Le défi : déployer l’analyse de sécurité à l’échelle de l’organisation
Avec plus de 200 000 clients et plus de 2,6 millions de membres dans sa communauté, Atlassian doit accorder une importance toujours plus grande à la sécurité des applications pour réduire son exposition aux risques. À mesure que l’entreprise se développe, elle veut s’assurer que ses outils sont sécurisés et conformes aux réglementations du secteur. Elle s’est donc associée à Snyk, qui a fait ses preuves en aidant les développeurs à prendre en charge la sécurité et à l’intégrer à l’ensemble du cycle de vie des applications.
« Nous utilisions notre outil précédent comme solution provisoire pour analyser les conteneurs de notre produit Trello, mais il nous fallait une solution capable de monter en charge », explique Will Ratner, ingénieur principal en sécurité des produits chez Atlassian. « Nous voulions donc un produit qui ne nous oblige pas à gérer notre propre infrastructure et qui fournisse aux développeurs des données faciles à exploiter pour corriger plus simplement les vulnérabilités. »
La solution : déployer Snyk auprès de milliers de développeurs
Après avoir évalué plusieurs solutions, Atlassian a choisi Snyk Container, qui lui permettait d’étendre l’analyse des conteneurs à ses produits et équipes de développement sans avoir à gérer sa propre infrastructure. Comme 99 % des services d’Atlassian sont déployés dans des conteneurs, Snyk contribue à assurer la sécurité des logiciels dans toute l’entreprise.
« Nous avons commencé à évaluer Snyk principalement pour trouver un bon remplacement à notre outil d’analyse des conteneurs », explique Sharada Moorthy, ingénieure principale en sécurité des produits chez Atlassian. « Nous voulions passer à une plateforme capable de s’adapter à nos autres produits. »
En outre, Snyk Open Source permet à Atlassian d’analyser ses dépendances open source pour détecter les vulnérabilités. Atlassian souhaitant analyser les dépôts individuels dans chaque environnement de build, Snyk a déployé une nouvelle fonctionnalité d’analyse groupée pour répondre à cette demande. Cette fonctionnalité est désormais un élément essentiel du processus d’analyse des dépendances d’Atlassian.
« L’un des principaux avantages de Snyk, c’est aussi que les développeurs peuvent l’intégrer plus facilement à leurs pipelines », indique Matthew Bass, ingénieur en sécurité des produits chez Atlassian. « Lorsque nos analyses centralisées ne suffisent pas, nous pouvons fournir aux développeurs des étapes concrètes pour qu’ils intègrent eux-mêmes l’analyse SCA. »
Snyk offre une expérience simple et des informations exploitables
La simplicité d’utilisation et l’efficacité de Snyk ont également pesé dans le choix d’Atlassian. Au lieu d’intégrer Snyk au pipeline CI/CD de chaque équipe de développement, l’entreprise analyse automatiquement les conteneurs et les dépendances lors des déploiements, puis transmet les résultats à des milliers de développeurs sous forme de tickets de correction.
Une fois un projet analysé, l’équipe de sécurité d’Atlassian crée des tickets pour signaler aux développeurs les vulnérabilités à corriger. Les métadonnées fournies par Snyk — niveau de gravité, score de priorité et autres informations — aident l’entreprise à corriger efficacement les vulnérabilités les plus critiques en premier, sans faire perdre de temps aux développeurs sur des vulnérabilités à faible risque qui n’ont parfois même pas de correctif disponible.
« Outre la facilité d’utilisation, la qualité des résultats est un avantage majeur », explique Chris Walz, ingénieur principal en sécurité chez Atlassian. « Par rapport à d’autres solutions d’analyse, Snyk signale moins de faux positifs et de problèmes qui ne sont pas de véritables vulnérabilités. »
Résultats : une forte baisse des vulnérabilités non corrigées
Auparavant, Atlassian ne couvrait qu’une petite partie de l’analyse des conteneurs pour un seul produit. Depuis, l’entreprise a atteint une couverture de 100 % dans l’ensemble de son organisation. Plus important encore, en quelques mois seulement, Atlassian a réduit de 65 % le nombre de vulnérabilités de gravité élevée et de 39 % celui des vulnérabilités critiques non corrigées dans ses conteneurs.
« Nous prenons désormais en compte tous les conteneurs déployés afin de vérifier qu’ils ont bien été analysés et que des tickets sont créés pour corriger les vulnérabilités », explique Ratner. « Nous suivons ces indicateurs au niveau de la direction afin de nous assurer de l’efficacité de nos capacités d’analyse des conteneurs et SCA. »
À ce jour, Atlassian a effectué 5,5 millions d’analyses de dépendances et analysé 3,7 millions de conteneurs avec Snyk. Après le déploiement réussi de la correction des vulnérabilités des conteneurs et la forte baisse du nombre de vulnérabilités en quelques mois, Atlassian prévoit de créer ensuite des tickets de correction pour les résultats de Snyk Open Source.
« C’est formidable de voir Snyk ajouter de nouvelles fonctionnalités et améliorer sa documentation pour nous aider », conclut Ratner. « La mise en œuvre s’est très bien déroulée, et nous obtenons de bons résultats ainsi que des retours positifs des développeurs sur Snyk par rapport aux autres outils d’analyse. »