3 Best Practices, um das Beste aus Snyk AppRisk Essentials herauszuholen

Tausende unserer Kunden nutzen Snyk, um DevSecOps- und Shift-Left-Strategien umzusetzen. Doch angesichts der zunehmenden Geschwindigkeit und Komplexität von Anwendungen wissen wir auch, dass es immer schwieriger wird, mit der Entwicklung Schritt zu halten. Es wird zunehmend schwieriger, den Überblick über alle entwickelten Software-Assets zu behalten, Verantwortliche und ihre Bedeutung für das Unternehmen zu ermitteln und vor allem sicherzustellen, dass diese Assets mit Snyk angemessen geschützt sind.

Deshalb freuen wir uns sehr, unseren Kunden jetzt die Funktionen von Snyk AppRisk Essentials bereitzustellen! 

Snyk AppRisk Essentials für den Snyk Enterprise-Plan

Falls Sie die Neuigkeiten verpasst haben: Snyk AppRisk Essentials wurde im Dezember letzten Jahres angekündigt und war unser erstes Angebot von Snyk AppRisk. Es bietet Kunden Asset-Erkennung, Coverage-Management und risikobasierte Priorisierung. Am 1. Mai dieses Jahres haben wir außerdem Snyk AppRisk Pro angekündigt. Es baut die Funktionen von Snyk AppRisk Essentials deutlich aus und bietet Einblick in Anwendungsrisiken zur Laufzeit sowie umfassendere Funktionen für das Management und die Analyse von Anwendungsrisiken. 

Damit unsere Kunden ihre Shift-Left-Strategie mit Snyk erfolgreich in die Praxis umsetzen können, haben wir die Funktionen zur Erkennung von Anwendungen und zum Coverage-Management von Snyk AppRisk Essentials jetzt kostenlos in den Snyk Enterprise-Plan integriert. 

Wenn Sie bereits Kunde unseres Enterprise-Plans sind oder es werden möchten und mehr darüber erfahren wollen, was diese Funktionen für Sie bedeuten und wie Sie sie nutzen können, lesen Sie weiter! 

Wichtige Funktionen von Snyk AppRisk Essentials

Was ist also im Paket enthalten? 

Die jetzt in jedem Snyk Enterprise-Plan verfügbaren Funktionen helfen Ihnen dabei, den Überblick über alle entwickelten Anwendungs-Assets zu behalten und sicherzustellen, dass diese mit Snyk angemessen geschützt sind.

Asset-Inventar

Snyk-Kunden können jetzt einfach nachvollziehen, welche Komponenten zum Erstellen ihrer Apps verwendet werden (wir nennen diese „Assets“), Verantwortliche zuordnen, ihre geschäftliche Kritikalität verstehen und vor allem feststellen, ob sie durch die anderen Snyk-Produkte abgesichert werden (wir nennen das „Coverage“): Snyk Open Source, Snyk Code, Snyk Container und Snyk IaC.

Richtlinien 

Snyk-Kunden steht jetzt eine völlig neue Kategorie von Richtlinien zur Verfügung. Damit können sie Assets und deren Coverage durch Snyk automatisch verwalten sowie auf Basis verschiedener Bedingungen zusätzliche Aktionen auslösen. 

Integrationen

Um den Überblick über Assets zu verbessern und das neue Asset-Inventar mit zusätzlichem Kontext anzureichern, stehen Snyk-Kunden neue Integrationen mit verschiedenen Tools und Plattformen zur Verfügung, die im gesamten SDLC zum Einsatz kommen.

Weitere Informationen zu diesen neuen Funktionen und den neuen Konzepten, die sie in Snyk einführen – etwa „Asset“ und „Coverage“ –, finden Sie in unserer Produktdokumentation.

In 3 Schritten zum Erfolg: Snyk AppRisk Essentials einführen

Im Folgenden finden Sie unseren empfohlenen Weg zum Erfolg mit den neuen Funktionen von Snyk AppRisk Essentials. 

Jede Organisation ist anders. Die genauen Schritte können daher je nach Ihrer bestehenden Snyk-Konfiguration und Ihren spezifischen Anforderungen variieren. Die folgenden grundlegenden Schritte haben sich jedoch als bewährte Vorgehensweise für eine erfolgreiche Nutzung erwiesen: 

• Schritt 1: Verbinden Sie Ihre SCM-Systeme

• Schritt 2: Erstellen Sie passende Richtlinien

• Schritt 3: Verschaffen Sie sich einen Überblick über Ihr Inventar und Ihre Coverage

Hinweis: Weitere Anleitungen finden Sie in einem neuen, kostenlosen Produkttrainingskurs zu Snyk AppRisk Essentials in Snyk Learn. 

Schritt 1: Verbinden Sie Ihre SCM-Systeme

Richten Sie zunächst die Snyk AppRisk-SCM-Integration ein. Wenn Sie Ihr SCM-System (Source Code Management) verbinden, kann Snyk das Asset-Inventar erstellen. 

