El desafío: las vulnerabilidades de código abierto generaban un cuello de botella de seguridad manual
Natera ya tenía muchas prácticas de seguridad implementadas, pero estas exigían que los desarrolladores revisaran manualmente páginas de falsos positivos. Desarrollar rápidamente información basada en datos es clave para el éxito del negocio, por lo que la empresa buscaba adoptar nuevas prácticas de seguridad que ayudaran a automatizar la seguridad de las aplicaciones y el aseguramiento de la calidad dentro del ciclo de vida del desarrollo de software (SDLC). Esto requería nuevas herramientas para detectar y gestionar vulnerabilidades en el código abierto, el código personalizado, la infraestructura y los contenedores. Con un equipo de más de 200 desarrolladores trabajando en varios proyectos, Natera necesitaba un enfoque integral de DevSecOps que los equipos pudieran adoptar fácilmente.
“Hacíamos revisiones manuales. Recibíamos el pull request y luego intentábamos asignar personas a los problemas. La seguridad era simplemente un cuello de botella”, comentó Charlotte Townsley, directora de ingeniería de seguridad de Natera. “Quería desarrollar y normalizar la preparación en materia de seguridad. Necesitábamos seguridad desde el diseño y la adopción de todo el equipo de ingeniería a lo largo del SDLC, así que teníamos que mejorar la colaboración, la conciencia, las habilidades y las herramientas. Eso aportaría mucho valor a la organización”.
La solución: habilitar la seguridad en todo el proceso de desarrollo de aplicaciones
Al buscar una solución, Natera evaluó varios productos, entre ellos Snyk, SonarQube, Blackduck y Veracode. La evaluación demostró que la plataforma de seguridad de aplicaciones nativas de la nube de Snyk era la más enfocada en los desarrolladores, útil y práctica, lo que facilitaba su adopción e integración rápida. La plataforma permite que los desarrolladores se hagan cargo de la seguridad de toda la aplicación, desde el código y el código abierto hasta los contenedores y la infraestructura en la nube.
“Elegimos Snyk porque se adapta a la organización y a nuestros objetivos”, comentó Townsley. “Está bien diseñado, es fácil de usar y sencillo para el equipo de ingeniería. La suite está bien diseñada para revisar dependencias, código personalizado, contenedores e infraestructura como código. Tiene todo lo que necesitamos”.
Snyk Code permite corregir vulnerabilidades desde las primeras etapas del desarrollo
Natera quería asegurarse de que todo el equipo de desarrollo pudiera hacerse cargo de la seguridad. Para hacer realidad esta visión, necesitaba pruebas estáticas de seguridad de aplicaciones (SAST) que permitieran detectar vulnerabilidades lo antes posible en el flujo de trabajo. Natera descubrió que otras herramientas SAST estaban limitadas por tiempos de análisis prolongados y poca precisión. En cambio, Snyk Code está diseñado para ofrecer sugerencias eficaces y prácticas para corregir vulnerabilidades mientras los desarrolladores escriben código en su entorno nativo, antes de la implementación.
“Fue una decisión fácil. Analizamos algunas otras herramientas y no encontré ninguna que nos ofreciera el mismo tipo de análisis antes de la implementación o durante la etapa previa. Simplemente no había nada con lo que pudiera compararla”.
Integración con el IDE para proteger el código personalizado y de código abierto
Al usar el complemento de Snyk con JetBrains IntelliJ IDE, el equipo de seguridad de Natera pudo integrar la seguridad sin problemas en los flujos de trabajo de ingeniería. En el entorno preferido de cada desarrollador, Snyk analiza de forma nativa los repositorios del equipo de ingeniería para detectar vulnerabilidades en el código fuente de sus aplicaciones y en las dependencias de código abierto de Java. Al analizar y validar el código mientras lo escriben, los desarrolladores pueden detectar problemas desde las primeras etapas de la compilación y corregirlos por su cuenta de manera rápida y eficaz.
“Quiero que todos vean la seguridad como su socio y como algo que los empodera”, comentó Townsley. “Y contar con algo desde las primeras etapas del ciclo de vida realmente lo hace posible. Por eso, empezamos con la implementación en el IDE y la integramos con los repositorios. Esto nos ayuda a entender el contexto de las vulnerabilidades de seguridad en nuestras dependencias y a tomar decisiones informadas”.
