O desafio: identificar violações de licença e vulnerabilidades de segurança o quanto antes
Como empresa que prioriza a nuvem, a equipe da Coveo se concentra em microsserviços. Embora a Coveo já tivesse um modelo de DevOps, os desenvolvedores não contavam com as ferramentas necessárias para realizar análises periódicas de vulnerabilidades por conta própria, sempre que necessário. A Coveo percebeu que, para adotar plenamente o DevOps, era fundamental analisar cada pacote de código aberto e imagem de contêiner em busca de vulnerabilidades antes de levá-los à produção. A empresa também precisava de uma nova solução para conformidade de licenças, depois que seu parceiro fornecedor encerrou o serviço de forma abrupta.
A solução: um serviço para gerenciar licenças e proteger código aberto e contêineres
A Coveo recorreu inicialmente ao Snyk para gerenciar licenças. Quando chegou a hora de escolher uma nova ferramenta de gerenciamento de vulnerabilidades, a equipe considerou o Snyk.
Depois de comparar o Snyk com outras opções, a Coveo escolheu a plataforma para centralizar o gerenciamento de licenças e os relatórios de vulnerabilidades. O Snyk permite que as equipes de DevOps identifiquem vulnerabilidades e se mantenham atualizadas sobre as correções de segurança mais recentes. Esse é hoje o principal benefício que o Snyk oferece aos desenvolvedores da Coveo.
“O Snyk nos permite identificar vulnerabilidades antes de lançar em produção”, disse Jean-Philippe Lachance, analista de segurança da Coveo. “Se não fizermos isso, uma vulnerabilidade pode tirar nossa empresa do mercado.”
Para a Coveo, a facilidade de uso do Snyk é seu principal benefício técnico. A empresa também usa a API do Snyk, que os desenvolvedores preferem às interfaces gráficas em alguns casos específicos. Recentemente, a Coveo criou um sistema de alertas integrado ao Slack, com atualizações sobre o nível de gravidade e a data de descoberta das vulnerabilidades. Assim, os desenvolvedores da Coveo podem agir mais rápido e corrigir os problemas antes que o pipeline de implantação os bloqueie — o que acontece quando novas vulnerabilidades ultrapassam determinados níveis de gravidade ou tempo de exposição.
Corrija continuamente vulnerabilidades em dependências de código aberto e contêineres
O Snyk permite que os desenvolvedores da Coveo cuidem da segurança dos serviços que gerenciam, combinando gerenciamento de licenças e análise de vulnerabilidades. Quando a solução original de segurança de contêineres se tornou cada vez mais difícil de gerenciar e atualizar, a Coveo recorreu novamente ao Snyk. A Coveo gostou da ideia de usar uma ferramenta simples e fácil para desenvolvedores, que também protegesse imagens de contêiner.
“O Snyk oferece um serviço SaaS fácil de usar”, disse Jean-Philippe. “Precisávamos de uma solução confiável para validar imagens de contêiner antes de levá-las à produção, e o Snyk está nos ajudando a fazer isso de maneira simples.”
O impacto: mais visibilidade e segurança reforçada
Com o Snyk, a Coveo encontrou uma única plataforma para gerenciar licenças e vulnerabilidades.
O Snyk dá à Coveo e a seus clientes a tranquilidade de saber que as vulnerabilidades em código aberto estão sendo identificadas e priorizadas para correção, além de ajudar a evitar violações de direitos autorais. A Coveo pode mostrar aos clientes que leva a segurança a sério e, assim, conquistar a confiança deles como parceira de tecnologia.
“O Snyk facilitou a adoção de um processo para analisar vulnerabilidades e resultados de varreduras. Foi uma grande mudança cultural para nós, mas trouxe muitos benefícios para a Coveo”, disse Jean-Philippe.
Os desenvolvedores da Coveo conseguem seguir os processos de segurança adequados porque o Snyk está integrado diretamente ao pipeline de CI/CD. Por ser uma solução de código aberto, o Snyk também permite que os desenvolvedores o adaptem às suas necessidades específicas, corrijam bugs e tenham bastante autonomia para usar a ferramenta.
Dando autonomia aos desenvolvedores para cuidar da segurança
Com o Snyk, os integrantes das equipes de DevOps podem gerenciar vulnerabilidades com muito mais autonomia e eficiência. Os Security Champions de cada equipe têm autonomia para monitorar vulnerabilidades e decidir como e em quanto tempo resolvê-las.
As equipes de DevOps da Coveo contam com supervisão, mas também recebem responsabilidade e autonomia para priorizar suas ações de segurança. O suporte do Snyk à abordagem de “confiar, mas verificar” facilitou muito a adoção em toda a organização.
“Os serviços hospedados do Snyk são muito fáceis de gerenciar para a Coveo. Agora, nossos desenvolvedores têm autonomia para cuidar do gerenciamento de vulnerabilidades e licenças”, disse Jean-Philippe.
A Coveo também destaca a agilidade da equipe de satisfação do cliente do Snyk em atender às suas necessidades, personalizando o produto para os casos de uso da empresa e acompanhando suas demandas ao longo do tempo. O conselho da Coveo para outras equipes de segurança é incorporar a segurança e começar a usar o Snyk o quanto antes no desenvolvimento.