Cómo Onna Technologies usa Snyk y Sysdig para proteger el SDLC mientras ahorra tiempo y dinero

Onna Technologies, una empresa de software de centralización de datos, integra la seguridad en cada aspecto de su proceso de desarrollo con Snyk y Sysdig.

Hace poco nos reunimos con Brent Neal (director de Seguridad), Mike Hoffman (ingeniero principal de Seguridad) y Andrew Leeb (ingeniero sénior de Software) de Onna para conversar sobre protección de datos y cumplimiento, prioridades de seguridad en la nube y las ventajas de usar Snyk y Sysdig para lograr una seguridad de contenedores integral.

A continuación, encontrarás algunos de los momentos destacados de esta fascinante conversación.

P: ¿Qué es Onna Technologies y quiénes son sus clientes?

Brent Neal: Somos el equipo de seguridad de Onna, una plataforma de integración de datos que agiliza el descubrimiento de conocimiento y permite a las empresas obtener información valiosa de sus aplicaciones de colaboración, comunicación y contenido.

La plataforma de integración de conocimiento de Onna se conecta con las aplicaciones en la nube más populares de la actualidad, como Slack, Microsoft 365, Google Workspace y Zoom, entre otras, para complementar actividades como el descubrimiento electrónico, la gobernanza de la información, la gestión del conocimiento y la identificación de datos privados y confidenciales compartidos.

Ayudamos a algunas de las principales empresas tecnológicas del mundo, como Dropbox, Lyft y Electronic Arts, a ahorrar tiempo y dinero, reducir riesgos y aprovechar el conocimiento para ser más competitivas.

P: ¿Qué puedes contarnos sobre tus prioridades en materia de seguridad de aplicaciones en la nube?

Brent Neal: Hay tres áreas fundamentales que nuestros clientes esperan que protejamos y en las que debemos sobresalir las 24 horas del día, los 7 días de la semana. Estas incluyen mantener la:

• privacidad de las personas y de su información confidencial,

• confidencialidad de los datos de los clientes y las actividades comerciales,

• y el cumplimiento de las normativas aplicables.

Como trabajamos con Kubernetes, es decir, todo está en contenedores, usamos Snyk y Sysdig para lograr una seguridad de contenedores integral. Estas soluciones mejoran nuestro programa de gestión de vulnerabilidades porque nos permiten identificarlas rápidamente y priorizar su corrección. También confiamos en Sysdig para detectar amenazas en nuestro entorno de producción. Entre las principales ventajas se encuentran una postura de seguridad mucho más sólida, mayor facilidad para cumplir los requisitos normativos y una recopilación de evidencias simplificada para las auditorías.

Snyk nos ahorra tiempo y dinero al permitirnos aplicar de verdad la seguridad desde el inicio del ciclo de desarrollo, para que podamos detectar antes en el pipeline aspectos como las vulnerabilidades y los problemas de licencias. Además, Snyk aumenta la confianza de los clientes en Onna, ya que saben que usamos una solución de vanguardia para proteger sus datos y su privacidad.

P: ¿Qué prioridad le da Onna a la seguridad del código abierto?

Mike Hoffman: La seguridad del código abierto es una prioridad fundamental para Onna. Por supuesto, las numerosas ventajas de usar software de código abierto también implican riesgos. Sabemos que pueden surgir problemas con las dependencias y bibliotecas de las aplicaciones, que generan complicaciones propias, desde problemas de licencias hasta vulnerabilidades.

Sin embargo, la funcionalidad de análisis de composición de software (SCA) de Snyk nos ofrece más visibilidad sobre las bibliotecas y dependencias que usamos, además de la capacidad crucial de detectar y corregir vulnerabilidades durante el desarrollo. En general, Snyk ha mejorado considerablemente nuestro ciclo de vida de desarrollo de software (SDLC), al hacerlo mucho más seguro.

Sysdig, por supuesto, se basa en herramientas de código abierto: Falco, que crearon y que ahora es el estándar de facto para la detección de amenazas nativas de la nube, además de Sysdig Open Source, OPA y algunas otras. Con Sysdig, entendemos lo que ocurre internamente y contamos con un estándar ampliamente adoptado, con funciones empresariales y capacidad de escalar.

P: ¿Cuáles han sido los principales desafíos al adoptar operaciones de seguridad para desarrolladores (DevSecOps)?

BN: Hasta ahora, el mayor desafío para adoptar DevSecOps ha sido la preocupación por afectar la velocidad del desarrollo. Nuestro objetivo es aliviar esos temores al proporcionar a los desarrolladores herramientas que integran la seguridad sin problemas en sus procesos y flujos de trabajo actuales.

