Desafíos
El rápido crecimiento hizo que la infraestructura de Wolt se expandiera de unos pocos servidores a varios cientos en un corto período de tiempo, lo que creó brechas en la visibilidad.
A medida que Wolt agregó más desarrolladores y servicios en la nube, el equipo de seguridad debió manejar el riesgo para su infraestructura en todos los equipos, sin ser un obstáculo para su trabajo.
Wolt necesitaba visibilidad de todo su entorno de nube y una mejor comprensión de las complejidades de las interacciones entre los servicios.
Soluciones
Con una mayor visibilidad de su creciente entorno de nube, Wolt puede detectar inconvenientes antes de que se conviertan en problemas más grandes.
Wolt automatizó las notificaciones de seguridad e integró Wiz con Slack para operacionalizar las alertas, de manera que los equipos puedan compartir datos más fácilmente y reaccionar a las amenazas más rápido.
Wolt pudo comprender cómo interactuaban los diferentes servicios dentro de su nube AWS, para poder arreglar problemas en un sistema sin afectar a uno conectado.
Cualquier cosa que puedas imaginar, a tu disposición
Wolt tiene la misión de hacer que las ciudades sean mejores lugares para vivir al ofrecer a la gente entregas rápidas y confiables de (casi) cualquier cosa que quieran, además de proporcionar ventas adicionales a los comerciantes y restaurantes locales y ganancias flexibles a los mensajeros locales.
La plataforma en línea de Wolt conecta a las personas que buscan pedir alimentos y otros productos con personas interesadas en venderlos y entregarlos. Para posibilitar esto, Wolt desarrolla una amplia gama de tecnologías, desde logística local hasta software minorista y soluciones financieras, además de operar sus propias tiendas de comestibles bajo la marca Wolt Market. Los productos de Wolt incluyen Wolt+ (servicio de suscripción para clientes), Wolt at Work (beneficios de comidas y entregas en oficina para empresas), Wolt Drive (entregas rápidas de última milla para comerciantes) y Wolt Self-Delivery (servicio para socios comerciales con su propio personal de entrega). La misión de Wolt es mejorar las ciudades al fortalecer y hacer crecer a las comunidades locales. Wolt se fundó en 2014 en Helsinki, Finlandia y se unió a DoorDash en 2022. DoorDash tiene operaciones hoy en día en 27 países, 23 de los cuales llevan el producto y la marca Wolt.
Con una red tan grande y creciente, los desafíos de seguridad son interminables.
El equipo de seguridad se considera un habilitador de negocios, y fomenta las relaciones de colaboración con todos los equipos de la empresa. "Somos el Departamento del Sí; queremos que nuestros empleados hagan lo que mejor saben hacer. No decimos no; preguntamos cómo”, comenta Tomi Tuominen, VP de Seguridad de Wolt.
La compañía nació en AWS y actualmente ejecuta sus propios clústeres autoalojados de Kubernetes. “Comenzó simple”, explica Tuomas Vähänen, miembro del equipo de Seguridad de Wolt. “Teníamos un par de bases de datos, y ahora tenemos 200. Gestionarlas es un trabajo de tiempo completo”.
Gestión del impacto del crecimiento en la infraestructura y las personas
A medida que Wolt agregó más desarrolladores al equipo y creó nuevos productos y servicios, los desafíos para manejar y proteger su creciente huella en la nube se hicieron evidentes. AWS ofreció cientos de servicios, pero las interacciones entre esos servicios aumentaron la complejidad de protegerlos.
“Es muy difícil proteger algo que está cambiando constantemente. Puedes cambiar una configuración para hacer que algo ses más seguro y luego darte cuenta de que es usado por otro servicio de Amazon que te expondrá en otro lugar”, comenta Adi Shammout, miembro del equipo de Seguridad de Wolt. “La complejidad estaba aumentando rápidamente a medida que nuestra huella en la nube crecía, y necesitábamos hacer algo para tener el control”.
Compensar la combinación de empleados nuevos y experimentados también planteó desafíos únicos. Las personas traen consigo diferentes procesos, por lo que Wolt necesitaba ver cómo los equipos estaban trabajando, no solo en qué estaban trabajando. ¿Cómo podría el equipo de Seguridad normalizar procesos sin obstaculizar el trabajo? Tuominen señala que cuando se incorpora a 100 personas por semana, uno debe ser consciente de todos sus procesos y estos deben estar muy bien documentados.
Cuando los servicios crecen rápidamente, significa que se están creando más recursos en la nube. Puede llevar mucho tiempo, y ser muy costoso y estresante mantener el control de todo eso. La visibilidad se convierte en el problema más importante.
En la escala de operaciones de Wolt, la búsqueda de hallazgos o vulnerabilidades individuales se vuelve poco práctica. Para identificar más rápido los problemas en el desarrollo, Wolt cambió su pensamiento para ser más eficiente y comenzó a escanear código e infraestructura en una etapa más temprana del proceso. De esta manera, Wolt pudo evitar tener que dedicar más recursos para encontrar y solucionar un problema más adelante. El equipo de Wolt necesitaba encontrar una solución que le ayudara a evitar cualquier error, sin problemas.