Warum ist das wichtig? Kurz gesagt: Das Asset-Inventar verschafft Ihnen einen Überblick über alle Softwarekomponenten in Ihren Repositories. Was wird entwickelt und von wem? Werden diese Assets von Snyk gescannt? Wird aktiv daran gearbeitet, oder handelt es sich um ungenutzte Teile Ihrer App? Sind sie für das Unternehmen wichtig oder können sie vorerst nachrangig behandelt werden? Das Asset-Inventar hilft Ihnen, diese Fragen zu beantworten. Die Verbindung von Snyk mit Ihrem SCM-System – oder mehreren SCM-Systemen, wenn Sie einer großen Organisation angehören – ermöglicht seinen Aufbau.

Um Ihr SCM-System zu verbinden, öffnen Sie den Integrations-Hub auf der Seite Integrationen in der Snyk-Weboberfläche und wählen Sie die passende SCM-Integration aus. Snyk AppRisk unterstützt GitHub, Bitbucket, GitLab und Azure DevOps.

Eine ausführliche Anleitung zum Verbinden Ihres SCM-Systems mit Snyk AppRisk finden Sie hier.  

EMPFEHLUNG: Verbinden Sie Ihr IDP oder Service Catalog

Interne Entwicklerportale (IDPs) und Service Catalogs werden bei Plattform-, DevOps- und Entwicklungsteams immer beliebter. Sie vereinfachen Workflows, fördern die Zusammenarbeit und steigern die Produktivität während des gesamten Entwicklungszyklus. Als zentrale Informationsquelle zu den entwickelten Apps und der Entwicklungsumgebung enthalten diese Tools viele wertvolle Kontextinformationen, die dabei helfen, Apps besser zu erfassen und ihre Bedeutung für das Unternehmen zu verstehen. 

Wenn Sie ein IDP oder einen Service Catalog verwenden, empfehlen wir, diese als zusätzlichen ersten Schritt mit Snyk AppRisk zu verbinden. So wird das Snyk-Asset-Inventar weiter angereichert und die Asset-Erkennung sowie das Coverage-Management werden verbessert. 

Um Ihr IDP oder Ihren Service Catalog zu verbinden, öffnen Sie erneut den Integrations-Hub und wählen Sie die passende Integration aus. Snyk AppRisk unterstützt Backstage, ServiceNow CMDB, Atlassian Compass, Datadog Service Catalog, Harness und OpsLevel.

Bitte beachten Sie, dass sich die Einrichtung von Backstage etwas von der anderer unterstützter IDPs und Service Catalogs unterscheidet und direkt in den jeweiligen SCM-Integrationen erfolgt.

Eine ausführliche Anleitung finden Sie in unserer Produktdokumentation.

Sobald Ihre SCM-Systeme und optional auch Ihre IDPs oder Service Catalogs erfolgreich eingerichtet sind, werden diese Integrationen auf der Seite „Integrationen“ als „Verbunden“ angezeigt und das Asset-Inventar wird nach und nach mit Informationen gefüllt. Die vollständigen Daten sollten innerhalb von bis zu 24 Stunden verfügbar sein.

Schritt 2: Erstellen Sie passende Richtlinien

Bevor Sie die zahlreichen spannenden Daten im Asset-Inventar erkunden, können Sie diese mit Richtlinien ganz einfach optimieren, um sie besser zu verstehen und zu nutzen.

Klassifizieren Sie Ihre Assets

Snyk erfasst über die in Schritt 1 eingerichteten Integrationen eine große Menge an Informationen zu Ihren Assets. Richtlinien können diese um wichtigen Kontext ergänzen und Ihnen so helfen, die Assets im Inventar besser zu verwalten.  

Als Faustregel empfehlen wir, zunächst eine Richtlinie zu erstellen, die Assets automatisch klassifiziert. 

Im Asset-Inventar gibt die Klasse jedes Assets – von „A“ bis „D“ – seine Bedeutung für Ihr Unternehmen an. Sie können diese Klassifizierungen manuell zuweisen. Effizienter ist es jedoch, eine Richtlinie zu erstellen, die Assets anhand Ihrer spezifischen Umgebung und der Anforderungen Ihrer Organisation automatisch klassifiziert.

Häufige Beispiele für Richtlinien:

• Assets mit vertraulichen Kundeninformationen oder bestimmten Code-Verantwortlichen als „A“-Assets klassifizieren.

• Assets mit den Tags „QA“, „test“ oder „dev“ als „B“- oder „C“-Assets klassifizieren.

• Inaktive Assets anhand der Aktualität des Repositorys als „D“-Assets klassifizieren.

Coverage verwalten

Nachdem Sie Ihre geschäftskritischen Assets identifiziert haben, können Sie sicherstellen, dass Snyk effektiv eingesetzt wird. Mit einer Coverage-Richtlinie legen Sie die erforderlichen Snyk-Kontrollen fest und können schnell reagieren, wenn Coverage-Lücken festgestellt werden.

