Sécuriser les applications cloud native : le vice-président de la sécurité de l’information d’ActiveCampaign partage son point de vue

Le cloud native gagne du terrain à mesure que les organisations délaissent les infrastructures sur site et les cycles de publication logicielle plus longs au profit d’une approche de développement plus itérative, reposant sur des outils et des infrastructures cloud. Si les applications cloud native permettent des déploiements rapides et une meilleure évolutivité, cette nouvelle approche du développement logiciel soulève également des défis de sécurité.

Lors d’un récent webinaire, Bonnes pratiques pour sécuriser les applications cloud native modernes, Simon Maple, vice-président des relations avec les développeurs et de la communauté chez Snyk, s’est entretenu avec Chaim Mazal, vice-président de la sécurité de l’information chez ActiveCampaign, au sujet de l’évolution du paysage de la sécurité des applications et de ses répercussions sur ActiveCampaign. Voici leurs propos.

L’évolution des applications modernes

Autrefois, les applications se composaient essentiellement de code personnalisé écrit par les développeurs et de bibliothèques open source, tandis que les équipes des opérations géraient les serveurs, les machines virtuelles, le réseau et les autres infrastructures nécessaires à l’exécution des logiciels. Le développement cloud native, qui voit les entreprises adopter les méthodes DevOps, les architectures de microservices, la conteneurisation et bien d’autres pratiques, change la portée des applications modernes.

« Quand on pense au fait que vous encapsulez votre code personnalisé et vos bibliothèques open source dans votre conteneur Docker, avec l’Infrastructure as Code ou d’autres fichiers de configuration pour le déployer dans votre environnement, explique Maple, les équipes ne déploient pas seulement du code, elles déploient aussi leurs environnements. »

Cette portée accrue des applications entraîne de nouvelles préoccupations en matière de sécurité, qui relèvent désormais de la responsabilité des développeurs. Ainsi, en plus des vulnérabilités du code et des dépendances open source, la sécurité des applications englobe aujourd’hui d’autres éléments, comme les conteneurs, les fichiers de configuration et bien plus encore.

L’évolution de la pile technologique moderne

« Nous avons tous entendu parler de latransformation numériqueet du passage au cloud, explique Maple. L’évolution du périmètre des applications et des responsabilités des développeurs entraîne de nouvelles préoccupations en matière de sécurité qui leur incombent. »

ActiveCampaign, qui aide plus de 150 000 entreprises dans 170 pays à mieux communiquer avec leurs clients et à nouer des relations avec eux, est un exemple d’entreprise qui modernise sa pile technologique. En automatisant le marketing, les ventes et de nombreux autres processus métier, la plateforme ActiveCampaign optimise l’expérience client à grande échelle.

La croissance et l’expansion considérables d’ActiveCampaign ont nécessité une nouvelle approche du développement logiciel pour continuer à proposer rapidement de nouvelles fonctionnalités et intégrations. En effet, la pile technologique de l’entreprise n’a cessé d’évoluer : d’abord une application monolithique en PHP, elle comprend désormais des microservices conteneurisés en Python et Java, une application .NET pour les pages de destination et du JavaScript pour l’interface de la plateforme. Malgré la diversité de cette pile technologique, ActiveCampaign n’a jamais fait de compromis sur la sécurité.

« Snyk couvre toutes ces technologies, explique Mazal. Peu importe l’étape à laquelle nous en étions ou l’évolution de notre déploiement et de notre maintenance logicielle. Les nombreux outils fournis par Snyk nous permettent de bénéficier d’une couverture [de sécurité] complète. »

Une approche de la sécurité centrée sur les développeurs

Alors qu’ActiveCampaign s’orientait vers une plus grande autonomie des développeurs, les ingénieurs en sécurité de l’entreprise recherchaient un outil comme Snyk, centré sur les développeurs et facile à intégrer aux processus de développement habituels. Cette approche DevSecOps permet aux développeurs d’ActiveCampaign de déployer du code à leur propre rythme, dans le respect de garde-fous qui empêchent l’introduction de nouvelles vulnérabilités de sécurité.

« Chez ActiveCampaign, la sécurité fait partie de notre culture, explique Mazal. Tout le monde en est responsable, mais notre équipe de sécurité aide les équipes à réussir, en leur donnant les moyens d’agir sans entraver leur travail. Il est essentiel de prévoir des garde-fous tout en laissant une certaine souplesse. »

La sécurité de la chaîne d’approvisionnement logicielle

Aujourd’hui, la chaîne d’approvisionnement logicielle comprend souvent du code personnalisé, des dépendances open source, des conteneurs et de l’Infrastructure as Code (IaC). Snyk propose des solutions d’analyse de sécurité pour chacun de ces vecteurs de risque, qu’ActiveCampaign a adoptées afin d’assurer une sécurité complète des applications cloud native.

