Desafios
Muitas equipes vão reconhecer a situação em que a Skyscanner se encontrava: oferecer um site e um aplicativo com alto tráfego, desenvolver rapidamente e em grande escala e, ao mesmo tempo, manter uma plataforma segura.
A integração da Snyk deu à Skyscanner uma visão consolidada das dependências usadas direta ou indiretamente em seus projetos. A equipe de segurança queria identificar áreas de exposição da forma mais eficiente possível. Antes, não havia um inventário centralizado para consultar quais projetos usavam cada dependência. Sem visibilidade nem compreensão do cenário atual, as equipes de desenvolvimento da Skyscanner não conseguiam concentrar esforços como gostariam para reduzir efetivamente sua exposição a vulnerabilidades de código aberto.
A equipe jurídica da Skyscanner também enfrentava um grande desafio para acompanhar as licenças usadas pelas dependências nos projetos da empresa. Para a Skyscanner, assim como para a maioria das empresas, é importante entender em detalhes as licenças usadas em seus produtos. Isso não só traz segurança de que as dependências estão devidamente licenciadas, como também permite ampliar o uso de softwares com licenças menos “permissivas” quando forem compatíveis com o caso de uso, em vez de adotar uma política geral excessivamente restritiva.
“A Snyk é uma das ferramentas de segurança mais importantes que usamos na Skyscanner. Você percebe o quanto ela é importante quando a integra de fato.”
Como a Snyk ajudou
A Skyscanner foi ao mercado em busca de uma ferramenta compatível com seu ambiente e suas metodologias de desenvolvimento. Depois de avaliar as alternativas, concluiu que só a Snyk se alinhava à sua abordagem de capacitar os desenvolvedores.
“Gostamos da abordagem em várias camadas. A Snyk se encaixa bem na forma como fazemos segurança aqui na Skyscanner. Em vez de a equipe de segurança atuar como guardiã, revisando cada linha de código e aprovando tudo, podemos capacitar nossos desenvolvedores. Podemos integrar a Snyk ao gerenciamento de código-fonte do GitLab para analisar os commits e também ao CI, para detectar problemas durante o build. Podemos dar aos desenvolvedores acesso ao portal da Snyk, mas isso é opcional. Essa abordagem em camadas permite que as equipes de engenharia usem a Snyk de acordo com suas necessidades. E nós, da equipe de segurança, sabemos que podemos detectar vulnerabilidades em algum momento do processo.”
Snyk Vulnerability Database mostra exatamente quais versões de uma dependência são vulneráveis e como corrigir o problema. Com as ferramentas de correção da Snyk, como a integração com o GitLab que abre uma solicitação de merge, os desenvolvedores da Skyscanner começaram a corrigir vulnerabilidades no código aplicando atualizações ou patches da Snyk.
“Se você está pensando ‘qual ferramenta devemos priorizar?’, um scanner de vulnerabilidades em dependências precisa estar no topo da lista. Quando começar a usá-lo, você verá a dimensão da sua exposição e perceberá que precisa agir.”
Resultados
Hoje, a Skyscanner monitora quase 500 projetos distintos com a Snyk e consegue entender o estado da segurança, além de resolver problemas relacionados a vulnerabilidades e licenças. Logo no início da implementação, a Skyscanner recebeu um alerta sobre uma vulnerabilidade de alta gravidade em uma dependência usada em um de seus modelos de projeto base. Esses modelos contêm várias bibliotecas e servem de base para muitos projetos. A Skyscanner usou um patch da Snyk para corrigir a vulnerabilidade em todos eles. O impacto foi significativo: centenas de projetos que usavam aquele modelo base ficaram protegidos, reduzindo consideravelmente sua exposição a riscos de segurança.
3 motivos pelos quais a Skyscanner confia na Snyk
Com dois cliques, passamos de uma correção de vulnerabilidade no GitLab ao merge e à segurança em produção
Nossos desenvolvedores adoram a integração com as ferramentas que já usam
A Snyk se integra facilmente a várias etapas do ciclo de vida de desenvolvimento de software (SDLC), para termos certeza de que estamos protegidos