Die Herausforderung: Open-Source-Schwachstellen in der gesamten Software-Lieferkette im Blick behalten
Die ShopBack Group, Asiens führende Shopping-, Prämien- und Zahlungsplattform, bedient mehr als 38 Millionen Käufer. Das Unternehmen arbeitet mit über 15.000 Online- und stationären Handelspartnern zusammen und erzielt einen jährlichen Umsatz von mehr als 3,7 Milliarden US-Dollar.
Im vergangenen Jahr expandierte ShopBack in den Finanzdienstleistungssektor und führte ShopBack Pay und PayLater ein. Rund 300 Entwickler in Singapur, Vietnam und Taiwan arbeiten an der Wartung und Weiterentwicklung der Plattform.
Das ShopBack-Team machte sich Sorgen über kritische Open-Source-Schwachstellen wie Log4j. Es brauchte eine Möglichkeit, die Open-Source-Schwachstellen in seiner Software zu erkennen, zu analysieren und zu beheben, wusste jedoch nicht, wo es anfangen sollte.
Dipin Thomas, Engineering Manager, erklärte: „Eine Schwachstelle wurde bekannt, und alle arbeiteten an ihrer Behebung. Es war für uns sehr schwierig, herauszufinden und zu analysieren: ‚Wo sind wir überhaupt dafür anfällig?‘ oder ‚Wie können wir das einfach beheben?‘“
Die Lösung: Snyk Open Source
Das ShopBack-Team führte Snyk Open Source ein, um Open-Source-Schwachstellen zu finden und zu beheben. Nachdem das Team durch seine Premium-Partnerschaft mit AWS von Snyk erfahren hatte, beschloss es, Snyk und einige vergleichbare Tools zu evaluieren. Die Funktionen dieser Sicherheitslösungen wurden anhand einer Reihe gängiger Codebasen getestet. Snyk Open Source überzeugte mit seinen Pipeline-Integrationen und CLI-Funktionen.
„Die wichtigsten Unterscheidungsmerkmale waren die Unterstützung des privaten Netzwerks von GitLab, die einfache Integration mit GitLab CI und schnellere Ergebnisse“, sagte Dipin. „Snyk bietet auch verschiedene Funktionen in der CLI. So lassen sich bestimmte Schwachstellen beispielsweise nach Schweregrad, Typ oder Ort filtern oder gezielt auswählen. Die meisten anderen Tools, die ich verwendet habe, bieten keinen solchen Filtermechanismus. Stattdessen liefern sie uns den vollständigen Bericht, und wir müssen anschließend eine eigene Engine entwickeln, um ihn zu filtern. Das ist deutlich umständlicher.“
Das ShopBack-Team nutzt außerdem Snyk Security Intelligence, um über CVEs, Meldungen seiner Drittanbieter und weitere relevante Sicherheitsinformationen auf dem Laufenden zu bleiben.
Tao-Sheng Chen, VP of Engineering, sagte: „Man weiß nie, wann eine neue Open-Source-Schwachstelle bekannt wird. Es ändert sich ständig etwas, und eine App, die heute sicher scheint, kann morgen eine neue Schwachstelle enthalten. Wir sind froh, eine zuverlässige Informationsquelle für unsere gesamte Drittanbieter-Software zu haben. So erfahren unsere Entwickler als Erste von kritischen Schwachstellen.“
Funktionen zum Finden und Beheben von Schwachstellen
Auch die Auto-Fix-Funktionen der Snyk Open Source-Plattform schätzen die Entwickler von ShopBack. Statt für jede gefundene Schwachstelle selbst nach einer Lösung zu suchen, klicken sie einfach auf eine Schaltfläche und beheben das Problem in Sekundenschnelle. Das Team schätzt auch, wie einfach sich diese Funktion in sein Ökosystem integrieren lässt, zu dem Node.js- und Docker-Dateien gehören.
Dipin sagte: „Dank der Auto-Fix-Funktion muss der Entwickler nicht erst suchen und sich fragen: ‚Wie behebe ich das?‘ Stattdessen kann er auf eine Schaltfläche klicken. Der passende Patch oder das entsprechende Upgrade wird vorbereitet und muss dann nur noch gemergt werden.“
Die Auswirkungen: positive Ergebnisse in weniger als 60 Tagen
Obwohl Snyk erst seit Kurzem im Einsatz ist, hat das ShopBack-Team bereits deutliche Ergebnisse erzielt. Es hat nun wesentlich mehr Transparenz über den Sicherheitsstatus seiner Software-Lieferkette. Dadurch konnte es kritische und schwerwiegende Schwachstellen innerhalb von 30 Tagen um 16 % reduzieren. In den vergangenen zwei Monaten ist außerdem die Nutzung von Snyk Open Source durch Entwickler zur Absicherung ihrer Projekte um 247 % gestiegen.
Mit der neuen Sicherheitslösung plant das Team nun, den ISO-Zertifizierungsprozess zu durchlaufen. Außerdem möchte es künftig weitere Snyk-Lösungen evaluieren.
Tao-Sheng sagte: „Ich glaube, dass wir in dieser frühen Phase erfolgreich sind, weil die Plattform gut in unser bestehendes Ökosystem integriert ist. Wir freuen uns darauf, weitere Erfolge zu sehen, wenn die Nutzung des Tools weiter zunimmt.“