Snyk Container permitió a los desarrolladores corregir de inmediato vulnerabilidades críticas
Como Natera depende de componentes de aplicaciones en contenedores, el equipo de ingeniería tiene varias imágenes de contenedor en producción. Las vulnerabilidades en los contenedores podían poner en riesgo el cumplimiento de las regulaciones del sector de la salud, así que el equipo de seguridad buscó limitar el uso de ciertas imágenes del registro por parte de los desarrolladores. El equipo eligió Snyk Container para ayudar a bloquear imágenes no deseadas y corregir vulnerabilidades en los contenedores aprobados.
“Me alegró mucho poder analizar los contenedores antes de que llegaran al entorno de producción en tiempo de ejecución”, comentó Townsley. “La gente no prestaba atención a las vulnerabilidades de los contenedores, así que esto abrió los ojos de la organización. Realmente aumenta la conciencia sobre esas vulnerabilidades y permite automatizar más procesos. Se alinea mejor con la mentalidad de mejora de calidad que los equipos de ingeniería aplican en sus prácticas de CI/CD”.
Snyk IaC ofrece mayor visibilidad de los repositorios
La infraestructura como código era la última pieza del rompecabezas de DevSecOps de Natera. Para entregar y proteger la información sobre los resultados de las pruebas de ADN, Natera depende de varias configuraciones de infraestructura que respaldan sus aplicaciones. Snyk IaC permite que los desarrolladores protejan sus configuraciones e incorporen las mejores prácticas en sus flujos de trabajo. Este enfoque para implementar los productos de Snyk coincidía con el objetivo de Natera de integrar fundamentos de seguridad en todo el ciclo de vida del desarrollo.
“Queríamos una cobertura integral que nos ayudara a encontrar problemas que pudieran causar vulnerabilidades de infraestructura en el entorno de ejecución”, comentó Townsley. “Ni siquiera se revisaban manualmente. Por eso, Snyk fue una excelente forma de obtener visibilidad de todos los repositorios de IaC”.
El impacto: analizar todo el espectro de vulnerabilidades de seguridad
Natera pudo implementar procesos y políticas de seguridad que interrumpen muy poco el trabajo de los desarrolladores. Snyk se integra en su proceso de compilación y ayuda a priorizar las vulnerabilidades para acelerar su corrección. Así, Natera obtuvo visibilidad completa y mejoró la calidad del software sin retrasar la llegada al mercado de las funciones innovadoras que quieren sus clientes.
“Snyk ha tenido un gran impacto en nuestra organización. Antes, realmente no hacíamos nada parecido. Por eso, contar con una herramienta que analiza todo el espectro de vulnerabilidades de seguridad en nuestro código personalizado, dependencias, contenedores e IaC ha sido como ofrecer un banquete que nadie aquí había probado antes”.
Lograr que el código cumpla con las normas sin fricciones
Desde que implementó la plataforma de Snyk, Natera puede vincular la información que recopila con políticas de seguridad específicas y cuenta con pruebas irrefutables de que analiza posibles incumplimientos. Este registro de auditoría es fundamental para mantener el cumplimiento de las regulaciones del sector de la salud y las leyes de privacidad de datos, como las de la FDA, HIPAA y SOC 2.
“A todos nos ha impresionado lo bien que Snyk Code aborda los requisitos del sistema de calidad de la FDA”, comentó Townsley. “Tenemos promotores muy activos que consideran que es fácil de usar y mucho más rápido. Y, lo que es más importante, a diferencia de otras herramientas que generan páginas de falsos positivos, Snyk actúa rápido y muestra problemas reales”.
Automatizar para eliminar por completo las vulnerabilidades de las aplicaciones
Natera implementó Snyk para todo el equipo y se enfocó en habilitar a 40 promotores de seguridad que lideran estas iniciativas y pronto capacitarán al resto del equipo. Con Snyk, los promotores y el equipo de seguridad de Natera adoptaron un enfoque de seguridad centrado en ingeniería sin ralentizar la implementación. Las herramientas automatizadas de la plataforma detectan vulnerabilidades de seguridad antes de que se fusione el código, para que los equipos de ingeniería de Natera sepan que la seguridad se validó antes de que la aplicación llegue a los entornos de pruebas o producción.
“Integramos Snyk en un proceso y avanzamos hacia la automatización”, comentó Townsley. “También avanzamos hacia el bloqueo total de las vulnerabilidades. Queremos llegar al punto en que todo sea DevSecOps. Pronto tendremos todo configurado para que funcione muy bien para nosotros, en lugar de los procesos manuales e inconsistentes en los que dependíamos antes de Snyk”.