Die Herausforderung: Schwachstellen in Open Source führten zu einem manuellen Engpass bei der Sicherheit
Natera verfügte über zahlreiche Sicherheitspraktiken. Diese verlangten von den Entwicklern jedoch, sich manuell durch seitenweise falsch positive Ergebnisse zu arbeiten. Datenbasierte Erkenntnisse schnell zu gewinnen, ist entscheidend für den Geschäftserfolg. Deshalb wollte das Unternehmen neue Sicherheitspraktiken einführen, um Anwendungssicherheit und Qualitätssicherung im gesamten Softwareentwicklungszyklus (SDLC) zu automatisieren. Dafür benötigte Natera neue Tools, um Schwachstellen in Open-Source-Code, kundenspezifischem Code, der Infrastruktur und Containern zu finden und zu verwalten. Mit einem Team von mehr als 200 Entwicklern, die an mehreren Projekten arbeiteten, brauchte Natera einen umfassenden DevSecOps-Ansatz, der sich problemlos teamübergreifend einführen ließ.
„Wir führten manuelle Prüfungen durch. Wenn ein Pull Request einging, versuchten wir, Mitarbeitende den Problemen zuzuweisen. Sicherheit war einfach ein Engpass“, sagte Charlotte Townsley, Director of Security Engineering bei Natera. „Ich wollte die Sicherheitsbereitschaft ausbauen und als Standard etablieren. Wir brauchten Security by Design und die vollständige Einbindung der Entwicklungsteams während des gesamten SDLC. Dafür mussten wir Zusammenarbeit, Bewusstsein, Kompetenzen und Tools stärken. Das würde dem Unternehmen großen Mehrwert bringen.“
Die Lösung: Sicherheit im gesamten Anwendungsentwicklungsprozess ermöglichen
Bei der Suche nach einer Lösung zog Natera verschiedene Produkte in Betracht, darunter Snyk, SonarQube, Blackduck und Veracode. Die Evaluierung zeigte, dass die Snyk Cloud Native Application Security Platform am stärksten auf Entwickler ausgerichtet, nützlich und handlungsorientiert war und eine reibungslose Einführung sowie schnelle Integration ermöglichte. Die Plattform versetzt Entwickler in die Lage, die Sicherheit der gesamten Anwendung selbst zu verantworten – vom Code und Open Source bis hin zu Containern und Cloud-Infrastruktur.
„Wir haben uns für Snyk entschieden, weil es zu unserem Unternehmen und unseren Zielen passt“, sagte Townsley. „Das Produkt ist gut gestaltet, benutzerfreundlich und für das Engineering-Team leicht verständlich. Die Produktfamilie eignet sich hervorragend für die Analyse von Abhängigkeiten, kundenspezifischem Code, Containern und Infrastructure as Code. Alles ist abgedeckt.“
Mit Snyk Code lassen sich Schwachstellen früh in der Entwicklung beheben
Natera wollte sicherstellen, dass das gesamte Entwicklungsteam Verantwortung für die Sicherheit übernehmen kann. Dafür waren statische Anwendungssicherheitstests (SAST) erforderlich, um möglichst früh im Workflow auf Schwachstellen aufmerksam zu machen. Natera stellte fest, dass andere SAST-Tools durch lange Scan-Zeiten und unzureichende Genauigkeit eingeschränkt waren. Snyk Code hingegen liefert effiziente, konkrete Vorschläge zur Behebung von Schwachstellen, während Entwickler in ihrer gewohnten Umgebung Code schreiben – noch vor der Bereitstellung.
„Die Entscheidung fiel uns leicht. Wir haben uns einige andere Tools angesehen, aber ich konnte nichts finden, das vergleichbare Scans ermöglichte, ohne dass wir erst bereitgestellt hatten oder uns in der Phase vor der Bereitstellung befanden. Es gab einfach nichts, womit ich es hätte vergleichen können.“
IDE-Integration für die Sicherheit von kundenspezifischem Code und Open-Source-Code
Mit dem Snyk-Plug-in für die JetBrains IntelliJ IDE konnte das Sicherheitsteam von Natera Sicherheit nahtlos in die Engineering-Workflows integrieren. Direkt in der bevorzugten Entwicklungsumgebung scannt Snyk die Repositories des Engineering-Teams, um Schwachstellen im Quellcode der Anwendungen und in Java-Open-Source-Abhängigkeiten zu erkennen. Indem Entwickler ihren Code während des Schreibens analysieren und prüfen, können sie Probleme früh im Build erkennen und selbst schnell und effizient beheben.
„Ich möchte, dass alle Sicherheit als Partner und als etwas wahrnehmen, das sie unterstützt“, sagte Townsley. „Und genau das ermöglicht ein Ansatz, der früh im Entwicklungszyklus ansetzt. Deshalb beginnen wir mit der IDE-Implementierung und integrieren die Repositories. So verstehen wir den Kontext von Sicherheitslücken in unseren Abhängigkeiten und können fundierte Entscheidungen treffen.“
Mit Snyk Container konnten Entwickler kritische Schwachstellen sofort beheben
Da Natera auf containerisierte Anwendungskomponenten setzt, befinden sich zahlreiche Container-Images des Engineering-Teams in der Produktion. Schwachstellen in Containern könnten die Einhaltung von Vorschriften im Gesundheitswesen gefährden. Deshalb wollte das Sicherheitsteam verhindern, dass Entwickler bestimmte Images aus der Registry verwenden. Das Team entschied sich für Snyk Container, um unerwünschte Images zu blockieren und Schwachstellen in freigegebenen Containern zu beheben.
