Défis
En raison de sa croissance rapide, l’infrastructure de Wolt est passée de quelques serveurs à plusieurs centaines en peu de temps, ce qui a créé des lacunes en matière de visibilité.
Au fur et à mesure que Wolt ajoutait de nouveaux développeurs et services cloud, la sécurité devait gérer les risques pour son infrastructure au sein des équipes, sans que cela soit un obstacle à l’exécution du travail.
Wolt avait besoin d’une visibilité sur l’ensemble de son environnement cloud et d’une meilleure compréhension de la complexité des interactions entre les services.
Solutions
Grâce à une meilleure visibilité sur l’ensemble de son environnement cloud en pleine croissance, Wolt peut détecter les problèmes avant qu’ils ne deviennent plus importants.
Wolt a automatisé les notifications de sécurité et intégré Wiz à Slack pour opérationnaliser les alertes, afin que les équipes puissent partager les données plus facilement et réagir plus rapidement aux menaces.
Wolt a pu comprendre comment les différents services de son cloud AWS interagissaient, ce qui lui a permis de résoudre les problèmes d’un système sans avoir d'incidence sur un système connecté.
Tout ce que vous pouvez imaginer vous mis à disposition
Wolt s’est donné pour mission de faire des villes de meilleurs endroits où vivre en fournissant aux gens des livraisons rapides et fiables de (presque) n'importe quel produit, mais aussi en proposant des ventes supplémentaires aux commerçants et restaurants locaux, et en offrant aux coursiers locaux l'opportunité d'augmenter leurs revenus de façon flexible.
La plateforme en ligne de Wolt met en relation les personnes qui souhaitent commander de la nourriture et d’autres biens avec des personnes intéressées à les vendre et à les livrer. Pour ce faire, Wolt développe un large éventail de technologies, de la logistique locale aux logiciels de vente au détail et aux solutions financières, ainsi que l’exploitation de ses propres épiceries sous la marque Wolt Market. Les produits de Wolt comprennent Wolt+ (service d’abonnement pour les clients), Wolt at Work (prestation de services de restauration et livraisons dans les bureaux pour les entreprises), Wolt Drive (livraisons rapides du dernier kilomètre pour les commerçants) et Wolt Self-Delivery (service pour les commerçants partenaires disposant de leur propre personnel de livraison). La mission de Wolt est d’améliorer les villes en autonomisant et en développant les communautés locales. Wolt a été fondée en 2014 à Helsinki, en Finlande, et s’est associée avec DoorDash en 2022. DoorDash est aujourd’hui présent dans 27 pays, dont 23 avec le produit et la marque Wolt.
Avec un réseau aussi vaste et en pleine croissance, les défis en matière de sécurité sont infinis.
L’équipe de sécurité se considère comme un facilitateur d’affaires, favorisant les relations de collaboration avec toutes les équipes de l’entreprise. « Nous sommes le Service du Oui ; nous voulons permettre à nos employés de faire ce qu’ils font le mieux. Nous ne disons pas non, nous demandons comment », explique Tomi Tuominen, vice-président de la sécurité chez Wolt.
L’entreprise est née avec AWS et exploite actuellement ses propres clusters Kubernetes auto-hébergés. « Tout a commencé simplement », explique Tuomas Vähänen, membre de l’équipe de sécurité chez Wolt. « Nous n'avions que deux bases de données, et maintenant nous en avons 200. Les gérer est un travail à temps plein.
Gérer l’impact de la croissance sur les infrastructures et les personnes
Au fur et à mesure que Wolt ajoutait de nouveaux développeurs à son équipe et créait de nouveaux produits et services, les défis liés à la gestion et à la sécurisation de son empreinte cloud croissante apparaissaient évidents. AWS proposait des centaines de services, mais les interactions entre ces services rendaient leur sécurisation plus complexe.
« Il est très difficile de sécuriser quelque chose qui change constamment. Vous pouvez modifier une configuration pour sécuriser davantage quelque, puis vous se rendre compte qu’elle est utilisée par un autre service Amazon qui vous exposera ailleurs », explique Adi Shammout, membre de l’équipe de sécurité chez Wolt. « La complexité augmentait rapidement à mesure que notre empreinte dans le cloud augmentait, et nous devions faire quelque chose pour prendre le contrôle. »
La rémunération d’une combinaison de nouveaux employés et d’employés permanents présentait également des défis uniques. Les gens apportent différents processus avec eux, donc Wolt avait besoin de voir comment les équipes travaillaient, et non seulement ce sur quoi elles travaillaient. Comment la sécurité pourrait-elle standardiser les processus sans être un obstacle à l’exécution du travail ? Tuominen souligne que lorsque vous intégrez 100 personnes par semaine, vous devez vous soucier de tous vos processus qui doivent être extrêmement bien documentés.
Lorsque les services se développent rapidement, cela signifie que davantage de ressources cloud sont créées. Il peut être long, coûteux et stressant de rester toujours vigilent. La visibilité devient le plus gros problème.
À l’échelle des opérations de Wolt, la recherche de découvertes ou vulnérabilités individuelles devient impraticable. Pour identifier plus rapidement les problèmes de développement, Wolt a modifié sa façon de penser pour être plus efficace et a commencé à analyser le code et l’infrastructure dans une phase plus précoce du processus. Wolt a ainsi pu éviter d’avoir à consacrer plus de ressources pour trouver et résoudre un problème par la suite. L’équipe de Wolt avait besoin de trouver une solution qui l’aiderait à éviter tout bug sans aucune difficulté.
