ケーススタディー

JWP が Docker Scout を使用して開発とセキュリティの優先事項のバランスを取る方法

について: ビデオストリーミングとプレーヤーテクノロジーのパイオニアであるJWPは、Web、OTTアプリケーション、CTVプラットフォーム全体で優れたビデオコンテンツを配信および収益化するためのエンドツーエンドのプラットフォームでパブリッシャーと放送局を支援します。世界中の7000人以上のクライアントにサービスを提供しているJWPは、1億人以上のユーザーのビデオを強化し、毎月9億回以上のインプレッションと8億回のビデオ再生を生み出しています。
産業： Software as a Service — ビデオ技術。
場所： 本社は米国ニューヨーク市、ロンドン、アイントホーフェン、スコピエにオフィスを構えています

ハイライト

修正された脆弱性: 何千もの脆弱性を修正しました。セキュリティと効率の向上。
無視されたノイズ: 何万件もの重要でない問題を無視しました。ノイズの低減と優先順位付けの改善。
迅速にデプロイ: 400以上のリポジトリを1時間以内に有効にし、シームレスな統合と迅速なセットアップを実現します。

「Docker Scoutは、私たちにとって単なるツールではありません。これは戦略的な資産です。」 — スチュワート・パウエル、エンジニアリングマネージャー。

概要

一年前、 JWPのは、ビデオストリーミングのグローバルリーダーであり、最初のサクセスストーリーをブログでDocker Scoutと共有しました。当時、彼らはそれ以上のことを可能にしていました Docker Scoutのリポジトリを1時間以内に300は、Docker Scoutを開発ワークフローに統合することの容易さと効率性を示しています。この動きは、配信速度や運用効率を損なうことなくセキュリティを強化するための広範な戦略の一環でした。

今日まで早送りすると、JWPの旅はドッカースカウト進化を続けています。収益化、エンゲージメント、シームレスな動画配信を通じて顧客を支援することを使命とするJWPのサービスは、 860 億本以上の動画のストリーミングを促進してきました。この 1 年間で、Docker Scout は JWP が何千もの脆弱性を修正し、数万の重要でない問題を無視するのを支援し、ノイズを大幅に削減し、効率を向上させました。数千のノードと複数のKubernetesクラスタを含む堅牢な技術インフラストラクチャが、この驚くべき成果を支えています。

JWP と Docker Scout の旅は、現代のソフトウェア開発における適応性のあるセキュリティツールの重要性を浮き彫りにしています。 Docker Scout は、開発者の自律性と一元化されたセキュリティ監視のバランスをとることで、JWP が安全で革新的な開発環境を維持し、将来の進歩と継続的な成功への道を開くのを支援してきました。

挑戦

チーム間のセキュリティコラボレーションと優先順位付けのバランス

JWP が 400 以上のリポジトリで Docker Scout を有効にしたため、同社は開発者のペースを落とさずに安全に開発するという課題に直面しました。これは、セキュリティの責任を開発チームに移すことでさらに複雑になりました。これは、開発者の能力向上を目指す多くの組織に共通する戦略です。

しかし、このアプローチには課題があり、特に開発者が管理しなければならないセキュリティアラートの量が圧倒的に多いことが挙げられます。このノイズをカットする必要があるため、開発者は脆弱性に優先順位を付けて効果的に対処することが困難でした。

JWP は、一元化されたセキュリティチームと開発チームの間で、セキュリティ責任のバランスをより均等にする必要がありました。このバランスは、JWP 特有のセキュリティニーズに対応しながら、両チームの時間と労力を最適化するために重要でした。これには、脆弱性に優先順位を付け、コンプライアンスを確保しながら、開発ワークフローを最適化するための戦略的なアプローチが必要でした。主な課題は、セキュリティチームが必要な可視性を持ち、開発者にアラートが殺到することなく、コラボレーション環境を確立することでした。

解決

Docker Scout を活用して継続的な脆弱性分析を行う

Docker Scoutはバランスの取れたソリューションを提供しました。 JWP の CI パイプラインとシームレスに統合され、リアルタイムのフィードバックと一元化されたダッシュボードを提供します。このダッシュボードにより、セキュリティチームはランドスケープ全体を監視でき、コンプライアンスと戦略的な脆弱性管理を確保できました。

