Die Herausforderung: Sicherheit in einem vielfältigen Tech-Stack gewährleisten
Red Ventures gestaltet die digitale Nutzererfahrung an vorderster Front. Doch das hohe Tempo und die Komplexität des Geschäfts stellen die Sicherheit vor Herausforderungen. Der umfangreiche Technologie-Stack des Unternehmens erstreckt sich über Hunderte von Amazon Web Services (AWS)-Konten, Entwicklungsteams, Code-Repositories und mehr.
Ein Problem für das Team: Das vorhandene Container-Scanning-Tool lieferte nicht die umsetzbaren Erkenntnisse, die für eine messbare Verbesserung der Sicherheit erforderlich waren. Das Unternehmen suchte nach einem leistungsstarken Container-Security-Tool, das sich nahtlos in den Tech-Stack integrieren ließ.
„Anfang des Jahres hatten wir ein Problem“, berichtete Alfonso Cabrera, Director of Platform Engineering bei Red Ventures. „Wir waren mit unserem selbst entwickelten Tooling nicht zufrieden, das uns Einblicke in die Sicherheit unserer Container-Images geben sollte. Bei der Evaluierung der verfügbaren Tools haben wir uns Snyks Produkt für Container-Scanning genau angesehen, denn mit dem Scanning von Anwendungsabhängigkeiten hatten wir bereits gute Erfahrungen gemacht, und uns gefiel die Plattform sehr.“
Die Lösung: Integration der Snyk CLI in den Entwicklungsprozess
Nach der Evaluierung verschiedener Optionen entschied sich Red Ventures für Snyk zum Scannen von Container-Images, da sich die Plattform nahtlos in den bestehenden Tech-Stack integrieren ließ. Snyk war bereits für das Scannen von Anwendungsabhängigkeiten eingeführt und an die mehr als 350 AWS-Konten angebunden worden. Deshalb entwickelte das Unternehmen einen zentralen Scan-Prozess auf Basis der Snyk CLI, der alle Repositories über verschiedene Plattformen und Konten hinweg in einer einzigen Snyk-Organisation zusammenführt. So hat das Team jetzt an einem Ort vollständigen Überblick über die Sicherheit.
„Unser Scan-Prozess basiert auf CodeBuild. Wir rufen das Docker-Image ab, das wir untersuchen möchten, analysieren es mit der Snyk CLI und stellen es anschließend in eine Warteschlange zur Verarbeitung“, erklärte Matt Stegall, Senior Engineer bei Red Ventures. „Am anderen Ende der Warteschlange rufen wir die Ergebnisse ab, prüfen, ob es interessante oder umsetzbare Erkenntnisse gibt, und erstellen daraus JIRA-Tickets.“
Außerdem beschäftigt Red Ventures mehr als 700 Engineers in verschiedenen Geschäftsbereichen und Projekten. Daher arbeitet jedes Team etwas anders. So nutzten viele Engineers selbst gehostete Lösungen und Artifactory zur Speicherung von Container-Images, die ebenfalls von Snyk erfasst werden sollten. Um für mehr Einheitlichkeit zu sorgen, entwickelte Red Ventures einen eigenen Discovery-Dienst, der in Snyk integriert ist. Er erkennt und erfasst automatisch neue Images, sobald sie in die Amazon Elastic Container Registry (ECR) übertragen werden, sowie vorhandene Images in den zahlreichen AWS-Konten des Unternehmens.
Umsetzbare Sicherheitsprobleme sichtbar machen
Red Ventures wusste, dass Entwickler eine reibungslose Erfahrung brauchen, um die Sicherheit der Container zu verbessern. Deshalb integrierte das Unternehmen Snyk in die bestehenden JIRA-Boards und erstellte nur dann neue Tickets, wenn für ein Sicherheitsproblem eine Behebung verfügbar war. Indem Red Ventures die Ergebnisse prüft, bevor sie in JIRA erscheinen, kann das Unternehmen umsetzbare Sicherheitsprobleme sichtbar machen und deren effizientere Behebung vorantreiben. Als entwicklerorientiertes Security-Tool fügt sich Snyk nahtlos in die Engineering-Workflows ein.
„Uns war klar, dass die meisten Software-Engineers sich nicht proaktiv bei Snyk anmelden würden, um die Ergebnisse für ihre Images anzusehen“, erklärte Alfonso. „Wir wollten sie dort erreichen, wo sie arbeiten, und ihnen kritische Ergebnisse direkt zur Behebung bereitstellen.“
Die Wirkung: Sicherheit skalieren und zugleich die Prüftiefe erhöhen
Mit der Snyk-Plattform kann Red Ventures die mehr als 1.300 neuen Images scannen, die Engineers täglich mit den vorhandenen Tools und Systemen wie JIRA, Amazon ECR und weiteren erzeugen. Das eigens entwickelte Discovery-Tool findet Images und erfasst sie in Snyk. AWS CodeBuild erstellt JIRA-Tickets für alle behebbaren Sicherheitsprobleme in den Containern.
Diese neue Snyk-Implementierung sorgt zusammen mit dem bereits bestehenden Scanning von Anwendungsabhängigkeiten dafür, dass detaillierte, umsetzbare Sicherheitsaufgaben direkt bei den Engineers landen, ohne ihre Workflows zu erschweren oder von ihnen zu verlangen, Sicherheitsexperten zu werden. Die Erweiterbarkeit der Snyk-Plattform erwies sich bei der Integration in den komplexen und sich wandelnden Tech-Stack von Red Ventures als äußerst wertvoll.
„Es ist wirklich wichtig, im Blick zu behalten, wie sich Ihre Systeme erweitern und wie Sie darauf aufbauen können. Die Tools, die wir nutzen, ändern sich täglich, und die Technologien, mit denen wir uns integrieren möchten, verändern sich in dieser Branche so häufig“, schloss Stegall. „Deshalb ist es in diesem Bereich umso wichtiger, im Auge zu behalten, wie sich Ihr System im Laufe der Zeit verändern wird.“