Como a Onna Technologies usa Snyk e Sysdig para proteger o SDLC e economizar tempo e dinheiro

Onna Technologies, uma empresa de software de centralização de dados, integra a segurança a todas as etapas do processo de desenvolvimento usando Snyk e Sysdig.

Recentemente, conversamos com Brent Neal (diretor de Segurança), Mike Hoffman (engenheiro líder de Segurança) e Andrew Leeb (engenheiro de software sênior), da Onna, sobre proteção de dados e conformidade, prioridades de segurança na nuvem e os benefícios de usar Snyk e Sysdig para uma segurança de contêineres de ponta a ponta.

Confira abaixo alguns dos destaques dessa conversa fascinante.

P: Quem é a Onna Technologies e quem são seus clientes?

Brent Neal: Somos a equipe de segurança da Onna, uma plataforma de integração de dados que acelera a descoberta de conhecimento e permite que as empresas obtenham insights valiosos em seus aplicativos de colaboração, comunicação e conteúdo.

A Knowledge Integration Platform da Onna se conecta aos aplicativos em nuvem mais populares da atualidade, como Slack, Microsoft 365, Google Workspace e Zoom, para ampliar atividades como eDiscovery, governança da informação, gestão do conhecimento e identificação do compartilhamento de dados privados e confidenciais.

Ajudamos algumas das principais empresas de tecnologia do mundo, como Dropbox, Lyft e Electronic Arts, a economizar tempo e dinheiro, reduzir riscos e aproveitar o conhecimento para serem mais competitivas.

P: O que você pode contar sobre suas prioridades em relação à segurança de aplicativos na nuvem?

Brent Neal: Há três áreas fundamentais que nossos clientes esperam que mantenhamos e nas quais precisamos ter excelência 24 horas por dia, 7 dias por semana. São elas:

• a privacidade das pessoas e de suas informações confidenciais,

• a confidencialidade dos dados dos clientes e das atividades comerciais,

• e a conformidade com as regulamentações aplicáveis.

Como usamos Kubernetes, ou seja, tudo é conteinerizado, recorremos a Snyk e Sysdig para garantir a segurança completa dos contêineres. Essas soluções aprimoram nosso programa de gerenciamento de vulnerabilidades, permitindo identificar rapidamente as vulnerabilidades e priorizar as correções. Também usamos Sysdig para detectar ameaças em nosso ambiente de produção. Entre os principais benefícios estão uma postura de segurança muito mais robusta, mais facilidade para atender aos requisitos de conformidade e coleta de evidências simplificada para auditorias.

Snyk nos ajuda a economizar tempo e dinheiro ao permitir uma verdadeira antecipação da segurança no desenvolvimento. Assim, podemos identificar vulnerabilidades e problemas de licenciamento mais cedo no pipeline. Além disso, Snyk aumenta a confiança dos clientes na Onna, pois eles sabem que usamos uma solução de ponta para proteger seus dados e sua privacidade.

P: Qual é a prioridade que a Onna dá à segurança de código aberto?

Mike Hoffman: A segurança de código aberto é uma das principais prioridades da Onna. É claro que os muitos benefícios de usar software de código aberto vêm acompanhados de riscos. Sabemos que podem surgir problemas com dependências e bibliotecas de aplicativos, trazendo complicações como questões de licenciamento e vulnerabilidades.

No entanto, a análise de composição de software (SCA) da Snyk nos dá mais visibilidade sobre as bibliotecas e dependências que usamos, além da capacidade fundamental de detectar e corrigir vulnerabilidades durante o desenvolvimento. De modo geral, Snyk melhorou significativamente nosso ciclo de vida de desenvolvimento de software (SDLC), tornando-o muito mais seguro.

Sysdig, é claro, foi criado com base em ferramentas de código aberto: Falco, que a empresa desenvolveu e que hoje é o padrão de fato para detecção de ameaças nativas da nuvem, além de Sysdig open source, OPA e outras. Com Sysdig, entendemos o que acontece por trás dos bastidores e contamos com um padrão amplamente adotado, com recursos e escala empresariais.

P: Quais foram os principais desafios para adotar operações de segurança para desenvolvedores (DevSecOps)?

BN: Até agora, o maior desafio para adotar DevSecOps é o receio de afetar a velocidade do desenvolvimento. Nosso objetivo é reduzir esse receio, dando aos desenvolvedores ferramentas que integrem a segurança de forma fluida aos processos e fluxos de trabalho que já utilizam.

