Trouver et réparer les vulnérabilités dans les dépendances open source

Configuration requise

Afin d’installer l’outil Open Source SNYK Utility CLI, vous devrez installer les dépendances et les conditions préalables suivantes:

• Un projet avec un langage pris en charge SNYK, par exemple Ruby
• Projet de code à l’aide de packages open source
• Projet déployé sur le système de gestion du code source pris en charge, par exemple GitHub
• Créez un compte Snyk en visitant le site SNYK

Caractéristiques

Une partie de la grande liste des fonctionnalités de SNYK CLI et de l’outil de construction pour trouver et corriger les vulnérabilités connues dans les dépendances open source sont:

• Trouvez des vulnérabilités en exécutant le test SNYK sur un projet dans le processus CI.
• Correction des vulnérabilités à l’aide de SNYK Wizard et SNYK Protect.
• L’assistant SNYK vous guide à travers la recherche et la réparation des vulnérabilités connues dans un projet.
• Alert SNYK Monitor enregistre l’état des dépendances et toutes les vulnérabilités sur SNYK.
• Empêchez de nouvelles dépendances vulnérables en exécutant le test SNYK dans le processus CI lorsque des dépendances vulnérables Node.js ou Ruby sont ajoutées.

Installation

Installez SNYK pour Ruby

SNYK prend en charge les tests, la surveillance et la fixation des projets Ruby dans les intégrations CLI et GIT qui ont leurs dépendances gérées par Bundler. Maintenant, suivez ci-dessous le guide étape par étape pour configurer SNYK. L’outil SNYK Utility CLI vous permet de commencer à utiliser la ligne de commande pour installer sur NPM Run:

    npm install -g snyk

Une fois installé, vous devrez vous authentifier avec votre compte SNYK:

    snyk auth

Testez votre projet local avec:

    snyk test

Soyez alerté pour de nouvelles vulnérabilités avec:

    snyk monitor

Exécutez la commande ci-dessous pour obtenir un aperçu rapide de toutes les commandes avec plus de détails et d’exemples:

    snyk iac --help

SNYK est également fourni comme un ensemble d’images Docker qui portent l’environnement d’exécution de chaque gestionnaire de packages. Par exemple, l’image NPM transportera toute la configuration nécessaire pour exécuter l’installation de NPM sur le conteneur en cours d’exécution. Actuellement, il existe des images pour NPM, Ruby, Maven, Gradle et SBT. Les images peuvent effectuer le test SNYK par défaut sur le projet spécifié qui est monté sur le conteneur en tant que volume de lecture / écriture, et SNYK Monitor si la variable d’environnement du moniteur est définie lors de l’exécution du conteneur Docker. Veuillez consulter l’exemple d’image RubyGems suivant sur la façon d’exécuter SNYK à l’intérieur de Docker: Le dossier du projet hôte sera monté sur / projet sur le conteneur et sera utilisé pour lire le fichier des dépendances et écrire des résultats pour les builds CI. Voici un exemple de fonctionnement du test SNYK et du moniteur SNYK dans l’image pour RubyGems:

    docker run -it
        -e "SNYK_TOKEN="
        -e "USER_ID=1234"
        -e "MONITOR=true"
        -v ":/project"
      snyk/snyk-cli:rubygems test --org=my-org-name

Les fichiers Ruby on Rails suivants sont pris en charge:

    Gemfile
    Gemfile.lock

Les variables d’environnement suivantes peuvent être utilisées lors de l’exécution du conteneur sur Docker:

    SNYK_TOKEN
    USER_ID
    MONITOR
    PROJECT_FOLDER
    ENV_FLAGS
    TARGET_FILE

Pour ajouter des projets, afficher les résultats de vulnérabilité pour les projets importés, puis corriger les vulnérabilités via des demandes FIX Pull / Merge, veuillez vérifier Début avec SNYK Open Source Toutes nos félicitations! Vous avez installé avec succès SNYK CLI et l’outil de construction. Apprécier! Explorer

Dans cet article, nous avons discuté du logiciel de sécurité open source SNYK. Pour en savoir plus sur les autres logiciels de sécurité open source, veuillez visiter la page suivante:

• Meilleurs outils de numérisation de sécurité open source