도전
Zendesk의 방대한 제품군을 유지 관리하려면 대규모 클라우드 설치 공간이 필요하며, 회사는 전체 멀티 클라우드 환경에서 가시성을 유지하는 데 어려움을 겪었습니다.
개발 팀은 신속하게 구축하고 확장할 수 있는 자유가 있었지만 보안에 의해 플래그가 지정되었을 때 취약성의 중요성이나 위치에 대한 통찰력이 부족했습니다.
연결이 끊긴 보안 도구로는 유지 관리 및 모니터링을 위한 전담 전문가가 필요했으며, 이로 인해 더 높은 가치의 프로젝트에서 시간과 리소스가 낭비되었습니다.
용액
Zendesk는 클라우드 환경에 대한 완벽한 가시성을 확보하고 개발 및 클라우드 보안 팀 전반에 걸쳐 보안을 중앙 집중화했습니다.
Wiz에서 우선 순위가 지정된 권장 사항과 인사이트를 활용함으로써 Zendesk의 개발 팀은 이제 보안 관점에서 특정 자산을 소유하고 중요한 취약점에 주의를 집중할 수 있습니다.
Zendesk는 개발 중인 컨테이너 이미지와 IaC 구성을 선제적으로 보호하므로 엔지니어는 새로운 제품과 기능을 만드는 데 시간을 할애할 수 있습니다.
Consolidated visibility
across a complex environment into a single pane of glass
Eliminated 96%
of critical vulnerabilities
Improved collaboration
across security and development teams with 1,200+ Wiz users
다국적 업계 리더로 성장
의 공동 창립자 젠데스크 Morten Primdahl, Alexander Aghassipour, Mikkel Svane은 2007년 코펜하겐의 작은 아파트에서 디지털 고객 지원 및 서비스 솔루션의 첫 번째 버전을 구축했습니다. 처음 몇 달 동안 거의 1,000명의 시험 고객을 확보했고, 2009년에는 자금을 지원받았으며, 현재 전 세계에 6,000명 이상의 직원을 보유한 수십억 달러 규모의 조직이 되었습니다. 제품군에는 다양한 서비스 및 판매 솔루션이 포함되어 있으며 각각 전용 도구가 있습니다.
이러한 에코시스템을 지원하고 고객에게 훌륭한 고객 경험을 제공할 수 있는 역량을 제공하기 위해 회사는 지속적으로 성장하는 클라우드 환경이 필요합니다. 여기에는 여러 주요 클라우드 제공업체, 컨테이너화된 스토리지, 쿠버네티스 클러스터 및 10개 이상의 가상 머신(VM)이 포함되며, 모두 플랫폼 전반에서 800+ 서비스를 지원합니다. 이와 같은 복잡한 환경으로 인해 회사는 구석구석에 대한 가시성을 유지하는 데 어려움을 겪었으며 보안 도구를 사용하려면 새로운 솔루션을 설계하는 데 시간을 할애할 수 없는 전문가의 지원이 필요했습니다. Zendesk는 클라우드 인프라와 함께 보안을 확장하기 위해 간소화 및 자동화가 필요하다는 것을 알고 있었습니다.
이러한 기술적 문제 외에도 Zendesk는 엔지니어링 팀과 개발 팀 간의 협업을 강화하기를 원했습니다. 30명의 제품 보안 엔지니어와 약 2,000명의 소프트웨어 엔지니어가 있는 이 회사의 소규모 보안 팀으로는 모든 것을 자체적으로 관리하기가 어려웠습니다. "이렇게 큰 환경에서는 아무도 모든 것을 알 수 없습니다"라고 Zendesk의 엔지니어링 이사인 Andrew Wagner는 말합니다. "문제를 효과적으로 해결하려면 보안 팀과 개발자가 협력해야 합니다. 우리 팀은 지시를 기다리기만 하는 것이 아니라 보안 부서에 문제를 제기하고 의견을 구할 수 있어야 했습니다." 보다 적극적인 보안 전략으로 전환하는 과정에서 Zendesk의 비전은 Log4Shell과 관련된 취약점을 신속하게 발견해야 할 때 시험대에 올랐습니다.
