El desafío: las prácticas de seguridad obsoletas eran difíciles de escalar
Panther tenía implementadas varias prácticas de seguridad; sin embargo, el crecimiento de su base de clientes dificultaba mantenerlas manualmente a escala. Además, la empresa necesitaba asegurarse de que su programa de seguridad siguiera cumpliendo las normas SOC 2. Para ayudar al negocio a crecer y seguir cumpliendo los requisitos normativos, Panther buscó adoptar prácticas de seguridad nuevas y mejoradas que automatizaran la seguridad de las aplicaciones en varios lenguajes de programación y el aseguramiento de la calidad durante todo el ciclo de vida del desarrollo de software (SDLC). Para ello, necesitaba nuevas herramientas que permitieran detectar vulnerabilidades en Go, Python y JavaScript, tanto en dependencias de código abierto como en código personalizado. Con un equipo pequeño de ingenieros, Panther necesitaba una solución de seguridad que ofreciera protección integral y permitiera desarrollar rápidamente a escala.
“Nuestros clientes quieren saber qué hacemos para proteger sus datos”, dijo Joren McReynolds, director de Ingeniería de Panther Labs. “Un componente fundamental de esa protección es garantizar que el código de nuestro producto se analice de forma inteligente y automática en busca de vulnerabilidades, ya sea que se introduzcan mediante dependencias de paquetes o en el código que escribimos nosotros. Queremos asegurarnos de que cada fragmento de código que publicamos mantenga segura la información de nuestros clientes”.
La solución: facilitar decisiones rápidas y la corrección automatizada
Panther evaluó varios productos mientras buscaba una solución automatizada de análisis de seguridad. Tras evaluar soluciones de código abierto y comerciales, Snyk Open Source y Snyk Code demostraron ofrecer los resultados de seguridad más prácticos, contextuales y enfocados en los desarrolladores. Además, al analizar y validar el código durante los pull request, Snyk permitió que los ingenieros detectaran los problemas desde las primeras etapas del desarrollo y que Panther los corrigiera de forma rápida y eficiente.
“Vimos que Snyk realmente permite que nuestros ingenieros tomen decisiones rápidas”, dijo McReynolds. “Les brinda los conocimientos necesarios para tomar decisiones más seguras sobre actualizaciones o correcciones de nuestro propio código, paquetes o dependencias de terceros. Ven que hace falta una actualización y también cuánto esfuerzo requiere. En muchos casos, la automatización de Snyk permite corregir el problema con solo hacer clic en un botón verde de GitHub para combinar el pull request generado automáticamente”.
Snyk Code permite corregir vulnerabilidades a tiempo
Panther descubrió que Snyk podía ayudar a su equipo de desarrollo a empezar a analizar la seguridad desde las primeras etapas de la compilación mediante pruebas estáticas automatizadas de seguridad de aplicaciones (SAST). Panther adoptó Snyk Code para que los desarrolladores pudieran detectar vulnerabilidades lo antes posible en sus flujos de trabajo. Durante el período de evaluación, Panther descubrió que otras herramientas SAST tenían tiempos de análisis prolongados, poca precisión o un alcance y una profundidad limitados. En cambio, Snyk Code está diseñado para ofrecer sugerencias eficientes y prácticas para corregir vulnerabilidades en cuanto los desarrolladores escriben el código, antes de su implementación.
“Snyk Code nos brindó una capacidad completamente nueva para sumar a nuestro arsenal”, dijo McReynolds. “Analiza rápidamente el código que escribimos y proporciona información confiable y práctica que los ingenieros pueden aprovechar durante el desarrollo y en los flujos de trabajo de compilación. La vista de Snyk permite que los ingenieros detecten rápidamente los problemas del código, otras fuentes del problema y cómo otros ingenieros del sector lo han corregido. Nos ofrece resultados significativos de análisis estático sobre los que podemos actuar de inmediato”.
Seguridad integral del código abierto
Como proveedor de seguridad, Panther trabaja con clientes de gran escala para quienes es fundamental monitorear activamente el código y las bibliotecas de código abierto en busca de vulnerabilidades. Snyk Open Source monitorea cada dependencia y permite que Panther identifique y corrija problemas críticos en cuanto aparecen. Snyk proporciona recomendaciones prácticas para corregir los problemas de seguridad detectados. También ayuda a los desarrolladores a ahorrar tiempo al priorizar los problemas según su gravedad y posible impacto.
“No hay otro producto como Snyk desde una perspectiva integral”, dijo McReynolds. “Snyk encuentra más paquetes vulnerables y más rápido que cualquier otro producto. En comparación, los demás se quedan muy atrás”.
El impacto: generar confianza con seguridad integrada a escala
La implementación de la potente solución SAST de Snyk por parte de Panther, junto con el análisis de dependencias de código abierto, garantiza que las tareas de seguridad sean detalladas y prácticas, y lleguen directamente a los ingenieros sin complicar sus flujos de trabajo ni exigirles que se conviertan en expertos en seguridad. Además, Snyk se integra en su proceso de compilación y ayuda a priorizar las vulnerabilidades para acelerar su corrección. De esta manera, Snyk ha permitido que Panther haga crecer su negocio y, al mismo tiempo, ofrezca visibilidad completa y mejore la calidad del software de las funciones innovadoras que quieren sus clientes.
“Snyk realmente nos permite hacer crecer nuestro negocio rápidamente”, dijo McReynolds. “Snyk se integra automáticamente con GitHub. Solo tenemos que hacer clic en unos cuantos botones y listo. No necesito contratar a alguien a tiempo completo para que se concentre en las vulnerabilidades o analice nuestro código todos los días. Podemos enfocarnos en el desarrollo y, aun así, saber que nuestras aplicaciones se analizan para detectar dependencias de paquetes vulnerables y que nuestro código base se ha analizado a fondo. Es una historia sólida para nuestra empresa y para nuestros clientes”.
Con Snyk, Panther ha adoptado un enfoque de seguridad centrado en los equipos de ingeniería sin ralentizar las implementaciones. Las soluciones automatizadas de Snyk detectan problemas en el código y vulnerabilidades de seguridad antes de que se combine, para que los equipos de ingeniería de Panther sepan que la seguridad se validó antes de que la aplicación llegue a los entornos de pruebas o producción. Cada una de estas acciones también ayuda a Panther a mantener el cumplimiento de SOC 2 y otras normas.
“En definitiva, Snyk nos permitió enfocarnos en hacer crecer nuestro negocio en lugar de dedicar tiempo a desafíos de seguridad complejos que no estamos especialmente capacitados para resolver por nuestra cuenta”, dijo McReynolds. “Estamos muy satisfechos con el retorno de la inversión que obtenemos con Snyk. No solo nos ayuda a cumplir nuestras obligaciones normativas, sino que también ofrece resultados significativos y prácticos que mejoran la seguridad de nuestro producto. Como resultado, confiamos en la calidad del código que entregamos a nuestros clientes”.