Do ponto de vista comercial, queremos que nosso processo de desenvolvimento de produtos seja o mais ágil possível. Como Snyk nos permite antecipar a segurança no desenvolvimento, o retrabalho necessário para corrigir um problema é muito menor do que seria se ele fosse descoberto mais tarde no processo.

No momento, alguns desenvolvedores já começaram a usar Snyk, e planejamos disponibilizá-lo para toda a equipe. Queremos integrar Snyk em todos os lugares para que todos os desenvolvedores possam ver a vulnerabilidade de perto e aprender a corrigi-la antes que avance muito no pipeline.

P: O que levou vocês a adotar a análise de contêineres e os testes estáticos de segurança de aplicativos (SAST)?

BN: Muitos dos questionários de segurança dos nossos clientes perguntam: “Que aplicativo vocês usam para SAST?” ou “Como protegem seus contêineres?”

Snyk nos permite responder a essas perguntas com clareza usando um produto de referência no setor. Assim, podemos garantir aos clientes que analisamos nosso código e tomamos as medidas necessárias para proteger os dados deles.

P: Quais necessidades de segurança levaram vocês a escolher Sysdig?

BN: Do ponto de vista tecnológico, os principais componentes do nosso caso de uso foram:

1. Segurança de nível empresarial para proteger os dados dos clientes e atender às necessidades internas. Isso significava proteger o Kubernetes em nosso ambiente GKE. Para nós, não basta passar por auditorias de conformidade: precisamos de detecção robusta e em tempo real para proteger as cargas de trabalho em produção.

2. A capacidade de analisar vulnerabilidades e configurações incorretas, bloqueando builds e configurações arriscados antes que cheguem à produção.

3. A priorização da correção de vulnerabilidades, para que nossos desenvolvedores pudessem corrigir problemas que representam um risco real. 

Sysdig atendeu a esses requisitos e ofereceu recursos que fortaleceram muito nossa segurança. Como Sysdig prioriza vulnerabilidades e detecta ameaças com precisão, economizamos tempo para as equipes de desenvolvimento, DevOps e segurança.

Outro grande benefício é o suporte contínuo que recebemos da equipe da Sysdig. Desde nossa primeira reunião, a equipe tem sido extremamente ágil e facilita a resolução de problemas. Esse tipo de relacionamento é muito importante para nós, da Onna.

P: Como vocês usam a segurança em tempo de execução da Sysdig? Pode dar exemplos dos tipos de políticas ativadas no ambiente?

MH: O maior benefício de Sysdig é o aprimoramento da nossa postura de segurança. Sysdig nos dá as ferramentas e a visibilidade necessárias para manter seguras as nossas informações e as dos clientes, cumprindo nossas políticas internas, regulamentações e obrigações com os clientes.

Sysdig oferece uma poderosa solução de segurança baseada em host que nos ajuda a monitorar o ambiente de forma eficaz para identificar diversos tipos de ameaça. Temos políticas que nos alertam sobre acessos indevidos a sistemas, uso de ferramentas de rede, alterações em determinados arquivos e diretórios e movimentação lateral pelo ambiente. Além de emitir esses alertas, a solução ajuda a equipe de segurança a entender como certos componentes funcionam normalmente no nosso ambiente.

P: Que benefícios ou resultados vocês esperam alcançar com a integração entre Snyk e Sysdig?

BN: A integração entre Snyk e Sysdig nos ajudará a aprimorar continuamente nossa abordagem de antecipação da segurança, reduzir custos, entregar produtos e recursos com mais rapidez e melhorar nossa postura de segurança. Quando a integração entre Snyk e Sysdig for implementada, no fim deste ano, nosso principal caso de uso será a priorização. Em última análise, ela nos dará uma visão melhor de quais problemas de segurança precisam ser corrigidos e de como priorizá-los.

P: Que conselho você daria às organizações que hesitam em investir em uma ferramenta integrada de segurança de software?

BN: Eu recomendaria que as organizações analisassem os custos de retrabalho e do tempo perdido quando a segurança não é antecipada no desenvolvimento. Quanto mais cedo ela for integrada, maior será a redução de custos e o ganho de eficiência ao incorporá-la diretamente ao SDLC.

Veja por conta própria o poder da integração entre Snyk e Sysdig

Quer lançar seus aplicativos Kubernetes mais rápido sem abrir mão da segurança de contêineres de ponta a ponta? Adotar a integração entre Snyk e Sysdig pode eliminar imediatamente até 95% das vulnerabilidades que, de outra forma, levariam meses para serem corrigidas.