O desafio: ter visibilidade da postura de segurança das aplicações
InVision é uma plataforma de ponta para design e desenvolvimento de produtos digitais, criada para promover a colaboração entre equipes e regiões. Mais de 7 milhões de pessoas em dezenas de milhares de organizações usam a plataforma para desenvolver, prototipar e animar novos produtos digitais. Todos os dias, designers do mundo todo usam a InVision para criar experiências excepcionais para clientes em grande escala.
Com o crescimento contínuo da plataforma e mais empresas adotando projetos de inovação orientados por design, a InVision queria simplificar as iniciativas de segurança de aplicações e dar mais transparência aos processos de gerenciamento de vulnerabilidades. A empresa já usava Snyk Open Source para analisar dependências de terceiros, mas também queria centralizar as informações de segurança de vários projetos. O desafio era disponibilizar esses dados para as equipes de engenharia da InVision sem aumentar o trabalho manual.
“Nossos gerentes de engenharia precisavam consultar muitos lugares para entender a postura de segurança, então queríamos reunir tudo em um só lugar”, afirmou David Epler, engenheiro sênior de segurança da InVision. “Por isso, nossa equipe criou uma ferramenta para o processo de gerenciamento de vulnerabilidades, e a Snyk foi uma parte fundamental disso.”
A solução: relatórios da Snyk em tempo real e em grande escala
Com a API da Snyk, a InVision automatiza os relatórios de segurança para o gerenciamento de dependências, usando relatórios semanais estáticos e um painel sob demanda. O painel consulta a API da Snyk para buscar grandes volumes de dados em tempo real, garantindo que as lideranças de engenharia tenham uma visão atualizada e relevante da postura de segurança das aplicações da empresa.
“Se alguém responsável por um serviço quiser saber qual é a situação das vulnerabilidades nele”, explicou Epler, “agora basta acessar um único painel para ver as informações da Snyk, as vulnerabilidades encontradas e outras tarefas ou problemas relacionados à segurança. A solução reúne tudo isso em tempo real.”
Mais especificamente, a InVision desenvolveu uma biblioteca em Go para acessar a API da Snyk e buscar informações regularmente. A ferramenta personalizada baixa todos os projetos e problemas da InVision uma vez por hora e armazena os dados na memória para que outras ferramentas possam consultá-los e compilar relatórios personalizados. Esses relatórios são essenciais para que gerentes de projetos e departamentos entendam os possíveis riscos de segurança das aplicações na InVision.
“A API nos permitiu buscar os dados da Snyk e, mais importante, criar relatórios consolidados. Esses relatórios personalizados se alinham ao nosso modelo organizacional exclusivo, formado por zonas e squads.”
API da Snyk: fácil de usar
Quando começou a procurar uma ferramenta de análise de segurança, a InVision avaliou as APIs de várias opções e constatou que a documentação da Snyk era a mais simples de implementar. Baixar informações manualmente para gerar relatórios leva tempo, mas, com a API, é fácil autenticar e agregar automaticamente dados de vários projetos da Snyk.
“A API é bem simples e facilita muito a obtenção de grandes volumes de dados”, disse Epler. “Assim, você não precisa fazer tantas solicitações, especialmente agora que a Snyk adicionou o endpoint de problemas agregados. Isso facilitou muito a criação de um painel de segurança completo para todos os nossos projetos.”
O impacto: gerenciamento integrado de AppSec em toda a organização
Desde que adotou a Snyk, a InVision consegue identificar e corrigir vulnerabilidades de segurança em dependências de terceiros em grande escala. Além disso, a API da Snyk permitiu integrar a análise e os relatórios de segurança aos fluxos de trabalho de AppSec existentes, sem exigir esforço contínuo adicional. No futuro, a InVision espera continuar usando a API da Snyk para ampliar a visibilidade de suas iniciativas de AppSec.
“Nossa equipe faz AppSec tradicional, como revisões de código, mas também desenvolve ferramentas de automação”, disse Epler. “A API da Snyk nos permitiu integrar a plataforma da Snyk ao nosso programa de segurança por meio da automação, em vez de tratá-la como um componente separado que precisa ser gerenciado manualmente.”