einsetzen, verändert den Umfang moderner Anwendungen.

„Wenn Sie Ihren eigenen Code und Open-Source-Bibliotheken in einen Docker-Container packen und dazu Infrastructure as Code oder andere Konfigurationsdateien verwenden, um alles in Ihrer Umgebung bereitzustellen“, sagte Maple, „stellen Sie nicht nur Code bereit, sondern im Grunde auch Ihre Umgebungen.“

Der größere Umfang von Anwendungen bringt zusätzliche Sicherheitsrisiken mit sich, für die zunehmend Entwickler verantwortlich sind. Das bedeutet: Neben Schwachstellen im Code und in Open-Source-Abhängigkeiten umfasst Application Security nun auch andere Bereiche wie Container, Konfigurationsdateien und mehr.

Der Wandel des modernen Technologie-Stacks

„Wir alle kennen das Schlagwort digitale Transformation und den Wechsel in die Cloud“, sagte Maple. „Dadurch, dass sich der Umfang von Anwendungen und die Verantwortung der Entwickler verändern, kommen zusätzliche Sicherheitsanforderungen auf sie zu.“

ActiveCampaign unterstützt mehr als 150.000 Unternehmen in 170 Ländern dabei, besser mit ihren Kunden in Kontakt zu treten und sie einzubinden. Das Unternehmen modernisiert seinen Technologie-Stack. Die ActiveCampaign-Plattform automatisiert Marketing, Vertrieb und viele weitere Geschäftsprozesse und optimiert so Kundenerlebnisse in großem Maßstab.

Das enorme Wachstum und die Größe von ActiveCampaign machten einen neuen Ansatz für die Softwareentwicklung erforderlich, damit das Unternehmen weiterhin schnell neue Funktionen und Integrationen bereitstellen kann. Der Technologie-Stack hat sich stetig weiterentwickelt: von der ursprünglichen monolithischen PHP-Anwendung hin zu containerisierten Microservices in Python und Java, einer .NET-Landingpage-Anwendung und JavaScript für das Frontend der Plattform. Trotz dieses vielfältigen Technologie-Stacks hat ActiveCampaign bei der Sicherheit keine Kompromisse gemacht.

„Snyk unterstützt all diese Technologien“, erklärte Mazal. „Dabei spielte es keine Rolle, in welcher Phase wir uns befanden oder wie sich unsere Softwareentwicklung gerade weiterentwickelte. Mit den vielen Tools von Snyk können wir umfassenden [Sicherheits-]Schutz gewährleisten.“

Ein entwicklerzentrierter Sicherheitsansatz

Als ActiveCampaign stärker auf die Eigenverantwortung der Entwickler setzte, suchten die Security Engineers des Unternehmens nach einem entwicklerzentrierten Tool wie Snyk, das sich einfach in die regulären Entwicklungsprozesse integrieren ließ. Dieser DevSecOps-Ansatz ermöglicht es den Entwicklern von ActiveCampaign, Code in ihrem eigenen Tempo bereitzustellen. Leitplanken verhindern dabei, dass neue Sicherheitslücken entstehen.

„Sicherheit ist bei ActiveCampaign ein kultureller Wert“, sagte Mazal. „Alle tragen Verantwortung für die Sicherheit. Unser Sicherheitsteam unterstützt die Teams jedoch dabei, erfolgreich zu sein, und sorgt dafür, dass ihnen möglichst wenig im Weg steht. Leitplanken und zugleich Flexibilität sind entscheidend.“

Sicherheit in der Software-Supply-Chain

Die heutige Software-Supply-Chain besteht oft aus individuellem Code, Open-Source-Abhängigkeiten, Containern und Infrastructure as Code (IaC). Snyk bietet Sicherheits-Scanning-Lösungen für all diese Risikobereiche, die ActiveCampaign für umfassende Cloud-native Application Security einsetzt.

Durch Sicherheits-Scans in lokalen Entwicklungsumgebungen, etwa mit Tools wie der IntelliJ-IDE und der Befehlszeile, kann ActiveCampaign die meisten Probleme erkennen, bevor sie die Staging-Umgebungen erreichen. Früher entdeckten die meisten Unternehmen Sicherheitslücken und Softwarefehler vor allem in Staging- und Produktionsumgebungen. Dieser proaktive Ansatz ermöglicht jetzt Feedback in Echtzeit während der Entwicklung.