« Nous essayons toujours de nous déplacer vers la gauche. Nous essayons toujours d’éliminer des classes de vulnérabilité complètes ou des catégories de problèmes d’un seul coup », explique M. Tuominen. « Nous n’aurions pas choisi un outil qui n’offre pas de valeur ni d’efficacité en termes de temps dans l’utilisation quotidienne. »
Il faut le voir pour le croire.
Wiz a été déployé pour la première fois en 2020 et a joué un rôle déterminant pour aider l’équipe de sécurité à garder une longueur d’avance sur la croissance rapide de l’entreprise. Wolt a immédiatement trouvé de la valeur dans la numérisation sans agents de Wizn grâce à son déploiement simple, sa couverture complète et sa gestion minimale requise. En outre, Vähänen souligne que le fait qu'en étant sur Kubernetes, Wiz a facilité le déploiement sans agents pour le compte AWS de Wolt.
Wolt identifie et corrige les erreurs de configuration au moment de la construction et de l’exécution, et applique ses propres politiques personnalisées rigoureusement conçues avec un cadre de conformité intégré à l’aide de Wiz. Toutes les équipes d’infrastructure de Wolt accèdent à Wiz et sont responsables de la résolution des problèmes dans leur propre domaine, ce qui permet à l’équipe de sécurité de se concentrer sur des projets à plus forte valeur ajoutée.
L’équipe de sécurité surveille les ressources croissantes de l’entreprise dans son environnement cloud à l’aide du tableau de bord très lisible de Wiz. « La tranquillité d’esprit que vous ressentez quand vous ouvrez le tableau de bord Wiz et que vous réalisez que tout va bien se passer a un impact émotionnel énorme », explique Shammout.
De plus, le Security Graph Wiz permet aux équipes de sécurité de Wolt de gagner encore plus de temps en priorisant les problèmes les plus importants liés au contexte afin d’évaluer l’ensemble de la surface d’attaque. « Cela aide à relier les points », explique Vähänen. Certaines équipes utilisent même le Security Graph Wiz à des fins opérationnelles et pas seulement de sécurité, en exploitant les données qu’il produit afin de suivre la connectivité entre différents nœuds.
Il est essentiel d’être en mesure d’offrir cette visibilité en interne. Tout cela ne concerne pas uniquement l’équipe de sécurité. Wiz facilite la collaboration entre toutes les équipes.
Le meilleur de l'un et de l'autre monde
La possibilité de voir sur quoi travaillent les équipes de l'entreprise donne à Wolt la confiance nécessaire pour favoriser l'expansion des activités comme d'habitude. Il peut avertir automatiquement l’équipe compétente lorsqu’un problème est détecté, évitant ainsi les processus de contrôle qui perturbent le flux de travail. En intégrant Wiz à Slack, les membres de l’équipe les plus concernés sont immédiatement alertés et peuvent résoudre les problèmes plus rapidement. Les équipes peuvent également se mettre rapidement sur la même longueur d’onde sur la nature des problèmes et la manière de les prévenir à l’avenir.
« Le plus important, c’est d’avoir une visibilité sur l’ensemble de votre présence dans le cloud », explique M. Tuominen. « Nous ne voulons pas être un bloqueur. Nous voulons que les équipes produit puissent faire ce qu’elles font de mieux et déployer ce qu’elles veulent. Toutefois, si elles ne se conforment pas à nos normes de sécurité, nous pouvons le voir et les aider à travailler dans un environnement plus sûr. »
Le tout en une journée de travail
Wiz a déjà fait ses preuves en aidant Wolt à faire face à d’importantes cybermenaces. L’équipe de sécurité de Wolt a d’abord pris connaissance d’une vulnérabilité dans la bibliothèque logicielle Log4j à 8 heures du matin. le matin même, il est apparu. Ils disposaient de centaines de microservices, dont chacun a besoin de son propre pare-feu d’application Web pour pouvoir bloquer les charges utiles Log4j. Mais à 11 heures du matin, ils avaient déjà bloqué toutes les ressources les plus critiques pour les charges utiles initiales. Et moins de 24 heures plus tard, ils ont pu confirmer qu’aucune vulnérabilité n’avait été détectée. « Cela aurait été un travail énorme sans la visibilité que Wiz nous a fournie », déclare Vähänen. En fin de compte, Wiz a aidé Wolt à identifier ce qui devait être priorisé et a empêché tout Log4j d’infiltrer le cluster de serveurs.
Wiz a été extrêmement utile avec Log4j. Cela nous a permis d’évaluer notre surface d’attaque réelle. Savoir ce que vous avez, c’est une bataille à moitié gagnée.
Savoir à quoi l'équipe de sécurité travaille la plupart du temps.
Tout au long de la croissance de ces dernières années, Wiz a été en mesure d’aider à préserver la posture de sécurité de la plateforme de livraison. « Il faut avoir de la visibilité. Autrement, cela ne fonctionnera pas. Wiz comprend le fonctionnement des agresseurs et le concept de graphes et de cartes d’attaque », explique Tuominen. « C’est une chose après l'autre, sauter de cercle en cercle, basculer d'une chose à l'autre. »
Wolt comprend que pour continuer à se développer tout en préservant la sécurité de sa plateforme, elle a besoin d’une visibilité constante. Dans son parcours de croissance, l’entreprise s’appuiera sur Wiz pour maintenir son hygiène de sécurité tout en allant de l’avant en toute confiance.
