Skyscanner hat Projekte zentralisiert und Einblick in die Sicherheitsrisiken durch Open-Source-Schwachstellen gewonnen.

„Snyk ist eines der wichtigsten Sicherheitstools, die wir bei Skyscanner einsetzen. Wie wichtig es ist, wird Ihnen klar, sobald es integriert ist.“

Alex Harriss, Security Engineer bei Skyscanner

Wichtigste Erfolge

• Das Rechtsteam von Skyscanner kann jetzt die Einhaltung der Lizenzbestimmungen überwachen.

• Das Security-Engineering-Team von Skyscanner konnte das Entwicklungsteam dazu befähigen, Verantwortung für die Sicherheit seiner Open-Source-Abhängigkeiten zu übernehmen.

• Das Entwicklungsteam von Skyscanner kann Schwachstellen mithilfe von Snyks „Merge Request zur Behebung“ priorisiert beheben und so die Sicherheitsrisiken reduzieren.

• Skyscanner konnte innerhalb weniger Tage nach der Einrichtung von Snyk Probleme beheben, die mehrere Projekte betrafen.

Herausforderungen

Viele Teams kennen die Situation, in der sich Skyscanner befand: eine stark frequentierte Website und App bereitstellen, schnell und in großem Maßstab entwickeln und gleichzeitig eine sichere Plattform gewährleisten.

Durch die Integration von Snyk erhielt Skyscanner einen zentralen Überblick darüber, welche Abhängigkeiten in den Projekten direkt oder transitiv verwendet wurden. Das Sicherheitsteam wollte Bereiche mit Sicherheitsrisiken so effizient wie möglich ermitteln. Zuvor gab es jedoch kein zentrales Inventar, in dem sich abfragen ließ, welche Projekte welche Abhängigkeiten nutzten. Ohne Einblick und Verständnis des aktuellen Status konnten sich die Entwicklungsteams von Skyscanner nicht so stark wie gewünscht darauf konzentrieren, die Risiken durch Open-Source-Schwachstellen wirksam zu verringern.

Auch das Rechtsteam von Skyscanner stand vor der großen Herausforderung, nachzuverfolgen, welche Lizenzen von den Abhängigkeiten in den Projekten des Unternehmens verwendet wurden. Für Skyscanner ist es wie für die meisten Unternehmen wichtig, genau zu wissen, welche Lizenzen in den Produkten zum Einsatz kommen. Das schafft nicht nur Sicherheit, dass die Abhängigkeiten ordnungsgemäß lizenziert sind, sondern bietet auch mehr Spielraum, Software mit weniger „freizügigen“ Lizenzen zu verwenden, sofern sie zum jeweiligen Anwendungsfall passt – statt eine pauschale, übermäßig restriktive Richtlinie anzuwenden.

Wie Snyk geholfen hat

Skyscanner machte sich auf die Suche nach einem Tool, das zur Entwicklungsumgebung und den Arbeitsweisen des Unternehmens passte. Nach der Prüfung verschiedener Alternativen kam Skyscanner zu dem Schluss, dass nur Snyk den Ansatz unterstützte, Entwicklerinnen und Entwickler zu befähigen.

„Uns gefiel der mehrstufige, vielschichtige Ansatz. Snyk passt gut dazu, wie wir bei Skyscanner Sicherheit umsetzen. Statt dass das Sicherheitsteam als Torwächter jede Codezeile prüft und alles freigibt, können wir unsere Entwicklerinnen und Entwickler befähigen. Wir können Snyk in die GitLab-Quellcodeverwaltung integrieren, damit der Code beim Commit gescannt wird, und in die CI, um Probleme bereits beim Build zu erkennen. Wir können unseren Entwicklerinnen und Entwicklern Zugriff auf das Snyk-Portal geben – wenn sie möchten. Dank dieses mehrstufigen Ansatzes können Engineering-Teams Snyk ganz nach ihrem Bedarf nutzen. Und wir [das Sicherheitsteam] wissen, dass Schwachstellen im Laufe des Prozesses erkannt werden können.“

Alex Harriss, Security Engineer bei Skyscanner

„Wenn Sie sich fragen: ‚Welches Tool sollten wir mit höchster Priorität einführen?‘, dann sollte ein Scanner für Schwachstellen in Abhängigkeiten ganz oben auf der Liste stehen. Sobald Sie ihn einsetzen, erkennen Sie das volle Ausmaß Ihrer Sicherheitsrisiken und sehen, dass Sie etwas dagegen unternehmen müssen.“

Alex Harriss, Security Engineer bei Skyscanner

Die Snyk Vulnerability Database zeigt genau, welche Versionen einer Abhängigkeit Schwachstellen aufweisen und wie Sie diese beheben können. Mit den Snyk-Tools zur Behebung, etwa der Integration mit GitLab und dem Erstellen eines Merge Requests, konnten die Entwicklerinnen und Entwickler von Skyscanner Schwachstellen in ihrer Codebasis beheben, indem sie Upgrades oder Snyk-Patches einspielten.

Die Ergebnisse

Skyscanner überwacht heute mit Snyk fast 500 separate Projekte und kann den Sicherheitsstatus nachvollziehen sowie Schwachstellen- und Lizenzprobleme beheben.

Schon kurz nach der Einführung wurde Skyscanner auf eine schwerwiegende Schwachstelle in QS aufmerksam gemacht, das in einer der Projektvorlagen des Unternehmens verwendet wurde. Diese Basisvorlagen enthalten mehrere Bibliotheken und bilden die Grundlage vieler Projekte. Skyscanner konnte einen Snyk-Patch einsetzen und die Schwachstelle in allen Projekten beheben. Das hatte erhebliche Auswirkungen: Hunderte von Projekten, die diese Basisvorlage nutzten, waren anschließend geschützt – die Sicherheitsrisiken wurden deutlich reduziert.

3 Gründe, warum Skyscanner auf Snyk setzt

„In GitLab sind wir nur zwei Klicks davon entfernt, eine Schwachstelle zu beheben und in der Produktion sicher zu sein.“

„Unsere Entwicklerinnen und Entwickler schätzen die Integration in ihre bestehenden Tools.“

„Snyk lässt sich ganz einfach in mehrere Phasen des SDLC integrieren. So wissen wir, dass wir geschützt sind.“

Über Skyscanner

Skyscanner wurde 2003 gegründet und ist eine führende globale Reisesuchmaschine. Sie inspiriert Menschen dazu, aus Millionen von Reiseangeboten zum besten Preis zu wählen und direkt zu buchen. Jeden Monat nutzen 70 Millionen Menschen die Reisesuchmaschine. Skyscanner beschäftigt mehr als 900 Mitarbeitende und ist mit Büros in Barcelona, Peking, Budapest, Edinburgh, Glasgow, London, Miami, Shenzhen, Singapur und Sofia vertreten. Skyscanner gehört zur Ctrip-Gruppe.