L’intégration de l’analyse de sécurité aux outils d’environnement de développement local, comme l’IDE IntelliJ et la ligne de commande, permet à ActiveCampaign de détecter la plupart des problèmes avant qu’ils n’atteignent les environnements de préproduction. Auparavant, les entreprises détectaient généralement les vulnérabilités et les bogues logiciels surtout dans les environnements de préproduction et de production. Cette approche proactive fournit donc un retour immédiat pendant le développement.

« Aujourd’hui, nous obtenons un retour en temps réel dans l’environnement de développement local et via notre pipeline CI/CD, grâce à de nombreuses intégrations et à différents outils, explique Mazal. Cela nous permet d’obtenir un retour continu et immédiat dès les premières étapes de la création du code, afin que les développeurs puissent prendre rapidement des décisions qui réduisent les risques pour notre plateforme. »

Les outils de sécurité sont essentiels

À mesure que les entreprises adoptent de nouvelles technologies, la sécurité des applications et leur visibilité deviennent beaucoup plus difficiles à assurer. En investissant dans les bons outils de sécurité, les organisations peuvent toutefois tirer parti de l’automatisation pour obtenir un retour continu et corriger les vulnérabilités dans le cadre de leurs processus de développement existants. Elles peuvent ainsi déployer plus facilement leurs efforts de sécurité à l’échelle de l’organisation, sans freiner l’adoption.

« Sans les bons outils ou une visibilité suffisante, il est difficile de prendre les bonnes mesures, explique Mazal. Sans moyen simple et rapide d’obtenir un retour immédiat, il est très difficile d’apporter des améliorations continues pour renforcer votre posture de sécurité globale. »

Avec Snyk, ActiveCampaign dispose également de tableaux de bord détaillés et de métriques qu’elle n’avait pas auparavant. Des statistiques précises au niveau des produits et des équipes favorisent une saine émulation chez ActiveCampaign et incitent les développeurs de l’entreprise à donner le meilleur d’eux-mêmes.

En outre, des données exploitables permettent à ActiveCampaign de faire évoluer ses processus DevSecOps pour améliorer sa posture de sécurité. Des outils intuitifs pour les développeurs et conçus pour les applications cloud native sont donc essentiels aux équipes de sécurité des applications d’aujourd’hui.

Nous espérons que vous avez apprécié ce résumé de l’échange entre Snyk et ActiveCampaign sur l’évolution du paysage de la sécurité des applications. Pour en savoir plus sur le passage d’ActiveCampaign au cloud native et sur l’adoption de Snyk par l’entreprise, regardez le webinaire complet ici.

Optimiser l’expérience DevOps sur AWS

En tant que client AWS, ActiveCampaign cherche constamment de nouvelles façons de tirer le meilleur parti de sa flexibilité d’utilisation des services tels qu’Amazon ECR et Amazon EKS pour gérer ses charges de travail conteneurisées.

« Dans nos environnements de préproduction et de production, nous utilisons notamment Elastic Load Balancers et Elastic Kubernetes Service (Amazon EKS)… Nous utilisons également le registre de conteneurs d’Amazon (Amazon ECR) et collaborons avec Snyk pour surveiller tout ce qui s’y trouve. Nous pouvons ainsi empêcher l’introduction d’éléments qui n’ont pas été testés, ce qui nous est extrêmement utile… C’est ainsi que nous vérifions et approuvons tous nos conteneurs et toutes nos images, et que nous évitons d’en récupérer d’autres au fil du pipeline de développement. Les développeurs utilisent Snyk pour s’assurer que leur code ne contient aucun package vulnérable. Lorsqu’une image est publiée dans Amazon ECR, nous leur avons fourni des outils standardisés qui nous offrent une visibilité complète et nous évitent de poser des questions comme : “Hé, d’où vient cette image ? D’un registre aléatoire sur Internet ? Où avez-vous trouvé cette image de conteneur de base ?”

En s’associant à des fournisseurs de solutions de sécurité modernes comme Snyk, l’équipe d’ingénierie d’ActiveCampaign peut développer des applications en toute confiance, tandis que l’équipe de Mazal gère la gouvernance de l’organisation. De leur côté, les équipes de développement utilisent les intégrations de Snyk à l’ensemble de l’environnement AWS pour détecter automatiquement les vulnérabilités des charges de travail conteneurisées sur Amazon ECR et surveiller les clusters Amazon EKS afin de repérer les nouvelles vulnérabilités et erreurs de configuration, tout en accélérant la livraison des applications cloud native.