Die Herausforderung: Sicherheit mit dem Unternehmenswachstum Schritt halten lassen
Pomelo ist ein Fintech-Unternehmen, das seinen Kundinnen und Kunden Karten- und digitale Kontolösungen für Kryptowährungen, sofortige Finanzierung und besicherte Kreditkarten anbietet. Da das Unternehmen mit vielen sensiblen Daten arbeitet, wusste das Team von Pomelo, dass Cybersicherheit von Anfang an Priorität haben musste.
Das Plattformlösungsteam von Pomelo setzte auf native Tools, die bereits in den Softwareentwicklungszyklus (SDLC) auf AWS integriert waren. Es nutzte Github als Code-Hosting-Plattform und CircleCI als Continuous-Integration-Tool, um Sicherheitskontrollen wie die Erkennung von Secrets, SAST- und SCA-Analysen, IaC-Scans und Scans von Basis-Images umzusetzen. Das Team von Pomelo verwendete ein eigens entwickeltes CircleCI-Orb – ein YAML-Paket, das wiederkehrende Konfigurationen in einer einzigen Codezeile zusammenfasst. Für dieses Security-Orb kamen mehrere Open-Source-Tools in verschiedenen Programmiersprachen zum Einsatz. Doch mit dem Wachstum von Pomelo konnte das selbst entwickelte Security-Orb nicht mehr Schritt halten.
„Mehrere Tools, die in unterschiedlichen Programmiersprachen entwickelt wurden, lieferten unter anderem Ausgaben im JSON-, SARIF- und YAML-Format. Jede Erweiterung hatte ihr eigenes Format mit verschachtelten Bezeichnungen und Ähnlichem. Außerdem nahm mit der Zahl der Repositorys auch die Zahl der erkannten False Positives zu. Dadurch wurden die Daten immer schwieriger zu verwalten.“ – Leandro Sanginetto Technical Expert Engineer, Pomelo
Diese Vielfalt an Programmiersprachen erschwerte es ebenfalls, sich einen Gesamtüberblick über das Sicherheitsprogramm zu verschaffen, da das Team ständig zwischen verschiedenen Sprachen wechseln musste. Ohne ausreichende Transparenz ließen sich Audit-Berichte nur schwer erstellen – ein großes Problem in einer stark regulierten Branche.
Die Lösung: die Anwendungssicherheitsplattform von Snyk
Das Team von Pomelo suchte nach einer Lösung für all diese Probleme. Es wollte die Transparenz und Skalierbarkeit erhöhen und gleichzeitig False Positives reduzieren. Außerdem sollte die Lösung eine Sicherheitslösung sein, die Entwickler beim Erstellen und Ausführen ihrer Anwendungen in der AWS-Umgebung problemlos nutzen können.
„Uns war klar: Selbst wenn wir das beste Sicherheitstool der Welt anschaffen, wird die Implementierung scheitern, wenn wir nicht für Transparenz sorgen und die Engineering-Teams direkt einbeziehen können. Wir wollten eine Plattform, die nicht nur alle unsere Sicherheitsstandards abdeckt, sondern auch von unseren Entwicklern problemlos genutzt werden kann. Das ausgewählte Tool musste sich entwicklergeführt in den SDLC integrieren lassen.“ – Nicolas Gomez Senior Application Security Engineer, Pomelo
Aufgrund der einfachen Bedienung, der geringen Zahl an False Positives und des integrierten Supports entschied sich das Team für die Anwendungssicherheitslösung von Snyk. Besonders überzeugten das Team von Pomelo die Funktion für automatisch erstellte Fix-Pull-Requests und die Integrationen für bereits verwendete Tools wie Jira, Slack, Github und CircleCI.
Die Partnerschaft von Pomelo und Snyk
Zu Beginn der Zusammenarbeit mit Snyk setzte sich das Team von Pomelo zwei Ziele:
Alle rund 900 Repositorys mit Snyk abdecken
Allen Entwicklungsteams (rund 200 Entwicklerinnen und Entwicklern) Zugriff auf die Snyk-Plattform gewähren
In weniger als einem Monat erreichten Pomelo und Snyk beide Ziele und führten Sicherheitsschulungen für Führungskräfte und Entwickler ein.
„Die Integrationen und die API dieser Lösung helfen uns, all diese [Sicherheitsprobleme] für alle sichtbarer zu machen – von den Entwicklern über die Führungskräfte bis hin zur obersten Führungsebene. Außerdem können die Entwicklungsteams eigenständiger mit Snyk arbeiten und sehen, womit sie sich befassen müssen. Mit Snyk können sie mehr selbst erledigen.“ – Leandro Sanginetto Technical Expert Engineer, Pomelo
Beschaffung über den AWS Marketplace vereinfachen
Um die Beschaffungsprozesse zu vereinfachen, nutzte das Team von Pomelo seine bestehenden Abrechnungsmechanismen mit AWS, um die Snyk-Software zu kaufen. So konnte es Rechnungen bündeln und die Zeit bis zum Mehrwert beim Kauf und bei der Implementierung der Snyk-Lösung verkürzen.
Wenn Sie die entwicklerorientierte Sicherheitsplattform von Snyk ausprobieren möchten, können Sie sich auch direkt im AWS Marketplace für ein kostenloses Snyk-Konto registrieren.
Die Ergebnisse: ein skalierbares Sicherheitsprogramm, das mit Pomelo wachsen kann
Seit der Implementierung der Anwendungssicherheitsplattform von Snyk hat das Team von Pomelo seine Anwendungen vom Code bis zur Produktion vollständig abgedeckt. Seit der Einführung von Snyk hat das Team 9.500 Probleme behoben. Davon waren 2.150 schwerwiegend und 200 kritisch; 100 davon verfügten über ausgereifte Exploits.
Außerdem hat das Team mehrere Integrationen implementiert, um ein durchgängiges Sicherheitsprogramm aufzubauen, das den eigenen Anforderungen entspricht. Beispielsweise richtete es eine Snyk-Slack-Integration ein, die die Teams benachrichtigt, sobald ein Problem behoben werden muss.
„Für uns ist es am wichtigsten, die Ergebnisse von Sicherheitstests zentral verwalten zu können. Wenn Sie etwas mit GoSec scannen möchten, geht das … und wenn Sie etwas in Python scannen müssen, ebenso. Alle Informationen lassen sich mit einem einzigen Aufruf zentral abrufen. Genau das war zuvor mit Snyk die größte Herausforderung für uns.“ – Leandro Sanginetto Technical Expert Engineer, Pomelo
Wenn Sie mehr über die Partnerschaft von Snyk und Pomelo erfahren möchten, sehen Sie sich auf DevOps TV ein Gespräch mit Leandro und Nicolas an.