우리는 매우 사후 대응적인 보안 조직이었지만 오늘날 우리의 목표는 이러한 표준을 유지 관리하고 점진적으로 개선하기 위해 설계에 따라 보안되는 제품을 구축하는 것입니다. Wiz는 위험이 있는 위치에 대한 통찰력을 제공하므로 잘못된 구성을 수정하고 이러한 문제가 다시 발생할 가능성을 줄일 수 있습니다
이 회사는 Log4Shell에 대해 알게 되었을 때 새로운 보안 솔루션을 평가하고 있었지만 전체 클라우드 환경을 쉽게 볼 수 있는 방법이 없었기 때문에 잠재적인 노출을 효율적으로 찾는 것이 불가능했습니다. "와 함께 대단한환경 전반과 Log4Shell을 실행하는 위치 전반의 모든 것을 볼 수 있었습니다"라고 Zendesk의 제품 보안 담당 이사인 Koen Hendrix는 말합니다. "클라우드 인벤토리 및 적용 범위에 대한 신뢰도가 60%에서 100%로 떨어졌습니다. 우리는 모든 격차를 볼 수 있었고 하룻밤 사이에 그 격차를 좁힐 수 있었습니다. 우리는 보안 태세를 어떻게 움직여야 하는지 알고 있었기 때문에 Wiz를 쉽게 선택할 수 있었습니다."
사각지대를 발견하여 보안 적용 범위 확대
Zendesk가 Wiz를 구현하기로 결정한 후 보안 팀이 클라우드 전체에 에이전트를 설치할 필요가 없었기 때문에 빠르고 쉽게 배포할 수 있었습니다. "Wiz는 우리의 발자국을 빠르게 구현하고 검토할 수 있는 능력을 제공했습니다"라고 Wagner는 말합니다. "우리는 서로 다른 소스의 솔루션을 꿰매어 만들 필요 없이 VM 데이터와 모든 환경에서 사각지대를 발견할 수 있었습니다."
가시성과 툴링이 단일 창에 통합됨에 따라 Zendesk는 위험을 완전히 인식하고 클라우드 보안에 대한 보다 적극적인 접근 방식으로 전환할 수 있습니다. "우리는 엔지니어들이 사용하는 기술에 대해 더 잘 알고 있고, 지속적인 규정 준수 상태 업데이트를 제공할 수 있으며, 모든 것을 단일 목적지에 보유하고 있습니다"라고 Hendrix는 말합니다. "그 덕분에 그 어느 때보다 빠르게 위험을 찾아 해결할 수 있으며 가치가 더 높은 프로젝트에 더 많은 시간을 할애할 수 있습니다." Wiz를 구현한 이후 회사는 SLA의 취약점을 95% 줄이고 전체 중요 취약점의 96%를 수정했습니다.
Log4Shell이 발생했을 때 우리는 Wiz를 테스트하고 있었고 팀은 우리와 긴밀히 협력하여 전체 클라우드의 취약점을 검토하는 데 도움을 주었습니다. Security Graph를 본 후 딱 맞는다는 것을 알았습니다. Wiz는 개인적으로 Zendesk에서 강력하게 지지했던 유일한 공급업체 도구인데, 이 도구가 우리의 문제를 해결할 수 있다는 것을 알았기 때문입니다.
Zendesk가 한 곳에서 더 많은 컨텍스트를 확인할 수 있기 때문에 보안 및 엔지니어링 팀은 어디에 어떻게 시간을 할애해야 하는지, 어떤 문제를 해결하는 것이 가장 중요한지에 대해 더 많은 정보에 입각한 결정을 내릴 수 있습니다. 팀은 태그, 메타데이터 및 Wiz의 기본 제공 우선순위 지정 권장 사항을 쉽게 참조하여 특정 문제의 뉘앙스를 완전히 이해할 수 있습니다. 즉, 특정 자산과 프로젝트를 소유한 엔지니어가 자신의 지식을 테이블에 가져와 문제를 가장 잘 해결하는 방법에 대해 보안 부서와 협력할 수 있습니다. "우리 엔지니어링 팀이 일주일에 10개의 작업을 수행할 시간이 있다고 가정해 보겠습니다. 이전에는 단순히 50개의 문제를 건네주면 어디서부터 시작해야 할지 모를 수 있었습니다"라고 Hendrix는 말합니다. "이제 우리는 두세 가지 구체적인 문제를 공유하고 그것이 왜 중요한지 설명할 수 있습니다."