“Siempre estamos tratando de desplazarnos a la izquierda; siempre estamos tratando de eliminar clases de vulnerabilidad o clústeres de problemas completos de una sola vez”, dice Tuominen. “No habríamos elegido una herramienta que no proporcionara valor y ahorro de tiempo en el uso diario”.
Ver para creer
Wiz se implementó por primera vez en 2020 y resultó esencial para que el equipo de seguridad pudiera mantenerse por delante del rápido crecimiento de la empresa. Wolt encontró inmediatamente valor en el escaneo sin agentes de Wiz, con su implementación simple, cobertura completa y requisitos mínimos de gestión. Adicionalmente, el Vähänen señala que estar en Kubernetes facilitó la implementación sin agentes para la cuenta AWS de Wolt.
Wolt identifica y repara configuraciones erróneas en su tiempo de construcción y tiempo de ejecución, y aplica sus propias políticas personalizadas cuidadosamente diseñadas con un marco de cumplimiento integrado usando Wiz. Todos los equipos de infraestructura de Wolt acceden a Wiz y son responsables de resolver problemas en su propio ámbito, lo que libera al equipo de seguridad para que se centre en proyectos de mayor valor.
El equipo de seguridad monitoriza los crecientes recursos de la organización a través de su entorno en la nube utilizando el panel de control fácil de leer de Wiz. “La tranquilidad que obtienes una vez que abres el panel de control de Wiz y te das cuenta de que todo va a estar bien tiene un tremendo impacto emocional”, comenta Shammout.
Adicionalmente, el Gráfico de seguridad de Wiz ayuda a los equipos de seguridad de Wolt a ahorrar aún más tiempo al priorizar los problemas más importantes con el contexto para evaluar toda la superficie de ataque. “Ayuda a conectar los puntos”, afirma Vähänen. Algunos equipos incluso están usando el Gráfico de seguridad de Wiz para fines operativos y no solo para seguridad, aprovechando los datos que produce para rastrear la conectividad a través de diferentes nodos.
Poder ofrecer esta visibilidad internamente es fundamental. No se trata solo del equipo de seguridad. Wiz facilita la colaboración entre todos los equipos.
Lo mejor de ambos mundos
La capacidad de ver en qué están trabajando los equipos de toda la organización le da a Wolt la seguridad para promover los negocios. Puede notificar automáticamente al equipo apropiado cuando se detecta un problema, lo que evita procesos de restricción que interrumpen el flujo de trabajo. Al integrar a Wiz con Slack, los miembros más relevantes del equipo reciben una alerta inmediatamente y pueden arreglar las cosas más rápido. Los equipos también pueden ponerse de acuerdo rápidamente sobre cuáles son los problemas y cómo prevenirlos en el futuro.
“Lo más importante es poder observar toda tu presencia en la nube”, dice Tuominen. “No queremos ser un obstáculo. Queremos que los equipos de productos puedan hacer su trabajo de la mejor manera e implementar lo que quieran, pero si no cumplen con nuestras normas de seguridad, podemos verlos y ayudarles a trabajar en un entorno más seguro”.
Un día de trabajo normal
Wiz ya ha demostrado su valor a la hora de ayudar a Wolt a abordar importantes ciberamenazas. El equipo de seguridad de Wolt se enteró por primera vez de una vulnerabilidad en el software de registro Log4j a las 8 a.m. la mañana que apareció. Tenían cientos de microservicios y cada uno necesitaba su propio cortafuegos de aplicación web, así que podían bloquear las cargas útiles Log4j. Para las 11 a.m., ya habían bloqueado todos los activos más críticos para las cargas iniciales. Y menos de 24 horas después, pudieron confirmar que no hubo vulnerabilidades. “Este habría sido un trabajo enorme sin la visibilidad que nos proporcionó Wiz”, afirma Vähänen. Al final, Wiz ayudó a Wolt a identificar qué había que priorizar y a impedir que Log4j se infiltrara el clúster del servidor.
Wiz fue extremadamente útil con Log4j. Nos permitió evaluar nuestra verdadera superficie de ataque. Conocer lo que tienes ahí es la mitad de la batalla.
Ser consciente de a qué se dedica la seguridad
Durante los últimos años, Wiz ha podido ayudar a mantener la postura de seguridad de la plataforma de entregas. "Necesitas tener visibilidad. De lo contrario, esto no funcionará. Wiz entiende cómo funcionan los ataques, y el concepto de gráficos y mapas de ataque”, comenta Tuominen. “Es un paso a la vez, atravesando obstáculos y cambiando de dirección para hacer cosas diferentes”.
Wolt entiende que para seguir creciendo y mantener la seguridad de su plataforma, necesita una visibilidad continua. En su camino de crecimiento, la compañía confiará en Wiz para mantener la sanidad de su seguridad mientras avanza a paso firme.
