Skyscanner corrigió proyectos fijos y obtuvo visibilidad sobre su exposición a vulnerabilidades de código abierto.

“Snyk es una de las herramientas de seguridad más importantes que usamos en Skyscanner. Te darás cuenta de lo importante que es cuando lo integres.”

Alex Harriss, ingeniero de seguridad en Skyscanner

Principales logros

• El equipo legal de Skyscanner ahora puede monitorear el cumplimiento de las licencias.

• El equipo de ingeniería de seguridad de Skyscanner pudo ayudar al equipo de desarrollo a asumir la responsabilidad de la seguridad de sus dependencias de código abierto.

• El equipo de desarrollo de Skyscanner puede priorizar la corrección de vulnerabilidades con la función “solicitud de cambios para corregir” de Snyk, lo que reduce su exposición a riesgos de seguridad.

• Skyscanner pudo corregir problemas que afectaban a varios proyectos en cuestión de días después de configurar Snyk.

Desafíos

Muchas organizaciones reconocerán la situación de Skyscanner: mantener un sitio web y una aplicación con mucho tráfico, desarrollar con rapidez y a escala y, al mismo tiempo, mantener una plataforma segura.

La integración de Snyk le permitió a Skyscanner tener una visibilidad consolidada de las dependencias que usaban sus proyectos, ya fuera de forma directa o transitiva. El equipo de seguridad quería asegurarse de que identificar las áreas de exposición fuera lo más eficiente posible. Antes no tenían un inventario centralizado que les permitiera consultar qué proyectos usaban cada dependencia. La falta de visibilidad y de conocimiento sobre su estado actual impedía que los equipos de desarrollo de Skyscanner enfocaran sus esfuerzos tanto como querían en reducir eficazmente su exposición a vulnerabilidades de código abierto.

El equipo legal de Skyscanner también enfrentaba un desafío importante: rastrear qué licencias usaban las dependencias de sus proyectos. Para Skyscanner, como para la mayoría de las empresas, es importante tener un conocimiento detallado de las licencias utilizadas en sus productos. Esto no solo brinda la tranquilidad de que las dependencias cuentan con las licencias adecuadas, sino que también permite usar software con licencias menos “permisivas” cuando son compatibles con el caso de uso, en lugar de aplicar una política general excesivamente restrictiva.

Cómo ayudó Snyk

Skyscanner salió al mercado en busca de una herramienta compatible con su entorno y sus metodologías de desarrollo. Después de evaluar otras opciones, Skyscanner decidió que solo Snyk coincidía con su enfoque de empoderar a los desarrolladores.

“Nos gustó que ofreciera un enfoque por capas. Snyk funciona bien con la forma en que trabajamos la seguridad aquí en Skyscanner. En vez de que el equipo de seguridad sea el guardián que revisa cada línea de código y aprueba todo, podemos empoderar a nuestros desarrolladores. Podemos integrar Snyk en la gestión del código fuente de GitLab para que analice los cambios al confirmarlos, y en CI para que detecte problemas durante la compilación. Podemos darles acceso al portal de Snyk a nuestros desarrolladores, pero solo si lo quieren. Este enfoque por capas permite que los equipos de ingeniería usen Snyk según sus necesidades y nosotros [el equipo de seguridad] sabemos que podemos detectar vulnerabilidades en algún momento del proceso.”

Alex Harriss, ingeniero de seguridad en Skyscanner

“Si te preguntas cuál es la herramienta de mayor prioridad que debemos adoptar, un escáner de vulnerabilidades en dependencias debería estar entre las primeras. Cuando empieces a usarlo, verás el alcance total de tu exposición y te darás cuenta de que tienes que hacer algo al respecto.”

Alex Harriss, ingeniero de seguridad en Skyscanner

La Snyk Vulnerability Database muestra exactamente qué versiones de una dependencia son vulnerables y cómo corregirlas. Con las herramientas de corrección de Snyk, como la integración con GitLab para abrir solicitudes de cambios, los desarrolladores de Skyscanner pudieron empezar a corregir vulnerabilidades en su código mediante actualizaciones o parches de Snyk.

Resultados

Hoy, Skyscanner monitorea casi 500 proyectos independientes con Snyk y puede conocer el estado de su seguridad, así como abordar problemas de vulnerabilidades y licencias.

Al inicio de la implementación, se alertó a Skyscanner sobre una vulnerabilidad de gravedad alta en QS, que se usaba en una de sus plantillas de proyecto base. Estas plantillas contienen varias bibliotecas y sirven de base para muchos proyectos. Skyscanner pudo usar un parche de Snyk para corregir la vulnerabilidad en todos los proyectos. El impacto fue considerable: cientos de proyectos que usaban esa plantilla base quedaron protegidos, lo que redujo significativamente su exposición a riesgos de seguridad.

3 razones por las que Skyscanner confía en Snyk

“Estamos a dos clics de integrar una corrección para una vulnerabilidad en GitLab y tener un entorno de producción seguro”

“A nuestros desarrolladores les encanta la integración con las herramientas que ya usan”

“Se integra fácilmente en varias etapas del ciclo de vida del desarrollo de software, así que sabemos que estamos protegidos”

Acerca de Skyscanner

Fundada en 2003, Skyscanner es un sitio líder mundial de búsqueda de viajes, donde las personas encuentran inspiración para planificar y reservar directamente entre millones de opciones de viaje a los mejores precios. Cada mes, 70 millones de personas usan el motor de búsqueda de viajes. Skyscanner cuenta con más de 900 empleados y oficinas en Barcelona, Beijing, Budapest, Edimburgo, Glasgow, Londres, Miami, Shenzhen, Singapur y Sofía. Skyscanner forma parte del grupo Ctrip.