El desafío: mantenerse al día con las vulnerabilidades de código abierto en toda la cadena de suministro de software
ShopBack Group, la principal plataforma de compras, recompensas y pagos de Asia-Pacífico, presta servicios a más de 38 millones de compradores. Trabaja con más de 15,000 socios comerciales en línea y en tiendas físicas, y genera más de 3,700 millones de dólares en ventas anuales.
El año pasado, ShopBack se expandió a los servicios financieros y lanzó sus ofertas ShopBack Pay y PayLater. Cerca de 300 desarrolladores en Singapur, Vietnam y Taiwán trabajan en el mantenimiento y crecimiento de la plataforma.
Al equipo de ShopBack le preocupaban las vulnerabilidades críticas de código abierto, como Log4j. Necesitaban encontrar una forma de comprender, analizar y resolver las vulnerabilidades de código abierto en su software, pero no sabían por dónde empezar.
Dipin Thomas, gerente de ingeniería, explicó: “Surgió una vulnerabilidad en el mercado y todos trabajaban para corregirla. Nos resultaba muy difícil entender y analizar: ‘¿En qué partes somos vulnerables?’ o ‘¿Cómo podemos corregirla fácilmente?’”
La solución: Snyk Open Source
El equipo de ShopBack implementó Snyk Open Source para encontrar y corregir vulnerabilidades de código abierto. Después de conocer Snyk a través de su alianza premium con AWS, decidieron realizar una evaluación con Snyk y algunas herramientas similares. Probaron las capacidades de estas soluciones de seguridad en un conjunto de bases de código comunes. Snyk Open Source se destacó por sus integraciones con pipelines y sus funciones de CLI.
“Los principales diferenciadores fueron la compatibilidad con la red privada de GitLab, la fácil integración con GitLab CI y los resultados más rápidos”, dijo Dipin. “Snyk también ofrece varias funciones en la CLI. Por ejemplo, permite filtrar o seleccionar vulnerabilidades específicas por nivel, tipo o ubicación. La mayoría de las otras herramientas que he usado no tienen este mecanismo de filtrado. En cambio, nos entregan el informe completo y luego tenemos que crear un motor para filtrarlo. Eso es mucho más engorroso.”
El equipo de ShopBack también aprovecha la inteligencia de seguridad de Snyk, que le permite mantenerse informado sobre los CVE, las divulgaciones de sus proveedores externos y otra información de seguridad pertinente.
Según Tao-Sheng Chen, vicepresidente de ingeniería: “Nunca sabes cuándo se anunciará una nueva vulnerabilidad de código abierto. Las cosas cambian constantemente, y una aplicación que hoy consideras segura podría tener una nueva vulnerabilidad mañana. Nos alegra contar con una fuente confiable de información sobre todo nuestro software de terceros, para que nuestros desarrolladores sean los primeros en enterarse de cualquier vulnerabilidad crítica.”
Funciones para encontrar y corregir vulnerabilidades
Los desarrolladores de ShopBack también valoran las funciones de corrección automática de la plataforma Snyk Open Source. En lugar de buscar soluciones para cada vulnerabilidad detectada, solo hacen clic en un botón para corregir el problema en segundos. El equipo también valora que esta función se integre fácilmente con su ecosistema, que incluye archivos de Node.js y Docker.
Dipin dijo: “Con la función de corrección automática, el desarrollador no tiene que buscar por todas partes ni preguntarse: ‘¿Cómo corrijo esto?’. En su lugar, puede hacer clic en un botón, se prepara el parche o la actualización adecuados y luego solo tiene que integrarlos.”
El impacto: resultados positivos en menos de 60 días
Aunque implementaron Snyk hace poco, el equipo de ShopBack ya ha visto resultados importantes. Ahora tiene mucha más visibilidad sobre la postura de seguridad de su cadena de suministro de software. Como resultado, redujo las vulnerabilidades críticas y altas un 16% en 30 días. Además, en los últimos dos meses, la adopción de Snyk Open Source por parte de los desarrolladores para proteger sus proyectos aumentó un 247%.
Ahora que cuentan con una solución de seguridad, el equipo planea pasar por el proceso de certificación ISO. También espera evaluar otras soluciones de Snyk en el futuro.
Tao-Sheng dijo: “Creo que tenemos éxito en estas etapas iniciales porque la plataforma está bien integrada en nuestro ecosistema actual. Y esperamos seguir teniendo más éxito a medida que aumente la adopción de la herramienta.”