Desafíos
Muchos equipos reconocerán la situación de Skyscanner: mantener un sitio web y una aplicación con mucho tráfico, desarrollar con rapidez y a gran escala y, al mismo tiempo, mantener una plataforma segura.
La integración de Snyk le permitió a Skyscanner tener una visibilidad consolidada de las dependencias que usaban sus proyectos, de forma directa o transitiva. El equipo de seguridad quería asegurarse de que identificar las áreas de exposición fuera lo más eficiente posible, ya que antes no contaba con un inventario centralizado para consultar qué proyectos usaban determinadas dependencias. La falta de visibilidad y de comprensión de su situación actual impedía que los equipos de desarrollo de Skyscanner concentraran sus esfuerzos tanto como querían en reducir eficazmente su exposición a vulnerabilidades de código abierto.
El equipo legal de Skyscanner también enfrentaba un desafío importante: llevar un seguimiento de las licencias que usaban las dependencias en los proyectos de Skyscanner. Para Skyscanner, como para la mayoría de las empresas, es importante tener una comprensión detallada de las licencias que se usan en sus productos. Esto no solo brinda la tranquilidad de que las dependencias cuentan con las licencias adecuadas, sino que también permite usar software con licencias menos «permisivas» cuando son compatibles con el caso de uso, en lugar de aplicar una política general excesivamente restrictiva.
"Snyk es una de las herramientas de seguridad más importantes que usamos en Skyscanner. Te darás cuenta de lo importante que es cuando la integres."
Cómo ayudó Snyk
Skyscanner salió al mercado en busca de una herramienta que se adaptara a su entorno y metodologías de desarrollo. Tras evaluar distintas alternativas, Skyscanner decidió que solo Snyk coincidía con su enfoque de empoderar a los desarrolladores.
“Nos gustó que ofreciera un enfoque con varias capas. Snyk funciona bien con la forma en que abordamos la seguridad en Skyscanner. En lugar de que el equipo de seguridad sea el guardián y revise cada línea de código y apruebe todo, podemos empoderar a nuestros desarrolladores. Podemos integrar Snyk en la gestión del código fuente de GitLab para que analice los cambios al confirmarlos, y en CI para que detecte problemas durante la compilación. Podemos darles acceso a nuestros desarrolladores al portal de Snyk, pero solo si lo quieren. Este enfoque por capas permite que los equipos de ingeniería usen Snyk según sus necesidades y que nosotros [el equipo de seguridad] sepamos que podemos detectar vulnerabilidades en algún punto del proceso.”
Snyk Vulnerability Database muestra exactamente qué versiones de una dependencia son vulnerables y cómo corregirlas. Con las herramientas de corrección de Snyk, como la integración con GitLab y la creación de una solicitud de fusión, los desarrolladores de Skyscanner pudieron empezar a corregir vulnerabilidades en su código mediante actualizaciones o parches de Snyk.
"Si estás pensando ‘¿cuál es la herramienta que más necesitamos adoptar?’, un escáner de vulnerabilidades en dependencias debería estar entre las prioridades principales. Cuando empieces a usarlo, verás el alcance total de tu exposición y te darás cuenta de que tienes que hacer algo al respecto."
Resultados
Actualmente, Skyscanner supervisa con Snyk casi 500 proyectos independientes y puede conocer su estado de seguridad, además de abordar problemas de vulnerabilidades y licencias. Al poco tiempo de comenzar la implementación, Snyk alertó a Skyscanner sobre una vulnerabilidad de gravedad alta en una dependencia que se usaba en una de sus plantillas base de proyecto. Estas plantillas contienen varias bibliotecas y sirven de base para muchos proyectos. Skyscanner pudo usar un parche de Snyk para corregir la vulnerabilidad en todos los proyectos. El impacto fue considerable: cientos de proyectos que usaban esa plantilla base quedaron protegidos, lo que redujo significativamente su exposición a riesgos de seguridad.
3 razones por las que Skyscanner confía en Snyk
Estamos a dos clics de fusionar una corrección para una vulnerabilidad en GitLab y dejar el sistema seguro en producción
A nuestros desarrolladores les encanta la integración con sus herramientas actuales
Se integra fácilmente en varias etapas del SDLC, así que sabemos que estamos protegidos