チャレンジ
デジタル分析ソリューションプロバイダーの FullStory は、クラウドセキュリティの可視性を拡大して、予測が困難な脆弱性を特定して軽減したいと考えていました。
FullStory のセキュリティ チームは、全社的なコラボレーションを育み、セキュリティの精神を組織全体に根付かせることで、すべての人の利益を実現することを目指しました。
FullStoryは、重大なリスクを特定し、エンジニアリング機能を圧迫しない優先順位付けされたアラートを生成できるソリューションを必要としていました。
解決
FullStory は、クラウド環境全体でクラウドのセキュリティ問題を関連付け、 Wizランタイムセンサー そのKubernetesクラスターで。
Wizが生み出したインサイトにより、セキュリティチームはエンジニアリングの同僚にリスクを軽減する必要がある理由をより的確に説明でき、パートナーシップとコラボレーションをさらに強化することができます。
FullStoryは、Wizを使用して、重大なリスクと仮定のリスク、誤検知、低/中程度のリスクを区別し、セキュリティリソースの割り当てを最適化しています。
消費者の購買行動に影響を与えるトリガーを明らかにする
2014年にアトランタで設立され、 フルストーリー は、デジタル企業向けのデジタル分析ソフトウェアのマーケットリーダーです。 そのプラットフォームは、消費者がWebサイト、モバイルアプリ、またはソフトウェアプラットフォームをどのように使用しているかの全体像を企業に提供し、CXを改善し、顧客のコンバージョン率を高めることができます。
FullStoryは、Session Replayテクノロジーにより、デジタル企業のベンダーが顧客がショッピングカートを放棄したタイミングとその理由を確認できるようにし、ベンダーがUXの問題に対処する機会を提供します。 FullStoryは、自動キャプチャテクノロジーを使用してこれらの洞察を明らかにし、顧客とのやり取りを再現するために必要なHTMLの関連セクションを抽出します。
これを可能にするために、FullStory チームはコンテナのデプロイに Google Kubernetes Engine、仮想マシンのホストに Google Compute Engine、データ ストレージに BigQuery を使用しています。
FullStory のセキュリティ エンジニアリング、ガバナンス、リスク、コンプライアンス担当バイス プレジデントである Mark Stanislav 氏は、単一のクラウド プロバイダに集中することは戦略的な選択であると述べています。 優れたセキュリティは、最終的には複雑さを最小限に抑えることに帰着します。 複雑さが少なければ少ないほど、目標の達成が容易になります。
コラボレーションの強化によるエンジニアリング機能の実現
FullStory のソフトウェア エンジニアリング チームとセキュリティ チームとの関係を強化することは、2022 年 9 月にセキュリティ エンジニアリング担当副社長に昇進した Stanislav 氏にとって主要な優先事項でした。 セキュリティチームの影響を一切受けずに、同社のエンジニアリング部門は、製品ソフトウェアの設計、ドキュメント作成、ピアレビューに関する堅牢なプロセスをすでに作成していました。 エンジニアリング チームには独自の承認プロセスがあり、これには各製品のクラウド セキュリティ リスク ブロッカーの分析が含まれていました。
スタニスラフ氏は、彼の目標は、この環境を育み、FullStoryのエンジニアをさらに活用できるようにすることであり、セキュリティのハードルで彼らを阻むことではないと言います。 「FullStory には、厳格で成熟したエンジニアリング文化があります」と彼は説明します。 「私たちは非常に優秀で思慮深いエンジニアを採用しているため、彼らの前にセキュリティバリアを設けるのではなく、彼らが安全に動けるようにしたいと考えています」と彼は説明します。
スタニスラフ氏によると、すべてのFullStoryソフトウェアのデプロイは同様のパターンに従っています。 このテンプレート化されたアプローチにより、新しいコードの作成とデプロイに関する一貫性が最大限に確保されます。 しかし、FullStory のエンジニアリング チームはセキュリティを重視し、Google Cloud 環境は標準化され、合理化されたデプロイを備えていましたが、Stanislav 氏と彼のチームは、同社のクラウド環境に対する予期しない脅威を特定して軽減するための迅速かつ効果的な方法を必要としていました。
多くのセキュリティチームは、自分たちが知っていることを保護するのに非常に優れています。 つまり、本当のリスクは、彼らが知らないこと、または彼らが知らなかったテクノロジーが展開されたことにあります。 私たちは、クラウドセキュリティのギャップ、外れ値のリスク、未知のものに焦点を当てることができるソリューションを必要としていました。
