TechnologieSimpleRose automatisiert mit Mondoo die Security über den gesamten Tech-Stack
Die Zahlen sprechen für sich
Über den Kunden
SimpleRose hilft Teams, die komplexesten Planungs- und Terminierungsprobleme der Welt schneller und detaillierter zu bewältigen. Ob Organisationen ihre bestehenden Optimierungsmodelle beschleunigen, ein maßgeschneidertes Entscheidungsunterstützungssystem aufbauen oder SimpleRose's nächste Generation Solver erkunden möchten - SimpleRose hilft ihren Kunden, weniger Zeit mit Vereinfachung und mehr Zeit mit Lösen zu verbringen.
Cloud-First IT-Infrastruktur
SimpleRose ist eine Cloud-First-Organisation mit Infrastruktur hauptsächlich auf AWS, strukturiert durch mehrere Sub-Accounts, die unter einer AWS Organization verwaltet werden und auf Best Practices für Workload-Trennung und Sicherheit ausgerichtet sind. SimpleRose nutzt Cloud-native Entwicklungspraktiken und konzipiert seine Anwendungen für Skalierbarkeit, Resilienz und Observability unter Nutzung von Containerisierung und Infrastructure-as-Code innerhalb von AWS.
Die Sicherheitsfunktion von SimpleRose ist in die breiteren IT- und Operations-Teams eingebettet. Obwohl es keine eigenständige Abteilung ist, arbeiten sie mit einem funktionsübergreifenden Team-Ansatz, der Security Champions aus Engineering, Compliance und IT einbezieht, koordiniert durch die Rosarians - SimpleRoses Team für Security, Ops, IT und Compliance.
Sicherheitsherausforderungen
Eine der größten Herausforderungen von SimpleRose war die Erreichung von Echtzeit-, zentralisierter Transparenz über Compliance und Konfiguration ihres vielfältigen und schnell wachsenden Tech-Stacks - einschließlich Cloud-Infrastruktur, Endpoints, SaaS-Plattformen und Entwickler-Tooling.
“Obwohl wir starke Perimeter- und Endpoint-Schutzmaßnahmen durch Tools wie CrowdStrike und Cloudflare hatten, und wir Vanta zur Validierung grundlegender Workstation-Compliance hatten (z.B. Passwortsperre, Verschlüsselung, Antivirus, Bildschirmsperre [PEAS]), arbeiteten all diese Lösungen in Silos.”
— Todd Bradfute, Senior Director of Security & Technology bei SimpleRose
SimpleRose fehlte eine einheitliche Plattform, die tiefe Einblicke in die breitere Compliance-Lage ihrer Systeme bieten konnte, wie:
- Patch-Status und Softwareversionen
- Dateiberechtigungen und Systemkonfigurationen
- Cloud-Services-Konfiguration und Container-Sicherheit
- Web-Asset-Sicherheitslage (wie fehlkonfigurierte Domains oder Cloud-Services)
Als wir Cloud-native Services skalierten und schneller in CI/CD-Pipelines agierten, wurden diese blinden Flecken drängender. Wir brauchten eine Möglichkeit, nicht nur Kästchen für Compliance abzuhaken, sondern den tatsächlichen Zustand von Systemen auf eine entwicklerfreundliche, erweiterbare Weise zu validieren - und Mondoo gab uns genau das.
Die Lösung: Mondoo
Als Todd bei den DevOpsDays von Mondoos Policy-as-Code-Lösung hörte, war sein Interesse sofort geweckt. Das, gekoppelt mit Mondoos Benutzerfreundlichkeit, überzeugte SimpleRose schnell.
Mit Mondoo kann SimpleRose jetzt ihren Compliance-Status über verschiedene Arten von Tools und Assets an einem Ort einsehen. Obwohl sie bereits andere Tools hatten, die einen Überblick boten, geht Mondoo viel tiefer in die Konfigurationsebenen-Verifizierung und bietet sowohl Breite als auch Tiefe.
“Wir nutzten bereits Tools wie Vanta zur Validierung grundlegender Workstation-Compliance, aber wir mussten über High-Level-Kontrollen hinausgehen und ins Detail gehen - wie die Überprüfung, ob Dateiberechtigungen korrekt angewendet wurden, Patch-Versionen aktuell waren und Docker-Konfigurationen Best Practices folgten.”
