Die Herausforderung: Plattform und Inhalte von The Telegraph schützen
Im Laufe der Jahre hat die Telegraph Media Group ihr Medienportfolio um mehrere Websites, eine mobile App, Printtitel und mehr erweitert. Dieser plattformübergreifende digitale Ansatz nutzt eine Microservices-Architektur, um Daten und Inhalte zwischen internen Systemen und Drittanbietern auszutauschen. Da Inhalte das wichtigste Kapital der Telegraph Media Group sind, wusste das Unternehmen, dass die Sicherheit seiner Plattform und API höchste Priorität haben musste.
„Als großer Medienverlag ist eine sichere Website und sicherer Code eine der wichtigsten Prioritäten von TMG“, erklärte Ciro Rizzo, Head of Engineering. „Gemeinsam mit unserem Sicherheitsteam wollten wir sicherstellen, dass unser gesamter Code vor potenziellen Problemen geschützt ist.“
Die Lösung: Snyk in die automatisierte CI/CD-Pipeline integrieren
Die Telegraph Media Group wollte sicherstellen, dass die interne Softwareentwicklung den bewährten Sicherheitspraktiken folgt. Deshalb integrierte das Unternehmen Snyk Open Source in seine Continuous-Integration- und Continuous-Delivery-Pipeline (CI/CD). Snyk Open Source erkennt Schwachstellen in Abhängigkeiten von Drittanbietern. So kann TMG sicher sein, dass seine Services die Sicherheitsstandards des Unternehmens erfüllen.
„Ein Produkt wie Snyk hilft uns dabei, Bereiche unserer Services zu identifizieren, die potenziell Bedrohungen durch externe Akteure ausgesetzt sind“, erklärte Rizzo. „Im Rahmen unserer digitalen Transformation arbeitet unser Entwicklungsteam mit dem Sicherheitsteam zusammen, um den Sicherheitszustand unserer Software auf einem guten Niveau zu halten. Und seit Snyk Teil unserer CI/CD-Pipeline ist, werden Sicherheitsprüfungen bereits früher im Entwicklungsprozess durchgeführt.“
Da die Plattform und APIs von TMG fast ausschließlich aus containerisierten Services bestehen, die in der Cloud auf Kubernetes ausgeführt werden, nutzt das Unternehmen auch Snyk Container. Snyk Container sorgt dafür, dass Docker-Images und sogar Dockerfiles sicher sind, bevor Microservices in der Produktionsumgebung bereitgestellt werden. Snyk kann außerdem neu bereitgestellte Kubernetes-Workloads überwachen, um Fehlkonfigurationen oder potenziell unsichere Cluster-Einstellungen zu erkennen.
Behebung von Schwachstellen priorisieren
Die ersten Scan-Ergebnisse von Snyk können für manche Unternehmen überwältigend sein. Das Tool soll jedoch den Aufwand für die Behebung von Problemen verringern, indem es Schwachstellen nach Schweregrad einstuft. So konnte TMG Probleme schrittweise beheben und die Anwendungssicherheit mit jeder neuen Code-Version effizient verbessern.
„Snyk bietet eine sehr umfassende Schwachstellendatenbank, die Sicherheitsprobleme einstuft“, sagte Rizzo. „Da wir eine Roadmap mit noch offenen Schwachstellen hatten, konnten wir unsere Risikoexposition sofort reduzieren, indem wir uns zuerst auf die schwerwiegenden Probleme konzentrierten. Die Snyk-Berichte haben unseren Sicherheits- und Entwicklungsteams von Anfang an sehr dabei geholfen, die Behebung von Schwachstellen zu priorisieren.“
Die Wirkung: Mehr Vertrauen in die allgemeine Sicherheitslage
Die Integration von Snyk in die CI/CD-Pipeline von TMG hat die Sicherheitslage des Unternehmens erheblich verbessert. Das Sicherheitsteam von TMG ist nun zuversichtlicher, dass Entwickler die Risikoexposition ihrer Plattformen und APIs proaktiv minimieren, sobald neuer Code veröffentlicht wird. So kann TMG weiterhin sicher Inhalte veröffentlichen, die seine Leser inspirieren.
„Aus technischer Sicht vertrauen wir den Snyk-Berichten und sind viel zuversichtlicher, was die Sicherheit unserer Software angeht“, sagte Rizzo. „Snyk hat außerdem dazu beigetragen, dass wir Risikoexpositionen für unsere Services schneller erkennen und minimieren können.“