Kernaufgabe
Marcin Hoppe ist Senior Manager für Produktsicherheit bei Auth0. Er leitet das Sicherheitsteam, das eng mit der Entwicklung zusammenarbeitet, um sicherzustellen, dass im gesamten Unternehmen sicherer Code bereitgestellt wird. Wie er es beschreibt, besteht der Kern seiner Aufgabe darin, den Entwicklerinnen und Entwicklern bei Auth0 dabei zu helfen, ein sichereres Produkt zu entwickeln.
Um dieses Ziel zu erreichen, erwarten Hoppe und sein Team nicht, dass Entwicklerinnen und Entwickler zu Sicherheitsexperten werden. Stattdessen bieten sie ihnen Anleitung und einfach zu bedienende Tools – darunter Snyk –, damit sie Sicherheit frühzeitig, regelmäßig und automatisiert in den Softwareentwicklungszyklus integrieren können. Das bezeichnet man auch als „Shift Left“.
Abhängigkeiten verwalten und Schwachstellen eindämmen
Der Technologie-Stack basiert auf Node.js und umfasst dadurch zahlreiche Open-Source-Bibliotheken und -Abhängigkeiten. Hoppes Team nutzt häufig Open-Source-Code und wusste, dass das Management von Abhängigkeiten besonders wichtig und zugleich schwierig sein kann. Das Team möchte die Qualität und Sicherheit der verwendeten Open-Source-Komponenten im Blick behalten, mögliche Risiken erkennen und schnell darauf reagieren können.
Hoppe sagt: „Meine größte Sorge ist, Schwachstellen schneller zu entdecken als Angreifer oder böswillige Akteure und gleichzeitig genügend Einblick in unsere Open-Source-Supply-Chain zu haben, um zu verstehen, welche Komponenten wir einbinden. So können wir angemessen und rechtzeitig auf Risiken reagieren.“ Genau dabei kommt Snyk ins Spiel.
Warum Auth0 Snyk gewählt hat
Das Sicherheitsteam von Auth0 erkannte früh, dass es eine Lösung brauchte, mit der Entwicklerinnen und Entwickler Sicherheit einfach und automatisiert gewährleisten können. Die Wahl fiel auf Snyk, weil die Lösung sie besonders „umfassend“ dabei unterstützte, Open-Source-Abhängigkeiten zu verwalten und Risiken einzudämmen. Die Tools helfen Entwicklerinnen und Entwicklern, Schwachstellen in Open-Source-Code automatisch zu finden und zu beheben.
„Das Team von Auth0 nutzt Snyk, um sicherzustellen, dass wir auf einer sicheren Grundlage arbeiten – ganz gleich, was kommt.“
Schwachstellen im Code identifizieren und analysieren
Auth0 benötigt einen Überblick über Schwachstellen aus allen Quellen. Snyk unterstützt das Unternehmen dabei, Open-Source-Schwachstellen zu identifizieren und zu analysieren sowie ihre Behebung zu priorisieren. Früher nutzte Hoppes Team den technischen Schweregrad als wichtigstes Kriterium dafür, welche Schwachstellen zuerst behoben werden sollten. Mit der Zeit erkannte das Team jedoch, dass es bessere Möglichkeiten zur Priorisierung gab.
Heute prüft das Team beispielsweise, ob eine Komponente Kundendaten verarbeitet und ob eine externe Quelle die Schwachstelle gemeldet hat. Beides deutet auf eine höhere Priorität hin. Ist eine bestimmte Komponente für potenzielle Angreifer hingegen nur schwer zugänglich, kann ihre Priorität möglicherweise herabgesetzt werden.
Wie bereits erwähnt, möchte Hoppe Schwachstellen stets schneller entdecken als Außenstehende – egal, ob es sich um Kunden oder Angreifer handelt. Gleichzeitig möchte er die Entwicklungsteams nicht ausbremsen und ihnen die Nutzung von Open-Source-Komponenten nicht untersagen. Snyk hilft dem Team, diese Ziele in Einklang zu bringen, indem es Schwachstellen in allen Open-Source-Abhängigkeiten identifiziert und verwaltet.
