Destaques
Automatização do gerenciamento de vulnerabilidades em diversos microsserviços Scala
Ampliação das análises de segurança para quase 100 engenheiros de software, com análise de 100% da base de código
Gerenciamento de todo o ciclo de vida das dependências com Snyk Open Source
Proteção de contêineres e imagens com Snyk Container
Mais confiança nas implantações com Snyk Infrastructure as Code
Detecção de vulnerabilidades quase zero-day com o banco de dados de vulnerabilidades Snyk Intel
Redução de 43 dias no tempo médio de correção da equipe
O desafio: automatizar o gerenciamento de vulnerabilidades em grande escala
O aplicativo da empresa tem uma arquitetura baseada em microsserviços, desenvolvida principalmente em Scala. Isso significa que há muitos repositórios de código separados para cada serviço, com diferentes níveis de atividade de desenvolvimento. O problema era que a empresa adotava uma abordagem improvisada para gerenciar dependências e corrigir novas vulnerabilidades de segurança nesses repositórios. A equipe da Depop sabia que precisava de um programa automatizado de gerenciamento de vulnerabilidades que abrangesse dependências de código aberto, contêineres e infraestrutura como código (IaC).
“Não havia realmente nada implementado para gerenciar todo o ciclo de vida das dependências”, afirmou Charlie Stocker, engenheiro de segurança da Depop. “Também tínhamos uma abordagem improvisada: alguém ficava sabendo de um novo CVE ou de um problema crítico, e então nós o corrigíamos. Isso não era escalável. Precisávamos de algo automatizado que permitisse aos desenvolvedores gerenciar esse fluxo de trabalho por conta própria.”
A solução: criar um processo de desenvolvimento seguro
Ao procurar uma ferramenta de gerenciamento de vulnerabilidades, a Depop precisava de uma solução compatível com todas as suas tecnologias, inclusive Scala. Como a Snyk se integrou perfeitamente aos processos de desenvolvimento já existentes na Depop desde o início, os desenvolvedores puderam assumir a responsabilidade pela segurança dos aplicativos sem grandes dificuldades.
A implementação de análises de segurança automatizadas permitiu que os desenvolvedores recebessem informações atualizadas sobre vulnerabilidades do banco de dados de vulnerabilidades Snyk Intel, sem precisar procurá-las. Na verdade, o banco de dados da Snyk aproximou muito a Depop da detecção de vulnerabilidades de dia zero, enquanto a solução anterior da empresa só revelava alguns problemas meses depois de serem descobertos.
“Sabíamos que não podíamos contar com o interesse dos desenvolvedores por segurança”, explicou Pedro Borracha, diretor de Segurança da Informação da Depop. “Precisávamos de um fluxo de trabalho completo, com tudo automatizado e visibilidade sobre as vulnerabilidades.”
A Snyk também era uma escolha natural para a Depop, pois a equipe de segurança da informação sabia que era importante não atrasar a equipe de desenvolvimento enquanto a empresa crescia rapidamente. Uma ferramenta fácil de usar para desenvolvedores, como a Snyk — que não criava barreiras para a entrega de software —, era essencial para a adoção pelos desenvolvedores. Ao contrário de outras ferramentas de segurança, a Depop considerou que a Snyk foi realmente criada para desenvolvedores e oferecia uma experiência de uso mais prática.
“É possível avançar rápido com segurança, mas é preciso encontrar as ferramentas e os processos certos”, disse Stocker. “Não podíamos criar todos esses obstáculos e barreiras que dificultam o desenvolvimento de software — porque, nesse caso, os desenvolvedores simplesmente não usariam a ferramenta. Esse foi um fator decisivo para escolher a Snyk.”
Integração da Snyk a todo o ciclo de vida do desenvolvimento
Além de cobrir todas as dependências, os contêineres e a infraestrutura da Depop, a empresa queria integrar análises a todo o ciclo de vida do desenvolvimento de software (SDLC). Com a CLI da Snyk, a Depop implementou facilmente medidas de segurança em cada etapa do processo de entrega de software. Em um mês, conseguiu importar todos os projetos, permitindo que a Snyk analisasse 100% da base de código. Isso ajudou a Depop a ter mais confiança na postura de segurança geral da plataforma de marketplace.
“Toda a nossa infraestrutura é definida como código”, afirmou Borracha. “A Snyk foi uma ótima escolha porque podíamos fazer a maioria das coisas pela CLI, o que facilitou a implementação dos nossos processos de monitoramento e auditoria.”
O impacto: melhoria imediata da postura de segurança da plataforma
Depois de integrar a Snyk ao processo de desenvolvimento, a Depop conseguiu detectar e corrigir milhares de vulnerabilidades imediatamente, melhorando sua postura de segurança. Até hoje, a equipe da Depop realizou mais de 1.000.000 de testes e reduziu em 43 dias o tempo médio de correção. A Snyk permitiu que a empresa ampliasse a atuação de uma pequena equipe de segurança de aplicativos para atender quase 100 desenvolvedores, incentivando as equipes de desenvolvimento a gerenciar as vulnerabilidades por conta própria.
“Precisávamos de uma ferramenta que os desenvolvedores quisessem usar, em vez de fazermos todo o trabalho de segurança por eles”, explicou Borracha. “Simplesmente não temos capacidade para fazer isso sozinhos.”
A Depop também passou a ter muito mais visibilidade sobre a postura de segurança da plataforma e de centenas de projetos de código baseados em microsserviços. Durante a recente aquisição da empresa pela Etsy, por exemplo, já havia muitas evidências da Snyk que comprovavam a maturidade da segurança de aplicativos da Depop. A Snyk mantém um registro de auditoria detalhado disponível para os usuários e oferece relatórios aprofundados para dar visibilidade completa ao processo de gerenciamento de vulnerabilidades.
“A Snyk teve um impacto imediato”, concluiu Stocker. “Começamos a corrigir muitos e muitos problemas e a incorporar o gerenciamento de vulnerabilidades ao nosso processo e ao ciclo de vida do desenvolvimento de software.”