Häufige Beispiele für Richtlinien:

• Für alle „A“-Assets tägliche Scans mit Snyk Open Source und Snyk Code vorschreiben und für „B“- und „C“-Assets wöchentliche Scans verlangen.

• Eine Slack-Benachrichtigung auslösen oder ein Jira-Ticket erstellen, wenn ein neues, nicht gescanntes „A“-Asset erkannt wird.

Richtlinien lassen sich ganz einfach erstellen. Öffnen Sie in der Snyk-Weboberfläche auf der Seite Richtlinien den Tab Assets und klicken Sie auf Neue Richtlinie.

Sie können vorhandene Richtlinienvorlagen verwenden oder eine neue Richtlinie von Grund auf erstellen. Eine ausführliche Anleitung zum Erstellen von Richtlinien finden Sie hier.

Schritt 3: Verschaffen Sie sich einen Überblick über Ihr Inventar und Ihre Coverage

Im letzten Schritt nutzen Sie die Vorteile der ersten beiden Schritte: Ihr Inventar enthält nun die benötigten Daten, um Einblick in Ihre Apps und ihre Coverage durch Snyk zu erhalten und die Behebung entsprechend zu priorisieren. 

Das Inventar bietet zahlreiche Möglichkeiten, die verfügbaren Daten zu untersuchen. Dank intuitiver Sortier-, Such- und Filterfunktionen können Sie potenzielle Risikobereiche in Ihrem Programm schnell eingrenzen.

Ein guter Ausgangspunkt ist, sich auf Ihre „A“-Assets zu konzentrieren. Klicken Sie auf die Schaltfläche Filter, um die angezeigte Asset-Liste einzugrenzen.

In der Spalte „Kontrollen“ sehen Sie schnell, ob die erforderlichen Snyk-Kontrollen gemäß Ihren Richtlinien eingesetzt werden. Am Beispiel des oben gezeigten Repositorys „spring.goof“ sehen wir, dass Snyk Open Source das Asset ordnungsgemäß gescannt und kritische Schwachstellen erkannt hat (angezeigt durch den roten Punkt), während Snyk Code das Asset nicht wie erwartet scannen konnte. In der Spalte „Entwickler“ sehen Sie, wer für das Asset verantwortlich ist, sodass Sie diese Coverage-Lücke schnell schließen können.

Wenn Sie das Asset auswählen, können Sie weitere Informationen dazu einsehen, darunter eine Zusammenfassung der erkannten Probleme und eine Liste verwandter Assets.

Um mit der Triage von Problemen zu beginnen, klicken Sie auf den Namen der Snyk-Kontrolle (in diesem Fall Snyk Open Source). Dadurch wird die Seite „Probleme“ geöffnet. Sie bietet eine einheitliche, aggregierte Ansicht aller Probleme, die Snyk in diesem Asset erkannt hat. 

Anschließend können Sie die Risikobewertung von Snyk auf Problemebene nutzen, um sich auf die Probleme mit dem höchsten Risiko zu konzentrieren.

Wie bereits erwähnt, erweitert Snyk AppRisk Pro den Funktionsumfang noch einmal deutlich und bezieht Risikofaktoren aus der laufenden Anwendung ein. So wird eine umfassendere und risikobasierte Priorisierung ermöglicht. Mit diesem Laufzeitkontext können Sie zum Beispiel feststellen, ob eine anfällige Open-Source-Bibliothek bereitgestellt oder in den Arbeitsspeicher geladen wurde. Weitere Informationen zu diesen Risikofaktoren und zum Laufzeitkontext von Snyk AppRisk Pro finden Sie hier.

Neben dem Inventar können Sie sich auf der Seite Asset-Dashboard auch einen Überblick über den Gesamtstatus Ihres Snyk-Programms verschaffen. Diese Seite enthält mehrere Widgets, die die von Snyk erkannten Assets und deren Absicherung darstellen.

Maximieren Sie Ihren ROI mit Snyk

Wir sind überzeugt, dass die Verfügbarkeit der Funktionen zur Anwendungserkennung und zum Coverage-Management von Snyk AppRisk Essentials einen wichtigen Schritt darstellt, um unsere Kunden bei der Umsetzung ihrer Shift-Left-Strategien für Anwendungssicherheit zu unterstützen. 

Durch den Einblick in codebasierte Assets und eine konsistente Coverage durch Snyk helfen diese Funktionen Unternehmen dabei, die Effizienz ihres Programms zu steigern, ihre Sicherheitslage zu verbessern und den ROI ihrer Snyk-Investition zu maximieren.

Wenn Sie bereits Enterprise-Kunde sind oder es werden möchten, wenden Sie sich gern an Ihre Snyk-Ansprechperson oder besuchen Sie unsere Online-Dokumentation. Dort erfahren Sie mehr über die neu verfügbaren Funktionen und ihre Nutzung.