Snyk sucht kontinuierlich nach neu veröffentlichten Schwachstellen und prüft Abhängigkeiten anhand der umfassenden Schwachstellendatenbank von Snyk. So erhalten Entwicklungsteams sofort klare Informationen zum Schweregrad und zur Verbreitung einer Schwachstelle. Dadurch können sie Schwachstellen schnell finden und beheben, ohne dass das Sicherheitsteam regelmäßig selbst Hand anlegen muss.
Sicherheit skalieren durch Integration in Entwicklungsumgebungen
Eine besondere Herausforderung für Hoppes Team bestand darin, dass die Verwendung von Sicherheits-Tools über die Befehlszeile aufgrund der Besonderheiten von Node.js schwierig sein kann. Das Sicherheitsteam vereinfachte den Prozess für Entwicklerinnen und Entwickler, indem es Snyk in ihre Entwicklungsumgebung integrierte.
Auth0 arbeitete mit Docker-Containern. Deshalb integrierte das Sicherheitsteam einen Sicherheits-Container mit Snyk direkt in die Entwicklungsumgebung. Jetzt kann jede Entwicklerin und jeder Entwickler Snyk ausführen und selbst auf die benötigten Sicherheitsinformationen zugreifen, ohne sich mit einer umständlichen Befehlszeilen-Oberfläche auseinandersetzen zu müssen. So kann das Team die Sicherheit skalieren, ohne die Zahl der Sicherheitsfachkräfte drastisch erhöhen zu müssen – angesichts des Fachkräftemangels eine echte Herausforderung.
Sicherheitsprozesse entwickeln und Fortschritte messen
Zu den wichtigen Aufgaben von Hoppes Team gehört es, Sicherheitsprozesse zu entwickeln und Tools bereitzustellen, die Entwicklerinnen und Entwicklern die Arbeit erleichtern – etwa den oben beschriebenen Sicherheits-Container. Wann immer sich eine Möglichkeit bietet, einen Aspekt der Sicherheit zu automatisieren oder Tools einfacher nutzbar zu machen, ergreift das Team sie.
Außerdem misst Hoppes Team die Fortschritte der Teams bei Auth0, die ihre Sicherheitslage kontinuierlich verbessern. Derzeit erfasst es die Zahl der Schwachstellen, die jeden Monat behoben werden. Darüber hinaus misst es, wie schnell diese Schwachstellen behoben werden und wie viele SLA-Vorgaben überschritten wurden.
Sicherheit und Geschäftsanforderungen in Einklang bringen
Fast jedes Unternehmen muss Sicherheitsanforderungen mit geschäftlichen Zielen und Bedürfnissen in Einklang bringen. Hoppe und sein Team arbeiten eng mit den Stakeholdern aus dem Geschäftsbereich zusammen, um Sicherheitsprobleme anhand geschäftlicher Anforderungen zu priorisieren und sowohl dem Sicherheitsbedarf als auch den Zielen Wachstum und Wettbewerbsfähigkeit gerecht zu werden.
Für Entwicklerinnen und Entwickler kann es äußerst schwierig sein, Entscheidungen über Zielkonflikte zwischen Sicherheit und geschäftlichen Anforderungen zu treffen. Deshalb übernimmt Hoppes Team eine wichtige Vermittlerrolle zwischen diesen beiden Unternehmensbereichen. Mit Tools wie Snyk kann Hoppe den Stakeholdern aus dem Geschäftsbereich zeigen, dass sein Team Sicherheitslücken gezielt priorisiert und die Sicherheitslage kontinuierlich verbessert – ohne dabei die Kosten aus dem Blick zu verlieren.
Auf einer sicheren Grundlage arbeiten
Sicherheit steht bei Auth0 im Mittelpunkt. Daher ist es nur folgerichtig, dass das Unternehmen großen Wert darauf legt, seine Sicherheitslage im Blick zu behalten und kontinuierlich zu verbessern. Dank der Partnerschaft mit Snyk hat Auth0 geschäftliche Anforderungen erfolgreich mit Sicherheitsanforderungen in Einklang gebracht und verbessert seine Sicherheitslage fortlaufend – mit modernen Sicherheitsansätzen im gesamten Unternehmen.