Le défi : suivre les vulnérabilités open source dans l’ensemble de la chaîne d’approvisionnement logicielle
Le groupe ShopBack, première plateforme de shopping, de récompenses et de paiement en Asie-Pacifique, sert plus de 38 millions de consommateurs. Il travaille avec plus de 15 000 commerçants partenaires, en ligne et en magasin, et génère plus de 3,7 milliards de dollars de ventes annuelles.
L’année dernière, ShopBack s’est lancé dans les services financiers avec ShopBack Pay et PayLater. Environ 300 développeurs à Singapour, au Vietnam et à Taïwan assurent la maintenance et le développement de la plateforme.
L’équipe ShopBack s’inquiétait des vulnérabilités critiques open source, comme Log4j. Elle avait besoin de comprendre, d’analyser et de résoudre les vulnérabilités open source de ses logiciels, mais ne savait pas par où commencer.
Dipin Thomas, responsable de l’ingénierie, explique : « Une vulnérabilité a été découverte et tout le monde s’employait à la corriger. Il nous était très difficile de comprendre “où étions-nous vulnérables ?” ou “comment la corriger facilement ?” »
La solution : Snyk Open Source
L’équipe ShopBack a déployé Snyk Open Source pour détecter et corriger les vulnérabilités open source. Après avoir découvert Snyk dans le cadre de son partenariat privilégié avec AWS, elle a décidé de comparer Snyk à plusieurs outils similaires. Elle a testé les capacités de ces solutions de sécurité sur un ensemble de bases de code courantes. Snyk Open Source s’est démarqué grâce à ses intégrations aux pipelines et à ses fonctionnalités CLI.
« Les principaux éléments différenciateurs étaient la prise en charge du réseau privé de GitLab, la facilité d’intégration avec GitLab CI et la rapidité des résultats », explique Dipin. « Snyk propose également plusieurs fonctionnalités dans la CLI. Par exemple, il permet de filtrer ou de cibler certaines vulnérabilités selon leur niveau, leur type ou leur emplacement. La plupart des autres outils que j’ai utilisés ne disposent pas de ce mécanisme de filtrage. Ils nous fournissent plutôt le rapport complet, et nous devons ensuite créer un moteur pour le filtrer. C’est beaucoup plus fastidieux. »
L’équipe ShopBack s’appuie également sur les renseignements de sécurité de Snyk pour se tenir informée des CVE, des divulgations de ses fournisseurs tiers et d’autres informations de sécurité pertinentes.
Selon Tao-Sheng Chen, vice-président de l’ingénierie : « On ne sait jamais quand une nouvelle vulnérabilité open source sera annoncée. La situation évolue constamment, et une application que vous pensez sécurisée aujourd’hui peut contenir une nouvelle vulnérabilité demain. Nous sommes heureux de disposer d’une source d’information fiable sur tous nos logiciels tiers, afin que nos développeurs soient les premiers informés des vulnérabilités critiques. »
Des fonctionnalités pour détecter et corriger les vulnérabilités
Les développeurs de ShopBack apprécient également les fonctionnalités de correction automatique de la plateforme Snyk Open Source. Au lieu de chercher des solutions pour chaque vulnérabilité détectée, ils n’ont qu’à cliquer sur un bouton pour résoudre le problème en quelques secondes. L’équipe apprécie aussi la facilité d’intégration de cette fonctionnalité à son écosystème, qui comprend des fichiers Node.js et Docker.
Dipin explique : « Grâce à la correction automatique, le développeur n’a pas besoin de chercher et de se demander : “Comment corriger ce problème ?” Il lui suffit de cliquer sur un bouton : le correctif ou la mise à niveau appropriée est préparé, puis il n’a plus qu’à fusionner la modification. »
Résultats : des effets positifs en moins de 60 jours
Bien qu’elle n’ait adopté Snyk que récemment, l’équipe ShopBack a déjà constaté des résultats significatifs. Elle bénéficie d’une bien meilleure visibilité sur la posture de sécurité de sa chaîne d’approvisionnement logicielle. Elle a ainsi réduit de 16 % le nombre de vulnérabilités critiques et élevées en 30 jours. Au cours des deux derniers mois, elle a également constaté une hausse de 247 % de l’adoption de Snyk Open Source par les développeurs pour sécuriser leurs projets.
Maintenant qu’elle dispose d’une solution de sécurité, l’équipe prévoit d’entreprendre une démarche de certification ISO. Elle espère également évaluer d’autres solutions Snyk à l’avenir.
Tao-Sheng déclare : « Je pense que nous obtenons de bons résultats dès ces premières étapes parce que la plateforme s’intègre bien à notre écosystème existant. Nous avons hâte d’en voir encore davantage à mesure que son adoption progresse. »