Die Herausforderung: Eine umfassende Security-Abdeckung erreichen
Bei rund 1.500 Anwendungen und mehreren Tausend Projekten ist es jedoch nicht einfach, Security zu skalieren. Das Unternehmen brauchte eine Security-Lösung, die nicht nur einfach zu bedienen war (um die Akzeptanz bei Entwicklern sicherzustellen), sondern auch ausgefeilte Funktionen bot, mit denen sich die Security-Maßnahmen im gesamten Unternehmen effizient verwalten ließen.
„Wir wollten eine Lösung, die Kennzahlen dazu liefert, wie viele Anwendungen wir im Verhältnis zur Gesamtzahl unserer Anwendungen scannen, damit wir unsere allgemeine Security-Abdeckung ermitteln können“, erklärte Simon Wilkins, Application Security Analyst bei Overstock. „Effizienz ist ein weiterer wichtiger Faktor. Wir möchten eine Aktion gleichzeitig für alle Projekte ausführen können, die zu einer bestimmten Anwendung gehören, um Zeit zu sparen.“
Die Lösung: Security-Maßnahmen mit Projekt-Tags optimieren
Overstock entschied sich für Snyk, weil die leistungsstarke API und die Tagging-Funktionen der Plattform hervorragend geeignet waren, um die Security-Abdeckung für Tausende von Projekten zu erhöhen. Jetzt kann das Unternehmen seine Security-Scans ganz einfach über zentralisierte API-Aufrufe verwalten – deutlich schneller, als jedes Projekt manuell zu bearbeiten.
Projekt-Tags sind eine Snyk-Funktion, die 2020 eingeführt wurde, damit Unternehmen mehrere Projekte über die Snyk API sortieren, filtern und gesammelt bearbeiten können. Anstatt Aktionen einzeln über die Plattformoberfläche auszuführen, können Nutzer Änderungen automatisiert vornehmen und Kennzahlen für alle Projekte mit einem bestimmten Tag abrufen. Overstock verwendet verschiedene Kriterien für Tags, etwa Projektverantwortliche oder den Status „veraltet“, um seine zahlreichen Anwendungen effizient zu sortieren und zu verwalten.
„Wenn Sie mit Dutzenden, Hunderten, Tausenden oder Hunderttausenden von Projekten arbeiten, ist die Suche nach einem einzelnen Projekt wie die Suche nach der Nadel im Heuhaufen“, erklärt Waleed Arshad, Product Manager bei Snyk. „Deshalb müssen Sie Projekte gruppieren, gesammelt bearbeiten und sie ganz nach Ihren Wünschen filtern können.“
Wie die Snyk API Security skalierbar macht
Snyk begegnet den Herausforderungen der Skalierung mit einer leistungsstarken API, die sich in Entwicklungs-Workflows integrieren lässt, erweiterten Reporting-Funktionen für eine effiziente Behebung, Projekt-Tags zur Verwaltung der Security über zahlreiche Projekte hinweg und vielen weiteren entwicklerfreundlichen Funktionen.
Mit der Snyk API lassen sich bestehende End-to-End-Prozesse vollständig und skalierbar automatisieren. Unternehmen können über die API Engineering-Teams einbinden, indem sie Integrationseinstellungen erstellen und Nutzer einladen. Nach der Einbindung können Engineering-Teams die Snyk API nutzen, um Snyk mit ihrer Source-Code-Verwaltung (SCM) und anderen Entwickler-Tools zu integrieren. Außerdem sorgt ein Cron-Job für diese API-Endpunkte dafür, dass die Snyk Plattform jederzeit die aktuellsten Teams und Projekte enthält.
Unternehmen können mithilfe der Snyk API auch die Transparenz ihrer Security-Maßnahmen erhöhen. Die API bietet umfangreiche Audit-Logs, mit denen sich die Nutzung und andere wichtige Kennzahlen nachverfolgen lassen. Über die Reports API können Unternehmen außerdem detaillierte Informationen abrufen, etwa zur Behebung von Schwachstellen, Empfehlungen zur Priorisierung von Problemen, zum ROI und zur Einhaltung von SLAs.
„Sie müssen sicherstellen, dass Sie die richtigen Bereiche Ihres Unternehmens kontinuierlich unterstützen. Dabei hilft das Reporting“, erklärte Arshad, „denn so können Sie genau beobachten, wie der Status der Behebung im gesamten Unternehmen aussieht, und gezielt die Bereiche unterstützen, die es am dringendsten benötigen.“
Darüber hinaus bietet Snyk Projektattribute und Optionen für Security-Richtlinien. Eine Security-Richtlinie besteht aus benutzerdefinierten Regeln, mit denen Schwachstellen priorisiert oder zurückgestuft werden, um die Risikopräferenzen des Unternehmens besser abzubilden. Unternehmen können diese Richtlinien anhand von Attributen automatisch auf bestimmte Projekte anwenden und so ihre Security auch im großen Maßstab präzise steuern.
Die Wirkung: Security einfach verwalten
Dank der API und der Tagging-Funktionen von Snyk spart Overstock enorm viel Zeit bei der Security. Neben dem Wegfall zeitaufwendiger Verwaltungsaufgaben plant Overstock, die Tagging-Funktionen von Snyk noch umfassender zu nutzen, um die Security-Scans weiter zu zentralisieren und einen Security-Ansatz zu verwirklichen, der mit dem Wachstum des Unternehmens Schritt hält.
„Die neue Tagging-Funktion hat die Snyk API auf ein neues Niveau gehoben. Jetzt lassen sich all diese Aufgaben gesammelt erledigen“, schloss Wilkins. „Ich bin sicher, dass alle diese Funktion schnell nutzen werden.“