Skyscanner a corrigé des projets et obtenu une visibilité sur son exposition aux vulnérabilités open source.

« Snyk est l’un des outils de sécurité les plus importants que nous utilisons chez Skyscanner. Vous comprendrez à quel point il est essentiel une fois intégré. »

Alex Harriss, ingénieur sécurité chez Skyscanner

Principales réussites

• L’équipe juridique de Skyscanner peut désormais surveiller la conformité des licences.

• L’équipe d’ingénierie sécurité de Skyscanner a permis à l’équipe de développement de prendre en charge la sécurité de ses dépendances open source.

• L’équipe de développement de Skyscanner peut prioriser la correction des vulnérabilités grâce aux « demandes de fusion de correction » de Snyk, réduisant ainsi son exposition.

• Skyscanner a pu corriger en quelques jours, dès la mise en place de Snyk, des problèmes touchant plusieurs projets.

Défis

De nombreuses équipes reconnaîtront la situation dans laquelle se trouvait Skyscanner : fournir un site web et une application à fort trafic, développer rapidement et à grande échelle, tout en devant maintenir une plateforme sécurisée.

L’intégration de Snyk a donné à Skyscanner une visibilité centralisée sur les dépendances utilisées directement ou indirectement dans ses projets. L’équipe de sécurité voulait repérer les zones d’exposition le plus efficacement possible. Auparavant, elle ne disposait d’aucun inventaire centralisé permettant de rechercher les projets utilisant chaque dépendance. Sans visibilité ni compréhension de leur situation, les équipes de développement de Skyscanner ne pouvaient pas concentrer leurs efforts autant qu’elles l’auraient voulu pour réduire efficacement leur exposition aux vulnérabilités open source.

L’équipe juridique de Skyscanner devait également relever un défi de taille : suivre les licences utilisées par les dépendances des projets de l’entreprise. Comme la plupart des entreprises, Skyscanner tient à connaître précisément les licences utilisées dans l’ensemble de ses produits. Cela garantit non seulement que les dépendances disposent des licences appropriées, mais permet aussi d’utiliser plus largement des logiciels soumis à des licences moins « permissives », lorsque celles-ci conviennent au cas d’usage, plutôt que d’appliquer une politique générale excessivement restrictive.

Comment Snyk a aidé

Skyscanner a cherché sur le marché un outil compatible avec son environnement et ses méthodes de développement. Après avoir évalué les différentes solutions, l’entreprise a conclu que Snyk était la seule à correspondre à son approche, qui consiste à donner les moyens d’agir aux développeurs.

« Nous avons apprécié l’approche à plusieurs niveaux. Snyk s’intègre bien à notre façon de gérer la sécurité chez Skyscanner. Plutôt que de faire de l’équipe de sécurité un gardien chargé d’examiner chaque ligne de code et de tout valider, nous pouvons donner les moyens d’agir à nos développeurs. Nous pouvons intégrer Snyk à la gestion du code source dans GitLab pour analyser le code à chaque commit, ainsi qu’à la CI pour détecter les problèmes au moment de la compilation. Nous pouvons donner à nos développeurs accès au portail Snyk, s’ils le souhaitent. Cette approche à plusieurs niveaux permet aux équipes d’ingénierie d’utiliser Snyk selon leurs besoins, tandis que nous [l’équipe de sécurité] savons que les vulnérabilités pourront être détectées à une étape ou une autre du processus. »

Alex Harriss, ingénieur sécurité chez Skyscanner

« Si vous vous demandez quel outil adopter en priorité, un scanner de vulnérabilités des dépendances doit figurer en haut de la liste. Dès que vous commencerez à l’utiliser, vous mesurerez l’étendue de votre exposition et comprendrez qu’il faut agir. »

Alex Harriss, ingénieur sécurité chez Skyscanner

Snyk Vulnerability Database indique précisément quelles versions d’une dépendance sont vulnérables et comment y remédier. En utilisant les outils de correction de Snyk, notamment l’intégration à GitLab et l’ouverture d’une demande de fusion, les développeurs de Skyscanner ont pu commencer à corriger les vulnérabilités dans leur base de code en appliquant des mises à niveau ou des correctifs Snyk.

Résultats

Skyscanner surveille aujourd’hui près de 500 projets distincts avec Snyk, ce qui lui permet de connaître leur niveau de sécurité et de résoudre les problèmes liés aux vulnérabilités et aux licences.

Très tôt dans le déploiement, Skyscanner a été alerté d’une vulnérabilité de gravité élevée dans QS, utilisé dans l’un de ses modèles de projet de base. Ces modèles contiennent plusieurs bibliothèques et servent de fondation à de nombreux projets. Skyscanner a pu utiliser un correctif Snyk pour corriger la vulnérabilité dans tous les projets concernés. L’effet a été considérable : des centaines de projets basés sur ce modèle ont ainsi été protégés, réduisant nettement leur exposition.

3 raisons pour lesquelles Skyscanner ne jure que par Snyk

« Il ne nous faut que deux clics pour fusionner dans GitLab un correctif de vulnérabilité et sécuriser la production »

« Nos développeurs adorent l’intégration à leurs outils existants »

« Snyk s’intègre facilement à plusieurs étapes du cycle de développement logiciel, nous savons donc que nous sommes protégés »

À propos de Skyscanner

Fondé en 2003, Skyscanner est un moteur de recherche de voyages mondial de premier plan, qui inspire les voyageurs à planifier et à réserver directement parmi des millions d’offres au meilleur prix. Chaque mois, 70 millions de personnes utilisent son moteur de recherche de voyages. Skyscanner emploie plus de 900 personnes et possède des bureaux à Barcelone, Pékin, Budapest, Édimbourg, Glasgow, Londres, Miami, Shenzhen, Singapour et Sofia. Skyscanner fait partie du groupe Ctrip.