Die Herausforderung: Schwachstellen finden und beheben, ohne Abläufe zu verlangsamen
DFDS blickt auf eine lange Geschichte zurück – vom Transport von Fracht und Gütern vor 150 Jahren bis zum Management globaler Logistikprozesse heute. DFDS besteht aus zwei großen Geschäftsbereichen: der Fährsparte, die Fracht und Passagiere auf europäischen Fährstrecken befördert, und der Logistiksparte, die Transport- und Logistiklösungen anbietet.
Die Logistiksparte von DFDS stellt ihren Kunden zahlreiche digitale Tools zur Verfügung, etwa für die Echtzeitverfolgung von Sendungen, die Vereinfachung der Zollabfertigung und die Buchung von Frachten. Hinter den Kulissen arbeiten über 200 Entwickler im DFDS-Team daran, diese Produktpalette zu pflegen und weiterzuentwickeln.
Bei einer umfassenden Prüfung ihrer Entwicklungspipeline – einschließlich ihrer Anwendungen und Cloud-Umgebungen – entdeckte das DFDS-Team erhebliche Lücken bei der Transparenz über die Sicherheit. Außerdem stellte das Team in der Organisation unterschiedliche Reifegrade im Bereich Sicherheit fest. Einige Teams hatten einen besseren Überblick über die Anzahl ihrer Schwachstellen und verfügten über gute Kenntnisse der Anwendungssicherheit, andere hingegen nicht. Zudem nutzte jedes Team eine eigene Kombination aus Open-Source- und kommerziellen Tools, statt einem einheitlichen Sicherheitsansatz zu folgen.
Das DFDS-Team benötigte eine neue Lösung, um einheitliche Sicherheitspraktiken im gesamten Unternehmen zu fördern. Gleichzeitig war es wichtig, dass diese Maßnahmen die Entwickler nicht einschränken oder ausbremsen.
„Es stellte sich heraus, dass das größte Risiko in der fehlenden Transparenz über unsere Supply Chain lag“, sagte John Smith, Domain Architect – SecOps. „Wir stellten fest, dass die verschiedenen Teams und Gruppen unterschiedliche Reifegrade hatten.“
Die Lösung: Snyk Open Source und Snyk Code
Das DFDS-Team entschied sich dafür, Snyk Open Source und Snyk Code in allen Entwicklungsgruppen einzusetzen und so sowohl eigenen als auch Drittanbieter-Code abzusichern. Die Wahl fiel auf Snyk, weil die Lösung einfach zu implementieren war und umfangreiche Reporting-Funktionen bot.
„Bei vielen Alternativen, die wir gefunden haben, musste man immer noch eine YAML-Datei oder eine Konfliktdatei in jedes Repository legen“, erklärte John. „Das größte Problem wäre jetzt, wenn ich zu den Product Ownern ginge und sagte: ‚Ich brauche für jedes einzelne Repository ein Issue oder ein PBI‘. Dann würden sie mir sagen, dass sie keine Zeit haben. Da Snyk diese Hürde nicht hat, konnte ich einen Rollout-Prozess entwickeln, der keine Mitwirkung der Product Owner erforderte.“
Das DFDS-Team schätzte außerdem, dass Snyk jedem Entwickler als „Sicherheitsbegleiter“ dienen konnte – unabhängig von dessen Fachkenntnissen. Über Snyk Learn auf der Plattform förderten sie ein besseres Sicherheitsbewusstsein.
John zufolge lautete die wichtige Botschaft: „Die Leute sollten verstehen – oder zumindest anfangen, darüber nachzudenken –, wie sie im Sprint eine sicherheitsorientierte Denkweise anwenden können. Und sich auch fragen: ‚…sehen wir uns die Daten an, die uns aktuell vorliegen, und versuchen wir, die schlimmsten Fälle zu reduzieren.‘“
Die richtigen Tools und Schulungen für mehr Sicherheit
Nachdem das DFDS-Team die Lösungen von Snyk für eigenen Code und Drittanbieter-Code implementiert und Snyk Learn zur Weiterbildung der Entwickler eingesetzt hatte, stieg das allgemeine Interesse daran, Sicherheitsprobleme zu beheben. Entwickler gingen nun zusätzliche Schritte, um Schwachstellen zu finden und zu beheben. Aus einem überwältigenden, ungelösten Problem wurde eine realistische und spannende Initiative für Anwendungssicherheit in allen Entwicklungsteams.
„Seit der Einführung von Snyk bekommen wir viele Fragen wie: ‚Was ist das? Was ist ein CVE? Was ist MITRE?‘“, sagte John. „Die Leute lesen also tatsächlich die Details zu den Schwachstellen in Snyk Learn und versuchen beispielsweise zu verstehen, was SQL-Injection ist. Das zeigt, dass wir mit Snyk indirekt eine Kultur der Neugier fördern. Eine neugierige Haltung gegenüber Sicherheit ist großartig: Wenn wir diese Neugier wecken und Menschen zu Security Champions machen, können sie Einfluss in ihren Teams nehmen.“
Die Auswirkungen: Weniger Schwachstellen und mehr Neugier
Seit der Einführung von Snyk hat das DFDS-Team die Gesamtzahl der Schwachstellen um 50 % gesenkt. Vor wenigen Wochen meldete das Team außerdem, dass es keine ausgereiften Schwachstellen mit kritischem Schweregrad mehr gab. Als Nächstes will das Team Snyk noch tiefer in die nativen IDEs der Entwickler integrieren, um die kontinuierliche Nutzung der Tools zu fördern.
„Dank der Quality Gates und der Security-Sprints können sich [die Entwickler] im Arbeitsalltag viel weniger auf kritische Schwachstellen konzentrieren.“
Dank Snyk kann DFDS Sicherheit proaktiv angehen. So können Entwickler zukünftige Angebote und Updates schnell und sicher veröffentlichen.