Die Herausforderung

Wie fast jedes Unternehmen, das heute Open Source nutzt, hatte auch Propio Language Services Mühe, mit der ständig wachsenden Welle KI-gestützter Lieferkettenangriffe Schritt zu halten. Laut Kevin Fuller, CISO bei Propio, war das Team ständig damit beschäftigt, neue Bedrohungen zu identifizieren und auf sie zu reagieren. Dies machte proaktive Sicherheit nahezu unmöglich und kostete Zeit, die für geplante Produktarbeiten benötigt worden wäre.

„CVEs waren außer Kontrolle“, sagte CTO Donnie Dooley. „Sie wucherten unkontrolliert. Sie wurden nicht gemäß den von uns festgelegten SLAs verwaltet.“ Zu einem bestimmten Zeitpunkt waren rund 20 % der Entwicklungskapazität ausschließlich für das CVE-Management statt für die Produktentwicklung aufgewendet worden.

Für das Propio-Team begann das Risiko und die darauffolgende sicherheitsorientierte Arbeit bei Containern, hörte dort aber nicht auf. Kevin erklärte: „Sowohl Container als auch Bibliotheken haben mich nachts wach gehalten, weil ich herausfinden musste, womit wir uns befassen müssen.“

Kyle Vanderbilt, Director of Platform Engineering, beschrieb die wachsende Dringlichkeit in Bezug auf Bibliotheken: „Der Axios-Lieferkettenangriff hat unser Interesse an Chainguard Libraries geweckt. Es hat uns überrascht, dass eine Bibliothek, die von Millionen von Entwicklern weltweit genutzt wird, angegriffen wurde und einen so großen Einfluss hatte.“

Das Team erwog, die Behebung intern zu verwalten, aber der Aufwand war überwältigend. Sie mussten sich auf dem Markt nach einem Anbieter umsehen, der das CVE-Aufkommen ohne neue betriebliche Belastungen reduziert.

Die Lösung

Das Propio-Team suchte nach einigen wesentlichen Funktionen: einer drastischen Reduzierung von CVEs von Haus aus, Schutz vor Malware und Lieferkettenangriffen sowie einer Möglichkeit, die manuelle Sicherheitsbelastung für interne Teams zu verringern.

Das Team begann zwar mit Chainguard Containers für die sofortige Reduzierung von CVEs, doch die CVE-Behebung allein reichte nicht aus. Danach wandte sich Propio den Open-Source-Abhängigkeiten zu, die seine Anwendungen antreiben, und führte Chainguard Libraries für JavaScript ein, mit dem Plan, die Abdeckung im Laufe der Zeit auf weitere Sprachen auszuweiten. Für Donnie war das Zusammenspiel der beiden Produkte entscheidend, um die Bedrohung auf der gesamten Plattform zu bewältigen.

Die Einführung ging schnell vonstatten: Das Platform-Engineering-Team von Propio brachte innerhalb weniger Tage zwei Dienste in ihrer Entwicklungsumgebung und die ersten Dienste innerhalb weniger Wochen in der Produktion zum Laufen. Da Chainguard direkt in Propios bestehende GitLab-Registry und die CI/CD-Pipelines integriert wurde, erforderte der Wechsel nur minimale Störungen für die Entwicklungsteams, die lediglich ihre Basis-Images aktualisieren mussten. Wie Donnie mitteilte: „Die Implementierung von Propio mit Chainguard Containers war die beste Integration, die wir als Technologieunternehmen jemals durchgeführt haben.“

Die Ergebnisse

Containersicherheit, die die Entwicklungsgeschwindigkeit ankurbelt

Seit der Implementierung von Chainguard Containers hat Propio einen Rückgang seiner CVEs von Tausenden auf nahe Null fast über Nacht erlebt – eine Reduzierung, die sich direkt in Produktfunktionserweiterungen niedergeschlagen hat, anstatt Zeit für die CVE-Behebung aufzuwenden.

Erweiterte Prävention auf der Abhängigkeitsschicht

Chainguard Libraries gibt dem Team von Propio die Möglichkeit, in JavaScript zu programmieren, ohne das Malwarerisiko einzugehen, das npm plagt. „Mit Chainguard Libraries freue ich mich darauf, nachts wieder schlafen zu können und mir keine Sorgen mehr über die anhaltenden Malware-Lieferkettenangriffe machen zu müssen“, sagte Kyle.

Kevin sieht in Chainguard den Treiber für den Wandel von reaktiver Erkennung hin zu proaktiver Prävention über Container und Bibliotheken hinweg. „Wir haben jetzt sofortige Sichtbarkeit, aber was noch wichtiger ist: Es ist eine präventive Funktion. Es ist also nicht nur Erkennung, es ist Prävention. Und das hat uns Seelenfrieden gebracht.“