A organização IBM Software SRE utiliza o IBM Concert Protect para mitigar riscos de forma mais eficiente
A organização IBM Software Site Reliability Engineering (SRE) é responsável pela confiabilidade e segurança da plataforma de software como serviço (SaaS) e serviços gerenciados da IBM, que abrange várias plataformas em nuvem, incluindo IBM Cloud, AWS, Microsoft Azure e Google Cloud Platform. A equipe de Software SRE oferece uma ampla variedade de soluções de SaaS para centenas de empresas, em diversos setores, em todo o mundo.
Devido à abrangência e complexidade da plataforma, muitas vulnerabilidades e exposições comuns (CVE) são potencialmente relevantes e podem precisar ser mitigadas. Além disso, milhares de certificados de aplicações devem ser mantidos adequadamente para proteger o tempo de atividade.
É trabalho da equipe da Software SRE determinar exatamente quais CVEs precisam ser mitigados e quais certificados precisam ser renovados ou substituídos para apoiar o desempenho e a segurança das soluções de SaaS da IBM. Até recentemente, isso significava muito trabalho manual. “Tínhamos uma pilha de 1.000 a 2.000 CVEs por noite”, diz Marc Velasco, Engenheiro de Confiabilidade de Sites para a plataforma de SaaS da IBM. “É como um palheiro de informações. E nosso desafio é: como encontrar as agulhas, ou seja, os CVEs que realmente precisamos corrigir?”
Anteriormente, a equipe da Software SRE lidava com o desafio dos CVEs como muitas outras equipes de SRE do setor. Ela usava o software Twistlock, parte do Palo Alto Prisma Cloud, para relatar CVEs potencialmente relevantes. E equipes separadas, cada uma responsável por um aspecto específico da plataforma, analisavam manualmente os CVEs para determinar prioridades e ações para sua área. As equipes também precisavam procurar manualmente e mitigar quaisquer certificados não cobertos pelo sistema automatizado de gerenciamento de certificados da organização.
Esse trabalho consumia uma quantidade considerável de tempo. Com recursos limitados, a equipe sempre procurava maneiras de ser mais eficiente. “Há um número limitado de SREs que podemos oferecer”, diz Velasco. “Então, como podemos transformar todas essas informações em algo que seja praticável e priorizado?”
Entrar no IBM Concert Protect.
Usando o Concert Protect, a equipe da Software SRE automatiza a análise de CVEs e o inventário de certificados.
Para os CVEs, a equipe insere dados de varredura do Twistlock no Concert Protect, que gera resumos escritos de cada CVE, incluindo sugestões praticáveis para lidar com as vulnerabilidades. Também produz um mapa interativo que mostra como cada CVE se relaciona com todas as áreas da plataforma de SaaS da IBM.
"O Concert faz o cruzamento e nos dá as informações contextuais: aqui está o CVE, aqui estão os riscos associados, aqui está a mitigação e aqui está a aplicabilidade dele. Isso realmente ajudou", diz Velasco. "Tínhamos todas essas diferentes equipes fazendo a mesma operação em silos, enquanto o Concert nos reuniu, permitindo que agregássemos essa informação."
Velasco acrescenta que a equipe utiliza a funcionalidade de chat Concert Protect, impulsionado pelo portfólio de produtos de IBM watsonx, para ampliar sua compreensão dos riscos reais apresentados pelas CVEs. Esse conhecimento mais profundo permite acelerar a priorização e lidar com os itens mais críticos mais rapidamente. “Nossas equipes de SRE podem fazer perguntas que não eram possíveis de responder antes: qual é nossa postura de risco em toda a organização, em todo o software da IBM, em toda a vasta gama de equipes, tecnologias e aplicações díspares?” O Concert Protect me dá a capacidade de ver, para uma determinada aplicação, especificamente quais componentes ou pacotes estão realmente introduzindo risco, e em qual nível. Podemos ver o impacto potencial ao longo do ciclo de vida do desenvolvimento de software e dos ambientes de produção, incluindo o tempo de execução.
Para certificados, a equipe agora usa o Concert Protect para comparar os certificados existentes com a lista de certificados gerenciados. A solução verifica automaticamente os itens não gerenciados e alerta a equipe sobre certificados expirados ou não gerenciados.
Por fim, a equipe da Software SRE também usa a funcionalidade de gerenciamento de fluxos de trabalho do Concert Protect, que se integra a ferramentas como JIRA, ServiceNow e Git. A funcionalidade ajuda a simplificar a atribuição e o gerenciamento de tickets, o que gera respostas mais rápidas onde são necessárias mitigações.
Antes de usar o Concert Protect, em uma semana típica, a equipe da Software SRE estimava que poderia gastar cerca de 90 pessoas-horas na triagem, análise e remediação de CVEs. Nas primeiras seis semanas utilizando o Concert Protect, a equipe eliminou 80 horas de trabalho manual por semana, em média, e concluiu os processos de mitigação de CVEs mais de 90% mais rápido do que antes*.
O gerenciamento do inventário de certificados pode exigir aproximadamente 4,5 horas por mês. No primeiro mês usando o Concert Protect, a equipe completou esses processos em cerca de cinco minutos, 98% mais rápido*.
E com tanto tempo economizado, a equipe pode fazer mais para apoiar as soluções SaaS da IBM. "A maior vantagem é a escalabilidade que ele proporciona", diz Velasco. "Ele nos permite escalar nossos recursos e abordar mais riscos mais rapidamente, de uma maneira que não poderíamos fazer de outra forma. E isso significa que nossos SREs podem se concentrar mais na automação e na programação para melhorar a confiabilidade de nossos serviços hospedados."
"Dados coletados de equipes que fazem implementações em nuvens públicas com serviços gerenciados ou SaaS existentes e ferramentas e processos de varredura de CVEs e ferramentas de gerenciamento de certificados existentes." As equipes relataram dados de vários provedores de nuvem e ferramentas e processos de varredura. Os dados são baseados em estimativas e volume médio de análise de certificados, volume médio semanal de CVEs e carga de trabalho de análise.
A organização de IBM Software SRE é uma equipe global dedicada à entrega de SaaS de produção altamente disponível e escalável para produtos de software da IBM. A equipe de software da SRE provisiona, implementa, monitora, mantém e gerencia incidentes ao padronizar ferramentas, processos, automação, guias operacionais e práticas. A equipe da Software SRE trabalha em estreita colaboração com as equipes de desenvolvimento de software da IBM para projetar e implementar mudanças, proporcionando um serviço altamente resiliente ao longo do ciclo de vida do software.
Legal
© Copyright IBM Corporation 2024. IBM, o logotipo da IBM, IBM watsonx, Concert e IBM Concert Protect são marcas comerciais ou marcas registradas da IBM Corp. nos EUA e/ou em outros países. Este documento está atualizado na data inicial de publicação e poderá ser alterado pela IBM a qualquer momento. Nem todas as ofertas estão disponíveis em todos os países onde a IBM opera.
Microsoft, Windows, Windows NT e o logotipo Windows são marcas comerciais da Microsoft Corporation nos Estados Unidos, em outros países ou em ambos.
Os exemplos de clientes são ilustrações de como esses clientes utilizaram os produtos da IBM e os resultados que podem ter alcançado. O desempenho, o custo e a economia reais ou outros resultados em outros ambientes operacionais podem variar.