Comment Onna Technologies utilise Snyk et Sysdig pour sécuriser le cycle de développement logiciel tout en gagnant du temps et en réduisant les coûts

Onna Technologies, une entreprise spécialisée dans les logiciels de centralisation des données, intègre la sécurité à chaque étape de son processus de développement grâce à Snyk et Sysdig.

Nous avons récemment rencontré Brent Neal (directeur de la sécurité), Mike Hoffman (ingénieur principal en sécurité) et Andrew Leeb (ingénieur logiciel senior) d’Onna pour échanger sur la protection des données et la conformité, les priorités en matière de sécurité cloud et les avantages de Snyk et Sysdig pour assurer une sécurité des conteneurs de bout en bout.

Découvrez ci-dessous les temps forts de cette conversation passionnante.

Q : Qui est Onna Technologies et qui sont vos clients ?

Brent Neal : Nous sommes l’équipe de sécurité d’Onna, une plateforme d’intégration de données qui accélère la découverte des connaissances et permet aux entreprises de tirer de précieux enseignements de leurs applications de collaboration, de communication et de gestion de contenu.

La plateforme d’intégration des connaissances d’Onna se connecte aux applications cloud les plus populaires, notamment Slack, Microsoft 365, Google Workspace et Zoom, pour faciliter des activités telles que l’eDiscovery, la gouvernance de l’information, la gestion des connaissances et l’identification du partage de données privées et sensibles.

Nous accompagnons certaines des plus grandes entreprises technologiques au monde, comme Dropbox, Lyft et Electronic Arts, en les aidant à gagner du temps et à réduire leurs coûts, à limiter les risques et à exploiter leurs connaissances pour être plus compétitives.

Q : Quelles sont vos priorités en matière de sécurité des applications cloud ?

Brent Neal : Nos clients attendent de nous que nous respections trois principes essentiels et que nous les appliquions avec excellence, 24 h/24 et 7 j/7. Il s’agit de garantir :

• la confidentialité des personnes et de leurs informations sensibles,

• la confidentialité des données des clients et des activités commerciales,

• et le respect des réglementations applicables.

Nous travaillons avec Kubernetes, ce qui signifie que tout est conteneurisé, et utilisons Snyk et Sysdig pour assurer une sécurité complète des conteneurs. Ces solutions améliorent notre programme de gestion des vulnérabilités en nous permettant de les détecter rapidement et de prioriser leur correction. Nous nous appuyons également sur Sysdig pour détecter les menaces dans notre environnement de production. Les principaux avantages sont une posture de sécurité bien plus robuste, une conformité plus facile à atteindre et une collecte des preuves d’audit simplifiée.

Snyk nous fait gagner du temps et de l’argent en nous permettant d’appliquer une véritable approche de sécurité intégrée en amont et de repérer plus tôt dans le pipeline les vulnérabilités et les problèmes de licences. De plus, Snyk renforce la confiance de nos clients envers Onna : ils savent que nous utilisons une solution de pointe pour protéger leurs données et leur vie privée.

Q : Quelle priorité Onna accorde-t-elle à la sécurité de l’open source ?

Mike Hoffman : La sécurité de l’open source est une priorité absolue pour Onna. Bien sûr, les nombreux avantages des logiciels open source s’accompagnent de risques. Nous savons que les dépendances et les bibliothèques des applications peuvent poser problème et entraîner différentes complications, des problèmes de licences aux vulnérabilités.

Toutefois, la fonctionnalité d’analyse de la composition logicielle (SCA) de Snyk nous offre une meilleure visibilité sur les bibliothèques et les dépendances que nous utilisons, ainsi que la capacité essentielle à détecter et à corriger les vulnérabilités pendant le développement. Globalement, Snyk a considérablement amélioré notre cycle de développement logiciel (SDLC) en le rendant beaucoup plus sûr.

Sysdig repose bien sûr sur des outils open source : Falco, créé par Sysdig et désormais devenu la norme de fait en matière de détection des menaces cloud native, ainsi que Sysdig open source, OPA et quelques autres. Sysdig nous permet de comprendre ce qui se passe en coulisses et de bénéficier d’une solution fondée sur une norme largement adoptée, dotée de fonctionnalités d’entreprise et conçue pour évoluer à grande échelle.

Q : Quels ont été les principaux défis liés à l’adoption des pratiques DevSecOps ?

BN : Jusqu’à présent, le principal frein à l’adoption de DevSecOps est la crainte de ralentir le développement. Nous voulons dissiper ces inquiétudes en donnant aux développeurs des outils qui intègrent facilement la sécurité à leurs processus et workflows existants.

