Die Herausforderung: Veraltete Sicherheitspraktiken ließen sich nur schwer skalieren
Panther setzte verschiedene Sicherheitspraktiken ein. Mit der wachsenden Kundenbasis wurde es jedoch immer schwieriger, manuelle Sicherheitsprozesse in großem Maßstab aufrechtzuerhalten. Außerdem musste das Unternehmen sicherstellen, dass sein Sicherheitsprogramm weiterhin den SOC-2-Standards entsprach. Um das Unternehmen zu skalieren und die Compliance-Anforderungen weiterhin zu erfüllen, wollte Panther neue und verbesserte Sicherheitspraktiken einführen, die Anwendungssicherheit in mehreren Programmiersprachen und die Qualitätssicherung während des gesamten Softwareentwicklungszyklus (SDLC) automatisieren. Dafür benötigte das Unternehmen neue Tools, die Schwachstellen in Go, Python und JavaScript sowohl in Open-Source-Abhängigkeiten als auch in eigenem Code erkennen konnten. Da das Engineering-Team klein war, brauchte Panther eine Sicherheitslösung, die umfassenden Schutz bot und eine schnelle Entwicklung in großem Maßstab ermöglichte.
„Unsere Kunden möchten wissen, was wir tun, um ihre Daten zu schützen“, sagte Joren McReynolds, Director of Engineering bei Panther Labs. „Ein zentraler Bestandteil dieses Schutzes ist, sicherzustellen, dass der Code unseres Produkts intelligent und automatisch auf Schwachstellen geprüft wird – unabhängig davon, ob diese durch Paketabhängigkeiten oder von uns selbst geschriebenen Code eingeführt wurden. Wir möchten sicherstellen, dass jedes Stück Code, das unser Haus verlässt, die Informationen unserer Kunden schützt.“
Die Lösung: Schnelle Entscheidungen und automatisierte Behebung ermöglichen
Bei der Suche nach einer automatisierten Lösung für Sicherheitsscans zog Panther mehrere Produkte in Betracht. Nach der Evaluierung von Open-Source- und kommerziellen Lösungen erwiesen sich Snyk Open Source und Snyk Code als die Lösungen mit den entwicklerorientiertesten, kontextbezogensten und umsetzbarsten Sicherheitsergebnissen. Da Snyk den Code außerdem während Pull-Requests analysiert und validiert, konnten Entwickler Probleme früh im Entwicklungsprozess erkennen und schnell und effizient selbst beheben.
„Wir haben gesehen, dass Snyk unseren Entwicklern wirklich ermöglicht, schnell Entscheidungen zu treffen“, sagte McReynolds. „Snyk gibt ihnen das Wissen an die Hand, um sicherere Entscheidungen über Upgrades oder Korrekturen an unserem eigenen Code, unseren Paketen oder Drittanbieter-Abhängigkeiten zu treffen. Sie sehen, wenn ein Upgrade erforderlich ist, und erfahren zugleich, welcher Aufwand damit verbunden ist. In vielen Fällen macht die Automatisierung von Snyk die Behebung ganz einfach: Ein Klick auf eine grüne Schaltfläche in GitHub genügt, um den automatisch erstellten Pull Request zusammenzuführen.“
Mit Snyk Code lassen sich Schwachstellen zeitnah beheben
Panther erkannte, dass Snyk dem Entwicklungsteam ermöglichen würde, Sicherheitsscans bereits früh in der Build-Phase einzusetzen – mit automatisierten statischen Anwendungssicherheitstests (SAST). Panther führte Snyk Code ein, damit Entwickler Schwachstellen so früh wie möglich in ihren Workflows erkennen. Während der Evaluierung stellte Panther fest, dass andere SAST-Tools durch lange Scan-Zeiten, geringe Genauigkeit und/oder eine begrenzte Tiefe und Abdeckung eingeschränkt waren. Snyk Code hingegen wurde dafür entwickelt, effiziente und umsetzbare Vorschläge zur Behebung von Schwachstellen bereitzustellen, sobald Entwickler Code schreiben – noch vor dem Deployment.