„Heute erhalten wir mithilfe zahlreicher Integrationen und Tools Echtzeit-Feedback in der lokalen Entwicklung und über unsere CI/CD-Pipeline“, sagte Mazal. „So bekommen wir kontinuierlich und sofort Rückmeldung, sobald der Code entsteht. Entwickler können dadurch rechtzeitig Entscheidungen treffen und die Risiken für unsere Plattform reduzieren.“

Sicherheitstools sind entscheidend

Wenn Unternehmen weitere Technologien einführen, werden Application Security und Transparenz zu größeren Herausforderungen. Mit den richtigen Sicherheitstools können Unternehmen jedoch Automatisierung nutzen, um kontinuierliches Feedback zu geben und Schwachstellen in bestehende Entwicklungsprozesse einzubinden. So lässt sich die Sicherheitsarbeit leichter im gesamten Unternehmen skalieren, ohne die Einführung zu erschweren.

„Wenn Ihnen die richtigen Tools oder die nötige Transparenz fehlen, lassen sich nur schwer die passenden Anpassungen vornehmen“, erklärte Mazal. „Ohne eine schnelle und einfache Möglichkeit, sofort Feedback zu erhalten, sind kontinuierliche Verbesserungen Ihrer allgemeinen Sicherheitslage sehr schwierig.“

Mit Snyk erhält ActiveCampaign außerdem detaillierte Dashboards und Kennzahlen, die dem Unternehmen zuvor fehlten. Granulare Statistiken auf Produkt- und Teamebene fördern einen gesunden Wettbewerb bei ActiveCampaign und motivieren die Entwickler im Unternehmen, ihr Bestes zu geben.

Darüber hinaus ermöglichen umsetzbare Daten ActiveCampaign, bestehende DevSecOps-Prozesse weiterzuentwickeln und die Sicherheitslage nachhaltig zu verbessern. Entwicklerfreundliche Tools, die für Cloud-native Anwendungen entwickelt wurden, sind daher für heutige Application-Security-Teams unverzichtbar.

Wir hoffen, Ihnen haben die wichtigsten Erkenntnisse aus dem Gespräch von Snyk mit ActiveCampaign über den Wandel in der Application-Security-Landschaft gefallen. Wenn Sie mehr über den Wechsel von ActiveCampaign zu Cloud-native und den Einsatz von Snyk erfahren möchten, sehen Sie sich das vollständige Webinar hier an.

Das DevOps-Erlebnis auf AWS optimieren

Als AWS-Kunde sucht ActiveCampaign ständig nach neuen Möglichkeiten, die Flexibilität von Services wie Amazon ECR und Amazon EKS für die Verwaltung von Container-Workloads optimal zu nutzen.

„Auf hoher Ebene betrachtet nutzen wir in unseren Staging- und Produktionsumgebungen Elastic Load Balancers und Elastic Kubernetes Service (Amazon EKS) … inzwischen verwenden wir auch die Container-Registry von Amazon (Amazon ECR). Gemeinsam mit Snyk haben wir einige sehr interessante Lösungen entwickelt, um alle Inhalte in dieser Registry zu überwachen. So können wir verhindern, dass ungeprüfte Elemente hinzugefügt werden. Das ist äußerst hilfreich. … Auf diese Weise stellen wir sicher, dass alle unsere Container und Images genehmigt und verifiziert sind und entlang der Entwicklungspipeline nichts anderes eingebunden wird. Entwickler nutzen Snyk, um sicherzustellen, dass ihr Code keine anfälligen Pakete enthält. Wenn ein Image in Amazon ECR veröffentlicht wird, haben wir den Entwicklern standardisierte Tools zur Verfügung gestellt, mit denen wir alles genau nachvollziehen können. So müssen wir nicht fragen: ‚Hey, woher hast du dieses Image? Aus irgendeiner Registry im Internet? Woher stammt das Basis-Container-Image?‘“

Durch die Zusammenarbeit mit modernen Sicherheitsanbietern wie Snyk kann das Engineering-Team von ActiveCampaign Anwendungen mit Zuversicht entwickeln. Während Mazals Team die Governance im Unternehmen verwaltet, nutzen die Entwicklungsteams die Integrationen von Snyk im AWS-Toolset, um Schwachstellen in Container-Workloads auf Amazon ECR automatisch zu erkennen und Amazon-EKS-Cluster auf neue Schwachstellen und Fehlkonfigurationen zu überwachen – und zugleich die Bereitstellung Cloud-nativer Anwendungen zu beschleunigen.