O desafio: acelerar e ampliar um processo de segurança trabalhoso
Os clientes da FormHero atuam em setores regulamentados, com exigências rigorosas de conformidade de segurança e necessidade de certificações adequadas, incluindo SOC 2 para dados de clientes armazenados na nuvem.
A FormHero tem uma equipe que desenvolve software para clientes e precisa fazer isso com segurança, usando bibliotecas e dependências de software com o menor número possível de vulnerabilidades.
A empresa usa JavaScript e o framework Angular no front-end, com serviços de back-end em Node.js. A plataforma da FormHero tem uma arquitetura de microsserviços implantada em contêineres Docker e executada no Amazon Elastic Container Service (ECS). A FormHero não mantém dados de clientes: os dados ficam nas instalações dos clientes, e não na plataforma SaaS da FormHero.
Com uma pessoa dedicada à segurança em tempo integral e uma equipe de desenvolvimento de 10 pessoas, a FormHero quer cuidar da segurança de aplicações e contêineres o quanto antes.
“Em muitos casos, estamos substituindo uma solução em papel existente, que é muito propensa a erros, por uma experiência digital muito mais fácil de usar para um funcionário ou cliente.”
A solução: adoção antecipada da segurança para agilizar a correção
Embora seja possível corrigir problemas de segurança depois que os desenvolvedores escrevem o código, resolver vulnerabilidades mais cedo, como parte do pipeline DevSecOps e integrado ao fluxo de trabalho dos desenvolvedores, é mais fácil, rápido e econômico. Kimber observou que, quando um desenvolvedor precisa corrigir um problema semanas depois de escrever o código, também leva mais tempo para retomar o contexto necessário para resolvê-lo.
“Grande parte do nosso foco durante o ciclo de vida do desenvolvimento de software é gerenciar dependências e garantir que não haja vulnerabilidades nos nossos contêineres Docker.”
A FormHero avaliou várias soluções alternativas, mas Kimber observou que, de modo geral, o suporte delas a JavaScript e, principalmente, a Node.js era fraco. Segundo Kimber, a Snyk Open Source está muito à frente das demais quando se trata de bibliotecas Node.js e JavaScript.
Com a Snyk Open Source, a FormHero consegue mostrar aos clientes que usa uma solução de análise de composição de software de primeira linha para ajudar a proteger o desenvolvimento de aplicações.
“Se você não trata os problemas durante o fluxo de trabalho dos desenvolvedores e só os encontra e resolve no QA, leva 10 vezes mais tempo para corrigi-los. É aí que a Snyk entra.”
A empresa também usa o Alert Logic para proteger seu ambiente AWS e ferramentas como o AWS GuardDuty para identificar ameaças por meio do monitoramento contínuo da atividade da rede e do comportamento das contas no ambiente AWS.
“Quando um bug é classificado como crítico, precisamos notificar nossos clientes em até 24 horas e entregar uma correção em até 48 horas.”
O impacto: mais precisão e menos falsos positivos
Kimber observou que, inicialmente, um de seus clientes pediu que a FormHero submetesse seu código a outra solução, experiência que ele descreveu como “especialmente dolorosa”, devido à enorme quantidade de falsos positivos.
Com a Snyk, a ocorrência de falsos positivos caiu drasticamente, aumentando a precisão e a eficácia das operações de segurança.
Cumprimento dos acordos de nível de serviço (SLAs)
Todos os contratos da FormHero têm SLAs que definem o prazo para correção de bugs, e a Snyk ajuda a empresa a cumprir esses prazos.
“O gerenciamento de licenças da Snyk é realmente excelente. Nem era algo que estivesse no meu radar quando começamos a avaliar soluções de SCA, mas certamente facilita muito as coisas.”
Conformidade na análise de contêineres
A FormHero também usa o Snyk Container para analisar periodicamente as imagens implantadas, ajudando a identificar problemas e garantir a conformidade.
A FormHero analisa periodicamente as imagens implantadas no repositório do Amazon ECS para verificar dependências e vulnerabilidades. Em geral, há poucos problemas, mas Kimber disse que é bom contar com a análise de imagens da Snyk para que sua equipe saiba se há vulnerabilidades.
Gerenciamento avançado de licenças
Além dos benefícios de segurança, a Snyk também oferece recursos de gerenciamento de licenças que a FormHero usa para ajudar a garantir o cumprimento das licenças de software.
“Nossos desenvolvedores reclamam quando não conseguem fazer um commit porque a análise da Snyk falhou, mas o esforço é muito menor do que seria para corrigir todas as bibliotecas durante o processo de QA”, disse ele. “Além disso, é muito mais rápido e nos mantém sempre atualizados, o que é ótimo.”
Máxima segurança com o mínimo de interrupções
Com a Snyk, a FormHero conseguiu aprimorar o fluxo de trabalho dos desenvolvedores e a segurança geral. Na opinião de Kimber, a Snyk é uma ótima solução que não interrompe o trabalho dos desenvolvedores.
“A FormHero também usa o Snyk Container para analisar periodicamente as imagens implantadas, ajudando a identificar problemas e garantir a conformidade.”