Галузь: Internet Services & Media
Компанія: Yahoo
Локація: Нью-Йорк
Продукт: Mend.io
ГОЛОВНЕ:
- Оперативний пошук бібліотек дає змогу усувати вразливості проактивно – до того, як вони стануть реальною загрозою.
- Автоматизація pull-запитів стає вирішальним фактором… гарантується швидке усунення недоліків без зупинки розробки.
- Підтримка від Mend.io безпосередньо на місці є «найкращою у своєму класі»… процес інтеграції минає абсолютно гладко.
Виклик
Масштабне використання open source компонентів та контроль відповідних загроз виявилися складною перешкодою для Yahoo. Як пояснив провідний інженер з безпеки Chris Madden, у компанії було відсутнє централізоване рішення для моніторингу відкритого коду та управління ризиками. Це стимулювало пошук дієвішого способу масового опрацювання безпекових інцидентів.
Головним завданням стало створення корпоративної платформи з функціями автоматичних pull-запитів для швидкого оновлення та підтримкою політик комплаєнсу. Очікувалося, що ці покращення спростять цикли розробки, впровадять єдині стандарти безпеки та дозволять швидше закривати вразливості на випередження.
Рішення
Виходом із ситуації став інструмент Mend SCA. Ключову роль відіграла здатність платформи до масштабування та забезпечення повного огляду open source компонентів і відповідних ризиків. Саме це зумовило інтеграцію Mend.io в інфраструктуру GitHub Enterprise.
Як зазначив Madden, автоматизація pull-запитів стала переломним моментом для інженерів. Налаштування під робочі процеси дозволяє оперативно усувати недоліки без переривання розробки. Окремо підкреслюється функція швидкого виявлення бібліотек, яка забезпечує превентивне реагування на вразливості – до початку їх експлуатації. Окрім цього, підтримка Mend.io на етапі впровадження отримала найвищу оцінку, а сам процес розгортання відбувся без жодних ускладнень.
Інженерами Yahoo автоматизовані pull-запити були визнані справжнім проривом. Цей функціонал гнучко налаштовується під зручність розробників та забезпечує швидке усунення недоліків – без переривання циклу створення продукту.
Результати
Завдяки Mend.io підхід до безпеки в Yahoo зазнав кардинальних змін. Як стверджує Madden, рішення Mend SCA забезпечує захищену експлуатацію компонентів OSS. Більшість вендорів SCA фокусуються або на комплаєнсі, або на вразливостях, але Mend.io є одним із небагатьох, хто успішно закриває обидва напрями. Можливість оперативного реагування на вразливості у масштабах усього портфеля ПЗ значно мінімізувала ризики.
Відзначається, що інструмент оптимізує розподіл ресурсів, вивільняючи час для масштабування, підвищення рентабельності та розробки інновацій. Аналіз кількості автоматично згенерованих і прийнятих pull-запитів у співвідношенні з вартістю аналогічної ручної праці демонструє чіткий результат – колосальну економію часу інженерних команд.
«Якщо проаналізувати кількість створених Mend SCA та злитих PR, а потім порівняти це з витратами на ручне виконання тієї ж роботи, стає очевидним – було заощаджено значну кількість часу розробників»
Chris Madden
Провідний інженер з технічної безпеки
Про компанію
Будучи глобальною медійною та технологічною компанією із кількома тисячами співробітників, Yahoo підтримує портфель культових продуктів і бере активну участь в open source проєктах.