각 제품의 모든 계층에 보안 구축
2,000명으로 구성된 Zendesk의 엔지니어링 조직 중 절반 이상이 현재 Wiz를 사용하고 있으며, 더 많은 구성원이 Wiz를 신뢰할 수 있는 소스로 신뢰함에 따라 보안 및 엔지니어링 팀은 공유 언어를 사용하여 더 효과적으로 협업할 수 있습니다. "우리 팀'의 초점은 제품의 모든 계층에서 Zendesk 제품 스택의 보안 태세를 강화하는 것입니다"라고 Hendrix는 말합니다. "즉, 엔지니어가 아이디어를 떠올리는 순간부터 코드를 작성하고 프로덕션에 배포하는 순간부터 안전하다는 것을 의미합니다. 이제 엔지니어들이 Wiz를 사용하기 때문에 자신의 연구 결과를 가지고 다시 돌아올 수 있으며, 이를 통해 우리 팀은 더 가까워졌습니다."
팀은 Wiz CLI를 사용하여 컨테이너 이미지에 대한 취약성 스캔을 구현하고 로컬 개발 중에 플래그를 스캔하고 구축했습니다. Zendesk는 엔지니어가 쉽게 조정하고 구축을 계속할 수 있도록 진행 전에 잘못된 구성에 대한 부드러운 경고를 제공합니다. 또한 잠재적인 취약성이 스테이징 환경에 진입할 때 포착되고 프로덕션을 위험에 빠뜨리지 않도록 합니다. Wagner는 "사람들이 취약한 이미지를 구축하는 것을 완전히 막을 수는 없다는 것을 알고 있지만, 문제를 신고할 수 있다면 향후 새로운 SLA에 대해 걱정할 필요가 없습니다"라고 말합니다.
Wiz는 보안과 엔지니어링 간의 공통 언어를 제공합니다. 술래'모든 사람이 액세스할 수 있는 하나의 도구로, 매우 직관적이며, 함께 일하고 업무를 수행하는 데 필요한 컨텍스트가 모두 한 곳에 있기 때문에 활용하기 쉽습니다.
보안 모니터링에 대한 이러한 협업 접근 방식을 통해 Zendesk는 개발 프로세스 초기에 보안 왼쪽 및 보안 코드에 대한 접근 방식을 점진적으로 전환할 수 있었습니다. Wagner는 "우리의 보안 그룹과 엔지니어는 이제 통합 도구를 가지고 있기 때문에 솔루션의 보안을 공동으로 소유하고 공동 관리할 수 있습니다"라고 말합니다.
또한 팀은 이제 환경을 모니터링하고 보호하여 다음을 사용하여 연방 파트너십 준수를 개선할 수 있습니다. Wiz 런타임 센서. Wagner는 "Wiz Sensor를 사용하면 규정 준수 프레임워크를 지속적으로 평가하고 모든 것을 실시간으로 볼 수 있기 때문에 FedRAMP, SOC II, PCI 및 기타 요구 사항을 충족하고 있음을 파트너에게 쉽게 보여줄 수 있습니다. "이는 표준이 변화할 때 이를 따라갈 수 있고 귀중한 파트너십을 유지할 수 있기 때문에 매우 중요합니다."
성장하는 클라우드 인프라에 대한 새로운 보호 장치 구현
Zendesk는 클라우드 보안에 대한 접근 방식을 계속 발전시킴에 따라 다음을 사용하는 방안을 검토하고 있습니다. 위즈 디펜드 런타임 보안을 개선하고 더 높은 수준의 신호로 취약점을 모니터링합니다. "실시간 가시성을 확보하면 클라우드 공격을 탐지, 조사, 억제하는 데 걸리는 시간을 단축할 수 있기 때문에 게임 체인저가 될 것입니다"라고 Hendrix는 말합니다.
팀은 또한 Wiz를 더 왼쪽으로 이동하기 위한 지속적인 전략의 핵심 부분으로 보고 있습니다. "우리는 프로세스 초기에 잘못된 구성을 조기에 스캔하고 태그 문제를 태그할 수 있기를 원합니다"라고 Hendrix는 덧붙입니다. "Wiz는 보안에 대한 우리의 접근 방식을 성숙시키는 데 핵심적인 부분입니다."