Desde el punto de vista empresarial, queremos asegurarnos de que nuestro proceso de desarrollo de productos sea lo más ágil posible. Como Snyk nos permite incorporar la seguridad desde el inicio, el trabajo adicional necesario para corregir un problema es mucho menor que si se descubriera más adelante en el proceso.

Por ahora, algunos desarrolladores ya empezaron a usar Snyk y tenemos previsto implementarlo en todo el equipo. Nuestro objetivo es integrar Snyk en todas partes para que todos nuestros desarrolladores puedan ver las vulnerabilidades de primera mano y aprender a resolverlas antes de que avancen demasiado en el pipeline.

P: ¿Qué los llevó a adoptar el análisis de contenedores y las pruebas de seguridad estáticas de aplicaciones (SAST)?

BN:En muchos cuestionarios de seguridad de nuestros clientes nos preguntan: «¿Qué aplicación usan para SAST?» o «¿Cómo protegen sus contenedores?».

Snyk nos permite responder claramente esas preguntas con un producto líder en el sector. En esencia, podemos asegurarles a nuestros clientes que analizamos nuestro código y tomamos las medidas necesarias para proteger sus datos.

P: ¿Qué necesidades de seguridad los llevaron a Sysdig?

BN: Desde el punto de vista tecnológico, los principales componentes de nuestro caso de uso se centraban en:

1. Seguridad de nivel empresarial para proteger los datos de los clientes y satisfacer las necesidades internas. Eso significaba proteger Kubernetes en nuestro entorno de GKE. No basta con cumplir los requisitos normativos: necesitamos una detección sólida y en tiempo real para proteger las cargas de trabajo de producción.

2. La capacidad de analizar vulnerabilidades y errores de configuración, y bloquear compilaciones y configuraciones riesgosas antes de que lleguen a producción.

3. Priorizar la corrección de vulnerabilidades para que nuestros desarrolladores puedan resolver los problemas que representan un riesgo real.

Sysdig pudo satisfacer estos requisitos y ofrecer funciones que fortalecieron considerablemente nuestra seguridad. Como Sysdig prioriza las vulnerabilidades y detecta las amenazas con precisión, ahorramos tiempo a los desarrolladores, los equipos de DevOps y los equipos de seguridad.

Otro beneficio enorme ha sido el soporte continuo que recibimos del equipo de Sysdig. Desde nuestra primera reunión, Sysdig ha respondido con rapidez y ha facilitado la resolución de problemas. Ese tipo de relación es muy importante para nosotros en Onna.

P: ¿Cómo usan la seguridad en tiempo de ejecución de Sysdig? ¿Puedes dar ejemplos de los tipos de políticas que han habilitado en su entorno?

MH: La principal ventaja de Sysdig es que mejora nuestra postura de seguridad. Sysdig nos proporciona las herramientas y la visibilidad necesarias para proteger tanto nuestra información como la de nuestros clientes, y para cumplir nuestras políticas internas, las normativas y nuestros compromisos con los clientes.

Sysdig ofrece una potente solución de seguridad basada en el host que nos ayuda a monitorear eficazmente nuestro entorno frente a diversas amenazas potenciales. Tenemos políticas que nos alertan sobre el acceso indebido a sistemas, el uso de herramientas de red, los cambios en ciertos archivos o directorios y el movimiento lateral en el entorno. Además de generar estas alertas, también ayuda al equipo de seguridad a entender cómo suelen funcionar ciertos componentes en nuestro entorno.

P: ¿Qué ventajas o resultados esperan obtener al usar la integración de Snyk y Sysdig?

BN:La integración de Snyk y Sysdig nos ayudará a seguir perfeccionando nuestro enfoque de seguridad desde el inicio, reducir costos, entregar productos y funciones más rápido y mejorar nuestra postura de seguridad. Una vez que implementemos la integración de Snyk y Sysdig hacia fines de este año, nuestro principal caso de uso será la priorización. En definitiva, nos permitirá entender mejor qué problemas de seguridad debemos corregir y cómo priorizarlos.

P: ¿Qué consejo les darías a las organizaciones que dudan en invertir en una herramienta integrada de seguridad de software?

BN: Les recomendaría analizar los costos de rehacer el trabajo y del tiempo perdido cuando no se incorpora la seguridad desde el inicio. Cuanto más se integre la seguridad desde las primeras etapas, mayor será la reducción de costos y el aumento de eficiencia al incorporarla directamente en el SDLC.

Descubre por ti mismo el poder de Snyk y Sysdig

¿Quieres lanzar tus aplicaciones de Kubernetes más rápido sin dejar de mantener una seguridad de contenedores integral? Adoptar la integración de Snyk y Sysdig puede eliminar de inmediato hasta el 95 % de las vulnerabilidades que, de otro modo, tardarían meses en corregirse.