O desafio: acompanhar as vulnerabilidades de código aberto em toda a cadeia de suprimentos de software
O ShopBack Group, principal plataforma de compras, recompensas e pagamentos da Ásia-Pacífico, atende mais de 38 milhões de consumidores. A empresa trabalha com mais de 15 mil lojistas online e presenciais, gerando mais de US$ 3,7 bilhões em vendas anuais.
No ano passado, a ShopBack expandiu sua atuação para serviços financeiros e lançou as opções ShopBack Pay e PayLater. Cerca de 300 desenvolvedores em Singapura, no Vietnã e em Taiwan trabalham na manutenção e evolução da plataforma.
A equipe da ShopBack estava preocupada com vulnerabilidades críticas de código aberto, como a Log4j. Precisava encontrar uma maneira de entender, analisar e corrigir as vulnerabilidades de código aberto em seu software, mas não sabia por onde começar.
Dipin Thomas, gerente de engenharia, explicou: “Uma vulnerabilidade surgiu no mercado, e todo mundo estava trabalhando para corrigi-la. Para nós, era muito difícil entender e analisar: ‘onde estamos vulneráveis a ela?’ ou ‘como podemos corrigi-la facilmente?’”
A solução: Snyk Open Source
A equipe da ShopBack implementou o Snyk Open Source para encontrar e corrigir vulnerabilidades de código aberto. Depois de conhecer a Snyk por meio de sua parceria premium com a AWS, decidiu avaliar a Snyk e algumas ferramentas semelhantes. A equipe testou os recursos dessas soluções de segurança em um conjunto de bases de código comuns. O Snyk Open Source se destacou pela integração com pipelines e pelos recursos de CLI.
“Os principais diferenciais foram o suporte à rede privada do GitLab, a integração fácil com o GitLab CI e os resultados mais rápidos”, disse Dipin. “A Snyk também oferece vários recursos na CLI. Por exemplo, ela permite filtrar ou direcionar vulnerabilidades específicas por nível, tipo ou localização. A maioria das outras ferramentas que usei não tem esse mecanismo de filtragem. Em vez disso, elas nos entregam o relatório completo, e precisamos criar um mecanismo para filtrá-lo. Isso dá muito mais trabalho.”
A equipe da ShopBack também conta com a inteligência de segurança da Snyk para se manter informada sobre CVEs, divulgações de fornecedores terceirizados e outras informações relevantes de segurança.
Segundo Tao-Sheng Chen, vice-presidente de engenharia: “Nunca se sabe quando uma nova vulnerabilidade de código aberto será divulgada. Tudo muda o tempo todo, e um aplicativo que você considera seguro hoje pode ter uma nova vulnerabilidade amanhã. Ficamos felizes por contar com uma fonte confiável de informações sobre todos os nossos softwares de terceiros, para que nossos desenvolvedores sejam os primeiros a saber de qualquer vulnerabilidade crítica.”
Recursos para encontrar e corrigir vulnerabilidades
Os desenvolvedores da ShopBack também valorizam os recursos de correção automática da plataforma Snyk Open Source. Em vez de procurar soluções para cada vulnerabilidade encontrada, basta clicar em um botão para corrigir o problema em segundos. A equipe também aprecia a facilidade de integração desse recurso com seu ecossistema, que inclui arquivos do Node.js e do Docker.
Dipin explicou: “Com o recurso de correção automática, o desenvolvedor não precisa pesquisar e se perguntar: ‘Como corrijo isso?’. Basta clicar em um botão: o patch ou a atualização certa é preparado, e depois é só fazer o merge.”
O impacto: resultados positivos em menos de 60 dias
Embora a implementação da Snyk seja recente, a equipe da ShopBack já obteve resultados expressivos. Agora, tem muito mais visibilidade sobre a postura de segurança de sua cadeia de suprimentos de software. Com isso, reduziu em 16% as vulnerabilidades críticas e de alta gravidade em 30 dias. E, nos últimos dois meses, a adoção do Snyk Open Source pelos desenvolvedores para proteger seus projetos aumentou 247%.
Agora que conta com uma solução de segurança, a equipe planeja passar pelo processo de certificação ISO. Também espera avaliar outras soluções da Snyk no futuro.
Tao-Sheng afirmou: “Acredito que estamos tendo sucesso nestas etapas iniciais porque a plataforma está bem integrada ao nosso ecossistema atual. E esperamos continuar obtendo resultados positivos à medida que a adoção da ferramenta avança.”