Défis
De nombreuses équipes reconnaîtront la situation de Skyscanner : gérer un site web et une application à fort trafic, développer rapidement et à grande échelle, tout en maintenant une plateforme sécurisée.
L’intégration de Snyk a permis à Skyscanner de bénéficier d’une visibilité centralisée sur les dépendances utilisées directement ou indirectement par ses projets. L’équipe de sécurité voulait repérer les zones d’exposition aussi efficacement que possible : auparavant, aucun inventaire centralisé ne lui permettait de savoir quels projets utilisaient quelles dépendances. Faute de visibilité et d’une bonne compréhension de la situation, les équipes de développement de Skyscanner ne pouvaient pas consacrer autant d’efforts qu’elles l’auraient souhaité à la réduction efficace de leur exposition aux vulnérabilités open source.
L’équipe juridique de Skyscanner devait également relever un défi de taille : suivre les licences utilisées par les dépendances des projets de l’entreprise. Comme pour la plupart des entreprises, il est important pour Skyscanner de comprendre précisément quelles licences sont utilisées dans ses produits. Cela permet non seulement de s’assurer que les dépendances sont correctement licenciées, mais aussi d’envisager plus facilement l’utilisation de logiciels sous des licences moins « permissives » lorsque celles-ci sont compatibles avec le cas d’usage, plutôt que d’appliquer une politique générale trop restrictive.
« Snyk est l’un des outils de sécurité les plus importants que nous utilisons chez Skyscanner. Vous comprendrez toute son importance une fois qu’il sera intégré. »
Comment Snyk a aidé
Skyscanner a recherché sur le marché un outil adapté à son environnement et à ses méthodes de développement. Après avoir évalué différentes solutions, l’entreprise a conclu que seul Snyk correspondait à son approche, qui consiste à donner aux développeurs les moyens d’agir.
« Nous avons apprécié l’approche à plusieurs niveaux. Snyk s’intègre bien à notre façon de gérer la sécurité chez Skyscanner. Plutôt que de faire de l’équipe de sécurité un gardien qui examine chaque ligne de code et valide tout, nous pouvons donner les moyens d’agir à nos développeurs. Nous pouvons intégrer Snyk à la gestion du code source dans GitLab pour analyser le code à chaque commit, ainsi qu’à la CI pour détecter les problèmes au moment de la compilation. Nous pouvons donner à nos développeurs accès au portail Snyk, sans que ce soit obligatoire. Cette approche à plusieurs niveaux permet aux équipes d’ingénierie d’utiliser Snyk selon leurs besoins, tandis que nous [l’équipe de sécurité] savons que nous pouvons détecter les vulnérabilités à un moment ou à un autre du processus. »
La Snyk Vulnerability Database indique précisément quelles versions d’une dépendance sont vulnérables et comment y remédier. Grâce aux outils de correction de Snyk, notamment l’intégration à GitLab qui ouvre une merge request, les développeurs de Skyscanner ont pu commencer à corriger les vulnérabilités dans leur base de code en appliquant des mises à niveau ou des correctifs Snyk.
« Si vous vous demandez quel outil adopter en priorité, un scanner de vulnérabilités des dépendances doit figurer en haut de la liste. Dès que vous l’utiliserez, vous mesurerez l’étendue de votre exposition et comprendrez qu’il faut agir. »
Résultats
Aujourd’hui, Skyscanner surveille près de 500 projets distincts avec Snyk et peut comprendre leur état de sécurité, tout en traitant les problèmes de vulnérabilités et de licences. Très tôt après le déploiement, Skyscanner a été alerté d’une vulnérabilité de gravité élevée dans une dépendance utilisée par l’un de ses modèles de projet de base. Ces modèles contiennent plusieurs bibliothèques et servent de fondation à de nombreux projets. Skyscanner a pu appliquer un correctif Snyk pour éliminer la vulnérabilité dans tous les projets. Le résultat a été considérable : des centaines de projets utilisant ce modèle de base ont été protégés, réduisant fortement leur exposition aux risques.
3 raisons pour lesquelles Skyscanner ne jure que par Snyk
Deux clics suffisent pour fusionner dans GitLab un correctif de vulnérabilité et sécuriser la production
Nos développeurs adorent l’intégration à leurs outils existants
Snyk s’intègre facilement à plusieurs étapes du cycle de développement logiciel, ce qui nous permet de savoir que nous sommes protégés