„Snyk Code hat unser Arsenal um eine völlig neue Funktion erweitert“, sagte McReynolds. „Das Tool analysiert unseren Code schnell und liefert verlässliche, umsetzbare Informationen, die Entwickler während der Entwicklung und in Build-Workflows nutzen können. In der Snyk-Ansicht erkennen Entwickler schnell Codeprobleme, weitere Quellen des Problems und wie andere Entwickler in der Branche es behoben haben. So erhalten wir aussagekräftige Ergebnisse aus der statischen Analyse, auf die wir sofort reagieren können.“
Umfassende Sicherheit für Open-Source-Code
Als Sicherheitsanbieter arbeitet Panther mit großen Kunden zusammen, für die es unerlässlich ist, Code und Open-Source-Bibliotheken aktiv auf Schwachstellen zu überwachen. Snyk Open Source überwacht jede Abhängigkeit und ermöglicht Panther, kritische Probleme zu erkennen und zu beheben, sobald sie auftreten. Snyk bietet konkrete Anleitungen zur Behebung aller entdeckten Sicherheitsprobleme. Außerdem sparen Entwickler bei der Behebung Zeit, da Snyk Probleme nach Schweregrad und potenziellen Auswirkungen priorisiert.
„Was den Umfang angeht, gibt es kein vergleichbares Produkt wie Snyk“, sagte McReynolds. „Snyk findet durchgehend mehr anfällige Pakete und schneller als jedes andere Produkt. Die anderen Lösungen fallen dagegen deutlich zurück.“
Die Wirkung: Vertrauen schaffen – mit integrierter Sicherheit in großem Maßstab
Panther hat die leistungsstarke SAST-Lösung von Snyk mit dem Scan von Open-Source-Abhängigkeiten kombiniert. So erhalten Entwickler detaillierte, umsetzbare Sicherheitsaufgaben direkt und ohne komplizierte Workflows oder die Notwendigkeit, Sicherheitsexperten zu werden. Darüber hinaus lässt sich Snyk in den Build-Prozess integrieren und hilft dabei, Schwachstellen zu priorisieren, um sie schneller zu beheben. So konnte Panther sein Unternehmen skalieren und zugleich vollständige Transparenz und eine höhere Softwarequalität für die innovativen Funktionen bieten, die sich die Kunden wünschen.
„Mit Snyk können wir unser Unternehmen wirklich schnell skalieren“, sagte McReynolds. „Snyk lässt sich automatisch in GitHub integrieren. Wir müssen also nur ein paar Schaltflächen anklicken und schon kann es losgehen. Ich muss niemanden in Vollzeit einstellen, der sich auf Schwachstellen konzentriert oder unseren Code täglich analysiert. Wir können uns auf die Entwicklung konzentrieren und trotzdem wissen, dass unsere Anwendungen auf anfällige Paketabhängigkeiten geprüft und unsere Codebasis gründlich analysiert werden. Das ist eine starke Geschichte für uns intern und für unsere Kunden.“
Mit Snyk hat Panther einen Engineering-orientierten Sicherheitsansatz etabliert, ohne das Deployment zu verlangsamen. Die automatisierten Lösungen von Snyk erkennen Codeprobleme und Sicherheitslücken, bevor Code zusammengeführt wird. So wissen die Engineering-Teams von Panther, dass die Sicherheit validiert wurde, bevor die Anwendung eine Staging- oder Produktionsumgebung erreicht. All diese Maßnahmen helfen Panther außerdem, neben anderen Standards auch die SOC-2-Compliance aufrechtzuerhalten.
„Letztlich ermöglicht Snyk uns, uns auf das Wachstum unseres Unternehmens zu konzentrieren, statt auf schwierige Sicherheitsprobleme, für deren Lösung wir selbst nicht besonders gut aufgestellt sind“, sagte McReynolds. „Wir sind mit dem ROI von Snyk sehr zufrieden. Die Lösung hilft uns nicht nur, unsere Compliance-Verpflichtungen zu erfüllen, sondern liefert auch aussagekräftige, umsetzbare Ergebnisse, die die Sicherheit unseres Produkts verbessern. Dadurch können wir auf die Qualität des Codes vertrauen, den wir unseren Kunden bereitstellen.“