Aspectos destacados
Automatización de la gestión de vulnerabilidades en numerosos microservicios de Scala
Ampliación del análisis de seguridad para casi 100 ingenieros de software y análisis del 100 % de su base de código
Gestión de todo el ciclo de vida de las dependencias con Snyk Open Source
Protección de contenedores e imágenes con Snyk Container
Mayor confianza en las implementaciones con Snyk Infrastructure as Code
Detección de vulnerabilidades casi de día cero con Snyk Intel Vulnerability Database
Redujeron en 43 días el tiempo promedio de corrección del equipo
El desafío: automatizar la gestión de vulnerabilidades a escala
La aplicación de la empresa tiene una arquitectura basada en microservicios, desarrollada principalmente con Scala. Esto significa que hay muchos repositorios de código separados para cada servicio, con distintos niveles de desarrollo activo. El problema era que la empresa gestionaba las dependencias y corregía las nuevas vulnerabilidades de seguridad en estos repositorios de forma improvisada. El equipo de Depop sabía que necesitaba un programa automatizado de gestión de vulnerabilidades que cubriera las dependencias de código abierto, los contenedores y la infraestructura como código (IaC).
×´No teníamos realmente nada implementado para gestionar todo el ciclo de vida de las dependencias”, comentó Charlie Stocker, ingeniero de seguridad en Depop. “También trabajábamos de forma improvisada: alguien se enteraba de un nuevo CVE o de un problema crítico y entonces lo corregíamos. No era una solución escalable, así que necesitábamos algo automatizado que permitiera a los desarrolladores gestionar este flujo de trabajo por su cuenta.”
La solución: crear un proceso de desarrollo seguro
Al buscar una herramienta de gestión de vulnerabilidades, Depop necesitaba una solución compatible con todas sus tecnologías, incluida Scala. Como Snyk pudo integrarse sin problemas desde el principio en los procesos de desarrollo existentes de Depop, los desarrolladores pudieron asumir la responsabilidad de la seguridad de las aplicaciones con pocas dificultades.
La implementación de análisis de seguridad automatizados permitió que los desarrolladores recibieran información actualizada sobre vulnerabilidades de la Snyk Intel Vulnerability Database sin tener que buscarla por su cuenta. De hecho, la base de datos de Snyk acercó mucho más a Depop a la detección de vulnerabilidades de día cero, mientras que la solución anterior de la empresa revelaba algunos problemas meses después de que se descubrieran.
“Sabíamos que no podíamos depender de que a los desarrolladores les interesara la seguridad”,_explicó Pedro Borracha, director de seguridad de la información en Depop. “Necesitábamos un flujo de trabajo integral, con todo automatizado y visibilidad de las vulnerabilidades.”_
Snyk también era una opción natural para Depop porque el equipo de InfoSec sabía que era importante no retrasar al equipo de desarrollo mientras la empresa crecía rápidamente. Una herramienta como Snyk, fácil de usar para los desarrolladores y que no obstaculizaba la entrega de software, era clave para lograr su adopción. A diferencia de otras herramientas de seguridad, Depop consideró que Snyk estaba realmente diseñada para desarrolladores y ofrecía una experiencia de usuario más práctica.
“Es posible avanzar rápido con la seguridad, pero hay que encontrar las herramientas y los procesos adecuados”,_dijo Stocker. “No podíamos agregar todos esos obstáculos y barreras que dificultan el desarrollo de software, porque entonces los desarrolladores simplemente no usarían la herramienta. Ese fue un factor clave para elegir Snyk.”_
Integración de Snyk en todo el ciclo de vida del desarrollo
Además de contar con cobertura integral para las dependencias, los contenedores y la infraestructura de Depop, la empresa quería integrar el análisis en todo el ciclo de vida del desarrollo de software (SDLC). Depop pudo implementar fácilmente medidas de seguridad en cada etapa de su proceso de entrega de software con Snyk CLI. En tan solo un mes, importó todos sus proyectos y Snyk analizó el 100 % de su base de código. Esto ayudó a Depop a confiar más en la postura de seguridad general de su plataforma de marketplace.
“Toda nuestra infraestructura está definida como código”,_dijo Borracha. “Snyk encajó muy bien porque podíamos hacer la mayoría de las cosas desde la CLI, lo que facilitó la implementación de nuestros procesos de monitoreo y auditoría.”_
El impacto: mejora inmediata de la postura de seguridad de la plataforma
Tras integrar Snyk en su proceso de desarrollo, Depop pudo detectar y corregir de inmediato miles de vulnerabilidades para mejorar su postura de seguridad. Hasta la fecha, el equipo de Depop ha ejecutado más de 1.000.000 de pruebas y ha reducido en 43 días su tiempo promedio de corrección. Snyk permitió que la empresa ampliara el alcance de un pequeño equipo de seguridad de aplicaciones a casi 100 desarrolladores, al alentar a los equipos de desarrollo a gestionar las vulnerabilidades por su cuenta.
“Necesitábamos una herramienta que los desarrolladores quisieran usar, en lugar de que nosotros hiciéramos todo el trabajo de seguridad por ellos”,_explicó Borracha. “Simplemente no tenemos la capacidad para hacerlo nosotros mismos.”_
Depop también tiene mucha más visibilidad de la postura de seguridad de su plataforma y de cientos de proyectos de código basados en microservicios. De hecho, durante la reciente adquisición de la empresa por parte de Etsy, Snyk ya había proporcionado muchas pruebas de la madurez de la seguridad de las aplicaciones de Depop. Snyk mantiene un sólido registro de auditoría disponible para los usuarios y ofrece informes detallados para brindar visibilidad completa del proceso de gestión de vulnerabilidades.
“Snyk tuvo un impacto inmediato”, concluyó Stocker. “Empezamos a corregir muchísimos problemas e integramos la gestión de vulnerabilidades en nuestro proceso y ciclo de vida de desarrollo de software.”