— Todd Bradfute, Senior Director of Security & Technology bei SimpleRose
Mit Mondoo erhält SimpleRose jetzt:
Zentrale und tiefe Transparenz
Konsolidierte Compliance-Einblicke aus verschiedenen Umgebungen (z.B. Laptops, AWS, DockerHub, interne Web-Services) mit tiefer Konfigurationsebenen-Verifizierung.
Anpassbare und skalierbare Policies
SimpleRose kann Policies als Code schreiben und anpassen, was es einfach macht, Prüfungen auf ihre spezifischen internen Standards zuzuschneiden.
Automatisierte Security-Pipeline
Reibungslose Integration in ihre CI/CD- und Infrastruktur-Pipelines ermöglicht Security-as-Code ohne die Entwicklergeschwindigkeit zu beeinträchtigen.
Klare umsetzbare Behebungswege
Optimierte Behebungsprozesse, die die Lücke zwischen Erkennung und Aktion überbrücken.
“Mondoo gibt uns eine messerscharfe Antwort, wie wir identifizierte Probleme angehen sollen.”
— Todd Bradfute, Senior Director of Security & Technology bei SimpleRose
Implementierung
Mondoo war sehr einfach zu implementieren. Ich hatte das Workstation-Scanning buchstäblich innerhalb einer Stunde nach der Mondoo-Präsentation bei den DevOpsDays am Laufen. Die Verbindung zu unseren anderen Umgebungen war ebenfalls ziemlich mühelos.
Ergebnisse
Mit Mondoo erreichte SimpleRose:
Behebungsprozess
Mondoo informiert über die gravierendsten Probleme.
SimpleRose wählt die relevanten zur Behebung aus.
SimpleRose nutzt RMM (für Workstations), IaC (für Workloads) und Terraform (für Cloud-Tooling) zur Bereitstellung von Fixes unter Verwendung von Mondoos Behebungs-Code-Snippets.
Mondoo scannt erneut und zeigt, ob sich der Score verbessert hat.
Fazit
Die wichtigsten Treiber für SimpleRoses Einführung von Mondoo waren die Notwendigkeit, Compliance- und Konfigurationstransparenz über einen schnell wachsenden Tech-Stack zu vereinheitlichen und zu vertiefen, aber Mondoo hat weit mehr geliefert. Mit einem automatisierten, wiederholbaren Behebungsprozess konnte SimpleRose manuelle Arbeit reduzieren, die Behebung beschleunigen und sicherstellen, dass die kritischsten Risiken schnell behoben werden.
Mondoos Policy-as-Code und die Integration in den SDLC hat SimpleRose auch geholfen, Sicherheit in ihren Entwicklungsprozess einzuführen und Sicherheitsprobleme früh zu erkennen, ohne bei der Geschwindigkeit Kompromisse einzugehen.
“Mondoo wurde unsere Brücke zwischen technischer Konfiguration und Policy-Anforderungen, was für die Skalierung sicherer Operationen ohne Reibungsverluste entscheidend ist.”
— Todd Bradfute, Senior Director of Security & Technology bei SimpleRose
“Wir brauchten eine Möglichkeit, nicht nur Kästchen für Compliance abzuhaken, sondern den tatsächlichen Zustand zu validieren.”
“Obwohl wir starke Perimeter- und Endpoint-Schutzmaßnahmen hatten, arbeiteten all diese Lösungen in Silos.”
“Mondoo gibt uns eine messerscharfe Antwort, wie wir identifizierte Probleme angehen sollen.”
“Mondoo wurde unsere Brücke zwischen technischer Konfiguration und Policy-Anforderungen.”
“Mondoo war sehr einfach zu implementieren. Ich hatte das Workstation-Scanning buchstäblich innerhalb einer Stunde nach der Mondoo-Präsentation bei den DevOpsDays am Laufen.”
“Egal wo Sie auf Ihrer Sicherheitsreise stehen, Mondoo holt Sie dort ab. Für diejenigen mit vorhandenen Tools hatte Mondoo eine Antwort für jedes Tool, das wir unterstützen mussten.”
“Mondoo verbessert unsere Fähigkeit, Sicherheitsrichtlinien über alle unsere IT-Oberflächen von einer einzigen Plattform aus zu überwachen, zu validieren und durchzusetzen.”
Bereit, Ihre Sicherheit zu transformieren?
Erfahren Sie, wie Mondoo Ihrer Organisation helfen kann, ähnliche Ergebnisse zu erzielen.