Weniger Ballast, mehr Klarheit: Container-Schwachstellen kontextbezogen priorisieren und beheben

„Bei Atlassian basieren 99 % der in der Produktion bereitgestellten Services auf Containern. Als wir erstmals unternehmensweit Container-Scans einführten, wurden uns von Snyk in der gesamten Organisation Zehntausende Probleme gemeldet.

Statt bei der Einstufung des Schweregrads von Tickets ausschließlich auf CVSS-Scores zu setzen, wichen wir bewusst von diesem Vorgehen ab und betrachteten die Probleme im Kontext ihrer Zielbetriebssysteme. Mithilfe der von Snyk angegebenen relativen Bedeutung der Distributionen stellten wir sicher, dass unsere Anforderungen an die Entwicklerinnen und Entwickler umsetzbar waren und einen angemessenen Schweregrad erhielten, der der erforderlichen Priorisierung entsprach.

Zusammen mit der Ermittlung von Containern, die auf „Golden“-Basis-Images basieren, oder Services, die gemeinsame Sidecars verwenden, können sich Entwicklerinnen und Entwickler so auf Probleme konzentrieren, die sie tatsächlich beeinflussen können. Gleichzeitig verbessern wir unsere Sicherheitslage, indem wir diese Container-Images und Sidecars für alle Atlassian-Services auf dem neuesten Stand halten.“