L'organizzazione IBM Software Site Reliability Engineering (SRE) è responsabile dell'affidabilità e della sicurezza della piattaforma software as a service (SaaS) e di servizi gestiti IBM, che si estende su più piattaforme cloud, tra cui IBM Cloud, AWS, Microsoft Azure e Google Cloud Platform. Il team Software SRE fornisce una vasta gamma di soluzioni SaaS a centinaia di aziende, in tutti i settori, in tutto il mondo.
 
A causa dell'ampiezza e della complessità della piattaforma, molte vulnerabilità ed esposizioni comuni (CVE) sono potenzialmente rilevanti e potrebbero dover essere mitigate. Inoltre, migliaia di certificati applicativi devono essere mantenuti correttamente per proteggere il tempo di attività.
 
È compito del team Software SRE determinare esattamente quali CVE devono essere mitigate e quali certificati devono essere rinnovati o sostituiti per supportare le prestazioni e la sicurezza delle soluzioni IBM SaaS. Fino a poco tempo fa, questo significava molto lavoro manuale. "Avevamo un cumulo di 1.000-2.000 CVE a notte", afferma Marc Velasco, Site Reliability Engineer per la piattaforma IBM SaaS. "È come un pagliaio di informazioni. E la nostra sfida è: come possiamo trovare gli aghi, le CVE che dobbiamo davvero correggere?"
 
In precedenza, il team Software SRE affrontava la sfida delle CVE come molti altri team SRE del settore. Utilizzavano il software Twistlock, parte di Palo Alto Prisma Cloud, per segnalare CVE potenzialmente rilevanti. E team separati, ciascuno responsabile di un aspetto specifico della piattaforma, analizzavano manualmente le CVE per determinare le priorità e le azioni per la loro area. I team dovevano anche cercare manualmente e mitigare eventuali certificati non coperti dal sistema di gestione automatizzata dei certificati dell'organizzazione.  
 
Questo lavoro richiedeva una notevole quantità di tempo. Con risorse limitate, il team ha sempre cercato modi per essere più efficiente. "C'è un limite alla progettazione dell'affidabilità del sito che possiamo attuare", afferma Velasco. "Quindi, come possiamo trasformare tutte queste informazioni in qualcosa di attuabile e prioritario?"
 
Entra in scena IBM Concert.   

Utilizzando lo strumento Concert, il team Software SRE automatizza l'analisi CVE e l'inventario dei certificati.

Per i CVE, il team invia i dati di scansione da Twistlock a Concert, generando riepiloghi scritti di ogni CVE, inclusi insight concreti e fruibili per affrontare le vulnerabilità, e produce una mappa interattiva che mostra come ogni CVE si relaziona a tutte le aree della piattaforma IBM SaaS.

"Concert fa un riferimento incrociato e ci fornisce le informazioni contestuali: ecco il CVE, ecco i rischi associati, ecco la mitigazione e l'applicabilità. "Ci ha davvero aiutato", afferma Velasco. "Avevamo diversi team che eseguivano la stessa operazione in modo isolato, mentre Concert ci consente di riunirci e di aggregare tutte le informazioni".  

Velasco aggiunge che il team utilizza la funzione di chat di Concert, basata sulla piattaforma IBM® watsonx, per ampliare la comprensione dei rischi effettivi posti dai CVE. Questa conoscenza più approfondita consente loro di accelerare la definizione delle priorità e di affrontare più rapidamente gli elementi più critici. "I nostri team SRE possono porre domande a cui non era possibile rispondere prima: qual è la nostra posizione di rischio all'interno dell'organizzazione, all'interno di IBM Software, nella vasta gamma di team, tecnologie e applicazioni diverse? Concert offre la possibilità di vedere, per una determinata applicazione, in particolare quali componenti o pacchetti comportano realmente dei rischi e in che misura. Possiamo vedere il potenziale impatto sull'intero ciclo di vita dello sviluppo del software e sugli ambienti di produzione, incluso il runtime".   

Per i certificati, il team utilizza ora Concert per effettuare un controllo incrociato dei certificati esistenti rispetto all'elenco dei certificati gestiti. La soluzione verifica automaticamente gli elementi non gestiti e avvisa il team dei certificati scaduti o non gestiti.  

Infine, il team Software SRE utilizza anche la funzione di gestione del workflow di Concert, che si integra con strumenti come JIRA, ServiceNow e Git. La funzione aiuta a semplificare l'assegnazione e la gestione dei ticket, il che favorisce risposte più rapide quando sono necessarie delle mitigazioni.