„Ich war wirklich froh, Container vor dem Laufzeitbetrieb in der Produktion scannen zu können“, sagte Townsley. „Die Schwachstellen in Containern wurden bisher nicht beachtet, und das hat dem Unternehmen die Augen geöffnet. Es schärft das Bewusstsein für diese Schwachstellen und ermöglicht mehr Automatisierung. Das passt besser zum Anspruch der Engineering-Teams, die Qualität im Rahmen ihrer CI/CD-Praktiken kontinuierlich zu verbessern.“
Snyk IaC schafft mehr Transparenz in Repositories
Infrastructure as Code war das letzte fehlende Puzzleteil von Nateras DevSecOps-Ansatz. Um Erkenntnisse aus DNA-Testergebnissen bereitzustellen und zu schützen, setzt Natera auf mehrere Infrastrukturkonfigurationen für seine Anwendungen. Snyk IaC ermöglicht es Entwicklern, ihre Konfigurationen abzusichern und Best Practices in ihre Workflows zu integrieren. Dieser Ansatz zur Einführung der Snyk-Produkte entsprach Nateras Ziel, Sicherheitsgrundlagen über den gesamten Entwicklungszyklus hinweg zu verankern.
„Wir wollten eine umfassende Abdeckung, um Probleme zu finden, die zu Infrastrukturschwachstellen in der Laufzeitumgebung führen könnten“, sagte Townsley. „Diese wurden nicht einmal manuell geprüft. Snyk war daher eine hervorragende Möglichkeit, Transparenz über all unsere IaC-Repositories zu gewinnen.“
Die Wirkung: Das gesamte Spektrum an Sicherheitsschwachstellen im Blick
Natera konnte Sicherheitsprozesse und -richtlinien einführen, die Entwickler kaum unterbrechen. Snyk ist in den Build-Prozess integriert und hilft dabei, Schwachstellen zu priorisieren und schneller zu beheben. So hat Natera vollständige Transparenz gewonnen und die Softwarequalität verbessert, ohne die Markteinführung innovativer Funktionen zu verzögern, die sich die Kunden wünschen.
„Snyk hat einen großen Einfluss auf unser Unternehmen gehabt. Vorher haben wir wirklich nichts Vergleichbares gemacht. Ein Tool, das das gesamte Spektrum an Sicherheitslücken in unserem kundenspezifischen Code, unseren Abhängigkeiten, Containern und IaC prüft, ist wie ein Buffet, von dem hier noch niemand gegessen hat.“
Compliance für Code ohne Reibungsverluste erreichen
Seit der Einführung der Snyk-Plattform kann Natera die erfassten Informationen nun konkreten Sicherheitsrichtlinien zuordnen und unwiderlegbar nachweisen, dass potenzielle Verstöße geprüft werden. Dieser Audit-Trail ist entscheidend, um die Einhaltung von Vorschriften im Gesundheitswesen und Datenschutzgesetzen wie FDA, HIPAA und SOC 2 sicherzustellen.
„Wir sind alle beeindruckt davon, wie gut Snyk Code die Qualitätsanforderungen der FDA erfüllt“, sagte Townsley. „Wir haben sehr engagierte Fürsprecher, die das Tool einfach und deutlich schneller in der Anwendung finden. Noch wichtiger ist, dass Snyk im Gegensatz zu anderen Tools, die seitenweise falsch positive Ergebnisse liefern, schnell arbeitet und tatsächliche Probleme aufzeigt.“
Schwachstellen in Anwendungen durch Automatisierung vollständig beseitigen
Natera hat Snyk für das gesamte Team eingeführt und setzt darauf, 40 Security Champions zu befähigen, die diese Arbeit vorantreiben und bald die übrigen Teammitglieder schulen werden. Mit Snyk haben die Champions und das Sicherheitsteam einen Engineering-zentrierten Sicherheitsansatz ermöglicht, ohne die Bereitstellung zu verlangsamen. Die automatisierten Tools der Plattform erkennen Schwachstellen, bevor Code zusammengeführt wird. So wissen Nateras Engineering-Teams, dass die Sicherheit geprüft wurde, bevor eine Anwendung die Staging- oder Produktionsumgebung erreicht.
„Wir haben Snyk in einen Prozess eingebunden und arbeiten auf Automatisierung hin“, sagte Townsley. „Außerdem arbeiten wir darauf hin, Schwachstellen konsequent zu blockieren. Wir wollen den Punkt erreichen, an dem alles DevSecOps ist. Bald werden wir die Prozesse so abgestimmt haben, dass sie für uns sehr gut funktionieren – statt der uneinheitlichen, manuellen Abläufe, auf die wir vor Snyk angewiesen waren.“