Encontrar y arreglar vulnerabilidades en dependencias de código abierto

Requisitos del sistema

Para instalar la herramienta de CLI de utilidad SNYK de código abierto, deberá instalar las siguientes dependencias y requisitos previos:

• Un proyecto con lenguaje compatible con Snyk, por ejemplo, Ruby
• Proyecto de código utilizando paquetes de código abierto
• Proyecto implementado en el sistema de gestión de código fuente compatible, por ejemplo, Github
• Cree una cuenta Snyk visitando al sitio de Snyk

Características

Algunas de la gran lista de características de la CLI Snyk y la herramienta de tiempo de compilación para encontrar y arreglar vulnerabilidades conocidas en dependencias de código abierto son:

• Encuentre vulnerabilidades ejecutando la prueba SNYK en un proyecto en el proceso CI.
• Arregle las vulnerabilidades utilizando Snyk Wizard y Snyk Protect.
• Snyk Wizard lo guía a través de encontrar y arreglar vulnerabilidades conocidas en un proyecto.
• Alerta a Snyk Monitor Records el estado de dependencias y cualquier vulnerabilidad en SNYK.
• Evite nuevas dependencias vulnerables ejecutando la prueba SNYK en el proceso CI cuando se agregan dependencias de nodos vulnerables.js o ruby.

Instalación

Instale Snyk para Ruby

Snyk admite pruebas, monitoreo y fijación de proyectos de rubí en las integraciones CLI y GIT que tienen sus dependencias administradas por Bundler. Ahora siga a continuación la guía paso a paso para configurar Snyk. La herramienta Snyk Utility CLI le permite comenzar a usar la línea de comando para instalar en NPM Ejecutar:

    npm install -g snyk

Una vez instalado, deberá autenticarse con su cuenta Snyk:

    snyk auth

Pon a prueba tu proyecto local con:

    snyk test

Reciba alertas sobre nuevas vulnerabilidades con:

    snyk monitor

Ejecute el siguiente comando para obtener una descripción general rápida de todos los comandos con más detalles y ejemplos:

    snyk iac --help

Snyk también se proporciona como un conjunto de imágenes de Docker que llevan el entorno de tiempo de ejecución de cada administrador de paquetes. Por ejemplo, la imagen NPM llevará toda la configuración necesaria para ejecutar la instalación de NPM en el contenedor en ejecución actualmente. Actualmente hay imágenes para NPM, Ruby, Maven, Gradle y SBT. Las imágenes pueden realizar la prueba SNYK de forma predeterminada en el proyecto especificado que se monta en el contenedor como un volumen de lectura/escritura, y Snyk Monitor si la variable de entorno del monitor se establece al ejecutar el contenedor Docker. Consulte el siguiente ejemplo de imagen de Rubygems sobre cómo ejecutar Snyk dentro de Docker: La carpeta del proyecto de host se montará /proyecto en el contenedor y se utilizará para leer el archivo de dependencias y escribir resultados para compilaciones de CI. Aquí hay un ejemplo de ejecutar Snyk Test y Snyk Monitor en la imagen para Rubygems:

    docker run -it
        -e "SNYK_TOKEN="
        -e "USER_ID=1234"
        -e "MONITOR=true"
        -v ":/project"
      snyk/snyk-cli:rubygems test --org=my-org-name

Se admiten los siguientes archivos de manifiesto Ruby on Rails:

    Gemfile
    Gemfile.lock

Las siguientes variables de entorno se pueden usar al ejecutar el contenedor en Docker:

    SNYK_TOKEN
    USER_ID
    MONITOR
    PROJECT_FOLDER
    ENV_FLAGS
    TARGET_FILE

Para agregar proyectos, ver los resultados de vulnerabilidad para proyectos importados y luego arreglar vulnerabilidades a través de solicitudes de extracción/fusión, verifique Comenzando con Snyk Open Source ¡Felicidades! Ha instalado con éxito Snyk CLI y herramienta de tiempo de construcción. ¡Disfrutar! Explorar

En este artículo discutimos sobre el software de seguridad de código abierto de SNYK. Para conocer otro software de seguridad de código abierto, visite la siguiente página:

• Las mejores herramientas de escaneo de seguridad de código abierto