JWP は現在、各チームが CI パイプラインを所有する分散型開発モデルを運営しています。 Docker Scoutの一元化されたダッシュボードは、コンテナイメージ全体のすべての脆弱性を一元的に表示します。「一元化されたダッシュボードは、私たちにとってゲームチェンジャーでした。これにより、セキュリティチームは、各開発チームのプロセスを細かく管理することなく、必要な可視性と制御を得ることができます」と、JWPのエンジニアリングマネージャーであるStewart Powell氏は述べています。

早期の調整に続き、 Docker ScoutのVEX (Vulnerability Exploitability eXchange) ポリシーステートメントは、脆弱性の優先順位付けと効果的な管理において非常に重要であることが証明されています。これらの機能により、JWP のセキュリティチームは、理論的なシナリオではなく、実際のリスクに基づいて脆弱性に戦略的に優先順位を付けることができました。

この変化は、特定の脆弱性が存在する可能性があるが、JWPのKubernetesクラスタの設定方法(特権コンテナを実行しない、rootとして実行するなど)によるリスクが最小限に抑えられる環境で重要でした。「VEXステートメントは、脆弱性をより実践的に理解し、管理するのに役立ちました」とパウエル氏は説明します。

さらに、Docker Scoutのリアルタイムフィードバックループにより、JWPのワークフローが大幅に合理化されました。開発者はビルドプロセス中にすぐにフィードバックを受け取り、潜在的な問題に迅速に対処できるようにします。この 1 年間で、Docker Scout は JWP が何千もの脆弱性を修正し、何万もの重要でない問題を無視するのを支援してきました。このプロセスにより、開発チーム内でプロアクティブなセキュリティの文化が育まれ、セキュリティチームからのフィードバックをより受け入れるようになりました。

Docker Scoutのユーザー中心の設計も重要な役割を果たしました。これにより、セキュリティチームと開発チームの間に信頼と協力が築かれ、協力的なダイナミクスに移行しました。セキュリティチームは、コンテキスト内の脆弱性について十分な情報に基づいた意思決定を行い、実用的な洞察に集中できるようになりました。「Docker Scout は、私たちのチームの共同作業方法を非常に改善しました」と Powell 氏は言います。「脆弱性を見つけるだけではありません。それは、文脈の中で彼らを理解し、最も重要なことに優先順位を付けることです。」

「Docker Scoutのおかげで、JWPは堅牢なセキュリティフレームワークを確保しながら、迅速な開発ペースを維持することができました。最終的には、シームレスで安全なビデオストリーミング体験を世界中の視聴者に提供するという当社の使命をサポートしてきました。 Docker Scout は、私たちにとって単なるツールではありません。それは戦略的な資産です」とパウエル氏は言います。「これにより、システムの安全性を確保し、開発チームを強化しながら、ミッションを遂行することができます。」

Docker Scoutの主な利点

シンプルな統合

Docker Hub内のクイックセットアップにより、1時間以内に数百のリポジトリが可能になりました。Docker Scoutの統合には最小限の労力しか必要ありませんでした。「Docker Scoutのおかげで、Docker Hubにアクセスしてチェックボックスをオンにすることができました。そして、私のチームからほとんど努力することなく、開発者に包括的なソフトウェアサプライチェーンとイメージの脆弱性管理プログラムを提供することができました」とPowell氏は述べています。

統合ダッシュボード

Docker Scoutのダッシュボードは、脆弱性をリアルタイムで可視化し、セキュリティチームが効果的に優先順位を付け、チームのコミュニケーションを改善することを可能にしました。この一元化されたアプローチにより、セキュリティアラートの処理における摩擦が軽減されました。

VEXポリシーステートメント

悪用可能性とコンテキストに基づく脆弱性の効果的な優先順位付け。 VEXポリシーステートメントは、セキュリティチームが重大な脆弱性と緊急性の低い脆弱性を区別するのに役立ちました。