D’un point de vue commercial, nous voulons que notre processus de développement produit soit aussi agile que possible. Comme Snyk nous permet d’intégrer la sécurité en amont, les efforts de « reprise » nécessaires pour corriger un problème sont beaucoup moins importants que si celui-ci était découvert plus tard dans le processus.

Quelques développeurs ont déjà découvert Snyk et nous prévoyons de le déployer auprès de toute l’équipe. Notre objectif est d’intégrer Snyk partout afin que chaque développeur puisse voir directement les vulnérabilités et apprendre à les corriger avant qu’elles ne progressent dans le pipeline.

Q : Qu’est-ce qui vous a amenés à adopter l’analyse des conteneurs et les tests statiques de sécurité des applications (SAST) ?

BN : Dans les questionnaires de sécurité de nos clients, on nous demande souvent : « Quelle application utilisez-vous pour le SAST ? » ou « Comment protégez-vous vos conteneurs ? »

Snyk nous permet de répondre clairement à ces questions avec un produit de premier plan. Nous pouvons ainsi assurer à nos clients que nous analysons notre code et prenons les mesures nécessaires pour protéger leurs données.

Q : Quels besoins en matière de sécurité vous ont amenés à choisir Sysdig ?

BN : D’un point de vue technologique, les principaux éléments de notre cas d’usage étaient les suivants :

1. Une sécurité de niveau entreprise pour protéger les données des clients et répondre à nos besoins internes. Cela impliquait de sécuriser Kubernetes dans notre environnement GKE. Il ne suffit pas pour nous de satisfaire aux exigences de conformité : nous avons besoin d’une détection robuste et en temps réel pour protéger nos workloads de production.

2. La capacité à détecter les vulnérabilités et les erreurs de configuration, et à bloquer les builds et configurations à risque avant leur mise en production.

3. La priorisation de la correction des vulnérabilités afin que nos développeurs puissent résoudre les problèmes qui présentent un risque réel.

Sysdig a répondu à ces exigences et nous a fourni des fonctionnalités qui ont considérablement renforcé notre sécurité. Grâce à la priorisation des vulnérabilités et à la précision de la détection des menaces de Sysdig, les équipes de développement, DevOps et sécurité gagnent du temps.

L’assistance continue de l’équipe Sysdig a également été un avantage considérable. Depuis notre première rencontre, l’équipe Sysdig s’est montrée très réactive et facilite la résolution des problèmes. Ce type de relation est extrêmement important pour nous chez Onna.

Q : Comment utilisez-vous la sécurité à l’exécution de Sysdig ? Pouvez-vous donner des exemples de règles que vous avez activées dans votre environnement ?

MH : Le principal avantage de Sysdig est l’amélioration de notre posture de sécurité. Sysdig nous fournit les outils et la visibilité nécessaires pour protéger nos informations et celles de nos clients, tout en respectant nos politiques internes, les réglementations et nos engagements envers nos clients.

Sysdig propose une solution de sécurité hôte performante qui nous aide à surveiller efficacement notre environnement et à détecter de nombreuses menaces potentielles. Nous avons configuré des règles qui nous alertent en cas d’accès inapproprié aux systèmes, d’utilisation d’outils réseau, de modification de certains fichiers ou répertoires et de déplacement latéral dans l’environnement. En plus de générer ces alertes, la solution aide l’équipe de sécurité à comprendre le fonctionnement normal de certains composants dans notre environnement.

Q : Quels avantages ou résultats espérez-vous obtenir grâce à l’intégration de Snyk et Sysdig ?

BN : L’intégration de Snyk et Sysdig nous aidera à affiner notre approche de sécurité intégrée en amont, à réduire nos coûts, à livrer plus rapidement des produits et des fonctionnalités et à améliorer notre posture de sécurité. Une fois l’intégration de Snyk et Sysdig déployée vers la fin de l’année, nous l’utiliserons principalement pour la priorisation. Elle nous permettra de mieux cerner les problèmes de sécurité à corriger et de définir leur ordre de priorité.

Q : Quels conseils donneriez-vous aux entreprises qui hésitent à investir dans un outil intégré de sécurité logicielle ?

BN : Je leur conseillerais d’évaluer le coût des reprises et du temps perdu lorsqu’on n’intègre pas la sécurité en amont. Plus on intervient tôt dans le cycle de développement, plus on réduit considérablement les coûts et on gagne en efficacité en intégrant directement la sécurité au SDLC.

Découvrez par vous-même la puissance de Snyk et Sysdig

Vous souhaitez livrer plus rapidement vos applications Kubernetes tout en assurant une sécurité des conteneurs de bout en bout ? L’adoption de l’intégration Snyk et Sysdig peut éliminer immédiatement jusqu’à 95 % des vulnérabilités qui prendraient autrement des mois à corriger.