O desafio: acompanhar o crescimento da empresa sem comprometer a segurança
A Pomelo é uma fintech que oferece soluções de cartões e contas digitais para criptoativos, financiamento instantâneo e cartões de crédito com garantia. Como lida com tantos dados confidenciais, a equipe da Pomelo sabia que precisava priorizar a cibersegurança desde o primeiro dia.
A equipe de soluções de plataforma da Pomelo decidiu aproveitar as ferramentas nativas já disponíveis no ciclo de vida de desenvolvimento de software (SDLC) na AWS. Usava o GitHub, sua plataforma de hospedagem de código, e o CircleCI, sua ferramenta de integração contínua, para viabilizar controles de segurança como detecção de segredos, análises SAST e SCA, varreduras de IaC e de imagens-base. A equipe da Pomelo dependia de um orb personalizado do CircleCI, um tipo de pacote YAML que reúne configurações repetidas em uma única linha de código. Para criar esse orb de segurança, usou várias ferramentas open source escritas em diferentes linguagens de programação. Mas, à medida que a Pomelo crescia, esse orb personalizado já não conseguia acompanhar o ritmo.
“Várias ferramentas, criadas em diferentes linguagens de programação, geravam saídas em formatos como JSON, SARIF e YAML, entre outros. Cada extensão tinha seu próprio formato, com rótulos aninhados etc. Além disso, com o aumento do número de repositórios, também aumentaram os falsos positivos detectados. Assim, os dados ficaram cada vez mais difíceis de gerenciar.” - Leandro Sanginetto Engenheiro especialista técnico, Pomelo
Essa variedade de linguagens de programação também dificultava ter uma visão geral de todo o programa de segurança, pois a equipe precisava alternar entre diferentes linguagens. Sem o nível de visibilidade adequado, era difícil gerar relatórios de auditoria — um grande problema em um setor altamente regulado.
A solução: a plataforma de segurança de aplicações da Snyk
A equipe da Pomelo buscava uma solução para resolver todos esses problemas. Queria aumentar a visibilidade e a escalabilidade, além de reduzir os falsos positivos. Também precisava encontrar uma solução de segurança fácil de usar pelos desenvolvedores na criação e execução de aplicações no ambiente AWS.
“Entendemos que, mesmo que adquiríssemos a melhor ferramenta de segurança do mundo, a implementação fracassaria se não conseguíssemos dar visibilidade e envolver diretamente as equipes de engenharia. Queríamos uma plataforma que, além de atender a todos os nossos padrões de segurança, fosse fácil de usar pelos desenvolvedores. A ferramenta escolhida precisava fazer parte do SDLC de uma forma conduzida pelos desenvolvedores.” - Nicolas Gomez Engenheiro sênior de segurança de aplicações, Pomelo
A equipe escolheu a solução de segurança de aplicações da Snyk por ser fácil de usar, ter poucos falsos positivos e oferecer suporte integrado. A equipe da Pomelo gostou especialmente do recurso de pull requests com correção automática e das integrações com as ferramentas já utilizadas (Jira, Slack, GitHub, CircleCI etc.).
A parceria entre a Pomelo e a Snyk
Ao começar a usar a Snyk, a equipe da Pomelo definiu duas metas:
Cobrir todos os cerca de 900 repositórios com a Snyk
Conceder acesso à plataforma Snyk a todas as equipes de desenvolvimento (cerca de 200 desenvolvedores)
Em menos de um mês, a Pomelo e a Snyk alcançaram as duas metas e ofereceram treinamento em segurança para gerentes e engenheiros.
“As integrações e a API dessa solução nos ajudam a dar mais visibilidade a todos esses [problemas de segurança] para todos, dos desenvolvedores aos gerentes e à alta liderança. Além disso, dão mais autonomia às equipes de desenvolvimento para acessar a Snyk e ver o que precisam resolver. Com a Snyk, elas conseguem fazer mais por conta própria.” - Leandro Sanginetto Engenheiro especialista técnico, Pomelo
Simplificando as compras pelo AWS Marketplace
Para simplificar os processos de compra, a equipe da Pomelo aproveitou os mecanismos de cobrança que já utilizava com a AWS para adquirir o software da Snyk. Assim, consolidou o faturamento e acelerou a geração de valor na compra e implementação da solução Snyk.
Se quiser experimentar a plataforma de segurança da Snyk, pensada para desenvolvedores, você também pode criar uma conta gratuita da Snyk diretamente pelo AWS Marketplace.
O impacto: um programa de segurança escalável, pronto para crescer com a Pomelo
Agora que a equipe da Pomelo implementou a plataforma de segurança de aplicações da Snyk, tem cobertura completa das aplicações, do código à produção. Desde a implementação da Snyk, a equipe corrigiu 9.500 problemas: 2.150 de alta gravidade e 200 críticos, dos quais 100 continham exploits maduros.
Além disso, a equipe implementou várias integrações para criar um programa de segurança de ponta a ponta que atende às suas necessidades. Por exemplo, configurou uma integração entre Snyk e Slack, que alerta as equipes sempre que precisam corrigir um problema.
“O mais importante para nós é poder gerenciar, em um só lugar, os dados das descobertas dos testes de segurança. Se você quiser fazer uma varredura com o GoSec, pode… se precisar fazer uma varredura em Python, também pode. É possível reunir todas essas informações em um só lugar, com uma única chamada. Antes da Snyk, essa era a parte que mais nos dava trabalho.” - Leandro Sanginetto Engenheiro especialista técnico, Pomelo
Para saber mais sobre a parceria entre a Snyk e a Pomelo, assista à conversa de Leandro e Nicolas no DevOps TV.