しかし、きめ細かなクラウドセキュリティソリューションをデプロイする際の課題は、セキュリティチームに通知(仮説や誤検知を含む)が殺到する可能性があり、このノイズが重大な脆弱性を覆い隠してしまうことです。
Stanislav氏のチームは、重大なリスクを優先するだけでなく、特定の脆弱性を軽減する緊急性をエンジニアリングチームに説明できる、豊富なコンテキストを提供するソリューションを必要としていました。 このレベルの共有された洞察は、FullStory内のコラボレーションをさらに強化します。
ゼロから構築された「驚くほど速い」ソリューションを活用
FullStoryは、少なくとも2つのUSPの強みでWizプラットフォームを採用しました。 1つ目は、ユーザーがプラットフォームと対話できる速度でした。 「非常に複雑で微妙なニュアンスのあるクエリに焦点を当てている場合でも、Wiz の応答は驚くほど速いです」と Stanislav 氏は言います。 「どんなリクエストでも作成でき、Wizはほぼ即座に返信します。 他のCSPMは、1つの応答を生成するのに数分かかることがあり、これは非常にイライラします。」
FullStoryは当初、Wizの展開に慎重でした'のランタイムセンサーは、「着陸して拡大する」アプローチを採用しており、ソリューションの影響を完全に評価することができます。 彼らは、センサーが性能を低下させないことを証明し、センサーが解き放つ新しいユースケースに多大な価値を見出しました。 現在、Runtime Sensor は GKE マネージド クラスタ全体にデプロイされています。 これにより、リアルタイム監視、リアルタイム検出、およびランタイムコンテキストが可能になります。 Stanislav氏は、追加のセンサー機能を、コアエージェントレス製品の自然な拡張と見なしています。 ランタイムコンテキストを追加することで、脆弱性が実行されていることが確認され、ソリューションがリスク軽減の優先順位を正しく設定していることが示され、Stanislav氏のチームにとってさらなる自信が加わります。
他の高度な自動化テクノロジーのリスクは、ユーザーが注意を払わないように大量のアラートを発行することです。 しかし、Wizはリスクを非常に実用的な方法で分類しています。 1日に200件のアラートを受け取るわけではないので、重大なアラートを受け取った場合は、すぐに修正する必要があることがわかります。
例えば、このきめ細かな可視性により、Stanislav氏のチームは、特定に数か月から数年かかる可能性のある問題である、露出したサービスポートを迅速に特定することができます。 また、製品の発売前に新しいコードの脆弱性をすぐに切り分けることができるため、クラウドのセキュリティリスクを実質的にゼロに減らすことができます。
FullStoryのもう1つの重要なセールスポイントは、Wizプラットフォームが独立して開発されており、不格好なサードパーティのテクノロジーがボルトで固定されていないことです。 「多くのサイバーセキュリティソリューションでは、合併や買収によってそれらがつなぎ合わされていることがわかります」とStanislav氏は言います。 「これらのプラットフォームが、同じコードベースや同じAPIを持っていないことは明らかです。 Wizは、意図的に均一性を持たせてゼロから構築されている点で異なります。 その結果、優れた品質が得られたことは明らかです。」
セキュリティを共同責任にする
スタニスラフ氏と彼のチームは、エンジニアリングチームがWizにアクセスできるようにすることで、社内のコラボレーションをさらに強化することができました。 これにより、プラットフォームのセキュリティグラフを調査し、正確なセキュリティレポートを実行することで、リスクをより迅速に、より詳細なレベルで理解し、簡単に優先順位を付けることができます。
セキュリティチームは、Wizが提供するデータを活用して、FullStoryをセキュリティの脅威から守る役割を誰もが果たせるようにすることで、より多くのステークホルダーをサポートし、会社全体の影響力を拡大しています。
エンジニアリングチームに可視性を拡大することは、Stanislav のコラボレーションプロセスの重要な部分です。 彼は、「エンジニアにセキュリティの脆弱性を修正するように指示するだけでは不十分です。彼らはその理由を知りたがっています。 彼らはパートナーになりたいと思っています。 つまり、セキュリティチームは、ソリューションがどのようなものになるかについてのアイデアも持つ必要があります。」
Stanislav 氏と彼のチームは現在、Wiz の脆弱性アラートを共有し、独自のクラウド セキュリティ メッセージを広めながら、より広範なビジネス機能の社内関係者と提携するエキサイティングな新しい機会を模索しています。