リアルタイムの開発者フィードバック

イメージのビルド中にすぐに分析情報を取得し、セキュリティの問題に積極的に対処します。 Docker Scout は、開発者にリアルタイムのフィードバックを提供するため、開発者はその場で問題に対処できます。このツールは脆弱性をコンテキスト化し、セキュリティチームが差し迫った問題に集中できるようにします。

脆弱性の迅速な解決

脆弱性を迅速に特定し、優先順位を付けることができるため、修復時間が短縮されました。

開発者の効率の向上

リアルタイムのフィードバックとコンテキストに応じたリスク評価により、開発者のノイズが減り、アラートに圧倒されることなく重要な問題に集中できるようになりました。

セキュリティコンプライアンスの強化

Docker Scoutにより、JWPはPCI DSSレベル 1などのセキュリティ標準への準拠を維持し、堅牢なセキュリティフレームワークを確保しています。

結果と結果

Docker Scoutを統合してから1年が経ち、JWPは初期の脆弱性検出と修正に重点を置くことから、強力で継続的なセキュリティ体制を維持することに移行しました。で紹介されているようにこの記事では、Docker Scoutの統合により、1時間以内に数百のリポジトリが可能になり、ツールの効率性と導入の容易さが示されました。 Docker ScoutがJWPの運用に与えた持続的な影響は、今日のJWPの運用に対するDocker Scoutの有効性を浮き彫りにしています。

セキュリティ体制の強化

Docker Scoutは、JWPのセキュリティ体制を改善する上で極めて重要な役割を果たしてきました。このツールは、一元化されたダッシュボードを通じて、すべてのコンテナイメージの脆弱性をリアルタイムで可視化します。これにより、セキュリティチームは脆弱性の優先順位付けと対処をより効果的に行うことができ、より安全な環境が実現しました。

「当社のセキュリティチームは非常に有能で、問題を解決する意欲があります。彼らは今、修正可能なもの、優先すべきもの、リスクを文脈の中でどのように見るべきかについて、より多くのコンテキストを持っています」とパウエル氏は言います。

強化されたチームコラボレーション

Docker Scout の採用により、JWP の開発チームとセキュリティチーム間のコラボレーションが促進されました。一元化されたダッシュボードは、統一されたビューを提供し、明確なコミュニケーションと脆弱性を管理するための協調的な取り組みを促進します。開発チームは、コンテナの正常性とセキュリティに関するリアルタイムのフィードバックを受け取るため、問題に迅速に対処できます。このコラボレーションは、開発速度を損なうことなく高いセキュリティ基準を維持するために不可欠でした。

脆弱性管理の合理化

Docker Scoutの優れた機能には、セキュリティチームが脆弱性の悪用可能性とコンテキストに基づいて優先順位を付けるのに役立つVEXポリシーステートメントが含まれます。この情報により、JWP は、それほど重要でない問題を適切に管理しながら、実際のリスクをもたらす重大な脆弱性に焦点を当てることができました。「脆弱性は存在するが修正できないという概念は難しいものですが、VEXポリシーステートメントは、これらを効果的に管理するのに大いに役立っています」とPowell氏は述べています。

結論

JWPは、セキュリティ体制を維持および強化するために、Docker Scoutを引き続き活用する態勢を整えています。このツールでは、リアルタイムのインサイトを提供し、チームのコラボレーションを促進することができるため、JWPは新たなセキュリティ脅威に対して俊敏性と応答性を保つことができます。

「専門家を最もよく知っていると信じ、脆弱性の優先順位付けという点で、その考え方の一部をセキュリティチームに戻すことが重要でした」とパウエル氏は言います。 JWP が進化し続ける中、Docker Scout は、安全で高品質なストリーミングサービスを提供するという同社の戦略において、引き続き重要な要素となっています。

さらに詳しく

Docker Newsletter を購読してください。
Docker デスクトップの最新リリースを入手します。
次のものに投票してください! 公開ロードマップをご覧ください。
質問がありますか? Docker コミュニティがお手伝いします。
ドッカーは初めてですか? 始めましょう。