Herausforderungen
Viele Teams kennen die Situation von Skyscanner: eine stark frequentierte Website und App bereitstellen, schnell und in großem Maßstab entwickeln und dabei stets eine sichere Plattform aufrechterhalten.
Durch die Integration von Snyk erhielt Skyscanner einen zentralen Überblick darüber, welche Abhängigkeiten in den Projekten direkt oder transitiv verwendet wurden. Das Security-Team wollte Bereiche mit Risiken möglichst effizient ermitteln. Zuvor gab es jedoch kein zentrales Inventar, in dem sich abfragen ließ, welche Projekte welche Abhängigkeiten nutzten. Ohne Überblick und Verständnis der aktuellen Situation konnten sich die Entwicklungsteams von Skyscanner nicht so stark wie gewünscht darauf konzentrieren, ihre Gefährdung durch Open-Source-Schwachstellen wirksam zu verringern.
Auch das Rechtsteam von Skyscanner stand vor der großen Herausforderung, nachzuverfolgen, welche Lizenzen von den Abhängigkeiten in den Projekten verwendet wurden. Für Skyscanner ist es wie für die meisten Unternehmen wichtig, genau zu wissen, welche Lizenzen in den Produkten zum Einsatz kommen. So lässt sich nicht nur sicherstellen, dass Abhängigkeiten ordnungsgemäß lizenziert sind, sondern auch Software mit weniger „permissiven“ Lizenzen kann im passenden Anwendungsfall genutzt werden, statt pauschal eine übermäßig restriktive Richtlinie anzuwenden.
„Snyk ist eines der wichtigsten Sicherheitstools, die wir bei Skyscanner einsetzen. Wie wichtig es ist, merken Sie erst, wenn Sie es tatsächlich integriert haben.“
So unterstützte Snyk
Skyscanner suchte nach einem Tool, das zur Entwicklungsumgebung und den Arbeitsmethoden des Unternehmens passte. Nach der Prüfung verschiedener Alternativen entschied sich Skyscanner für Snyk, denn nur Snyk entsprach dem Ansatz, Entwicklerinnen und Entwickler zu befähigen.
„Uns gefiel der mehrstufige Ansatz. Snyk passt gut dazu, wie wir Sicherheit bei Skyscanner handhaben. Statt dass das Security-Team als Kontrollinstanz jede Codezeile prüft und alles freigibt, können wir unsere Entwicklerinnen und Entwickler befähigen. Wir können Snyk in die GitLab-Quellcodeverwaltung integrieren, damit der Code bei jedem Commit gescannt wird, und in die CI, damit Probleme beim Build erkannt werden. Wir können unseren Entwicklerinnen und Entwicklern Zugriff auf das Snyk-Portal geben, wenn sie ihn möchten. Dieser mehrstufige Ansatz ermöglicht es den Engineering-Teams, Snyk ganz nach Bedarf einzusetzen. Und wir [das Security-Team] wissen, dass Schwachstellen im Laufe des Prozesses erkannt werden.“
Die Snyk Vulnerability Database zeigt genau, welche Versionen einer Abhängigkeit verwundbar sind und wie Sie das Problem beheben können. Mithilfe der Snyk-Behebungstools, etwa der GitLab-Integration und dem Erstellen eines Merge Requests, konnten die Entwicklerinnen und Entwickler von Skyscanner Schwachstellen in ihrer Codebasis beheben, indem sie Upgrades oder Snyk-Patches anwendeten.
„Wenn Sie sich fragen: ‚Welches Tool sollten wir am dringendsten einführen?‘, sollte ein Scanner für Schwachstellen in Abhängigkeiten ganz oben auf der Liste stehen. Sobald Sie ihn einsetzen, sehen Sie das volle Ausmaß Ihrer Gefährdung und erkennen, dass Sie etwas dagegen unternehmen müssen.“
Die Ergebnisse
Skyscanner überwacht heute mit Snyk fast 500 separate Projekte und kann deren Sicherheitsstatus nachvollziehen sowie Probleme mit Schwachstellen und Lizenzen beheben. Bereits zu Beginn der Einführung wurde Skyscanner auf eine hochgradige Schwachstelle in einer Bibliothek aufmerksam, die in einer der Basis-Projektvorlagen verwendet wurde. Diese Vorlagen enthalten mehrere Bibliotheken und dienen als Grundlage für viele Projekte. Skyscanner konnte einen Snyk-Patch anwenden und die Schwachstelle in allen Projekten beheben. Das Ergebnis war erheblich: Hunderte von Projekten, die auf dieser Basisvorlage beruhten, waren anschließend geschützt – und das Sicherheitsrisiko sank deutlich.
3 Gründe, warum Skyscanner auf Snyk setzt
In GitLab sind es nur zwei Klicks, um einen Fix für eine Schwachstelle zu mergen und anschließend in der Produktion sicher zu sein.
Unsere Entwicklerinnen und Entwickler schätzen die Integration in ihre vorhandenen Tools.
Snyk lässt sich einfach in mehrere Phasen des SDLC integrieren. So wissen wir, dass wir geschützt sind.