Snyk für .NET, Go und PHP ist da

Die Feiertage stehen vor der Tür. Da dachten wir: Warum machen wir der wachsenden Snyk-Community nicht ein kleines Geschenk?

Snyk setzt sich seit jeher dafür ein, die Nutzung von Open-Source-Code einfach zu machen, ohne Abstriche bei der Sicherheit. Heute gehen wir einen weiteren Schritt nach vorn und bieten jetzt CLI-Unterstützung für .NET, Go und PHP!

Mit der CLI können Sie Ihre Anwendungen flexibel manuell oder an entscheidenden Stellen in Ihrem CI-Prozess testen. Sie durchsucht Ihren Abhängigkeitsbaum, ermittelt alle verwendeten Abhängigkeiten und deren Versionen und testet sie anschließend. Integrationen für die Quellcodeverwaltung folgen in Kürze.

Nehmen Sie sich ein paar Minuten Zeit (mehr brauchen Sie nicht), und sichern Sie Ihre Apps ab.

Schnellstart

Installieren oder aktualisieren Sie zunächst Snyk auf die neueste Version und authentifizieren Sie sich:

npm install -g snyk 
snyk auth

Snyk greift zur Auflösung aller Abhängigkeiten auf lokal installierte Module zu. Daher müssen Sie sicherstellen, dass diese bereits verfügbar sind.

Prüfen Sie bei .NET, ob der Ordner packages/(.NET) oder obj/(.NET Core) über Visual Studio oder dotnet restore befüllt wurde.

Prüfen Sie bei Golang, ob vendor/ über dep ensure oder govendor sync befüllt wurde. Außerdem muss die Umgebungsvariable GOPATH korrekt gesetzt sein.

Prüfen Sie bei PHP, ob die Datei composer.lock mit composer install erstellt wurde.

Wechseln Sie anschließend in den Ordner Ihres Projekts und suchen Sie nach Schwachstellen:

snyk test

Daraufhin werden alle erkannten Schwachstellen angezeigt, zum Beispiel:

$ ✗ snyk test
✗ Medium severity vulnerability found on Microsoft.AspNetCore.All@2.0.0
- desc: Open Redirect
- info: https://snyk.io/vuln/SNYK-DOTNET-MICROSOFTASPNETCOREALL-600122
- from: dotnetcore@1.0.0 > Microsoft.AspNetCore.All@2.0.0

✗ Medium severity vulnerability found on Microsoft.AspNetCore.Server.HttpSys@2.0.0
- desc: Denial of Service (DoS)
- info: https://snyk.io/vuln/SNYK-DOTNET-MICROSOFTASPNETCORESERVERHTTPSYS-600125
- from: dotnetcore@1.0.0 > Microsoft.AspNetCore.All@2.0.0 > Microsoft.AspNetCore.Server.HttpSys@2.0.0

✗ High severity vulnerability found on System.Net.Http@4.3.0
- desc: Privilege Escalation
- info: https://snyk.io/vuln/SNYK-DOTNET-SYSTEMNETHTTP-60047
- from: dotnetcore@1.0.0 > System.Net.Http@4.3.0

Um ein Projekt über die Snyk-Benutzeroberfläche auf neu bekannt gewordene Schwachstellen zu überwachen, verwenden Sie den Befehl monitor. Mit snyk test und snyk monitor können Sie Sicherheit auch in Ihren CI-Umgebungen fest in Ihre Deployment-Pipeline integrieren.

snyk monitor

Go absichern

Das Go-Ökosystem bietet überraschend viele Paketmanager, orientiert sich aber zunehmend am „offiziellen experimentellen“ Paketmanager dep, den immer mehr Projekte einsetzen. Dennoch bat ein bemerkenswerter Anteil der Kunden, die freiwillig an unserer Go-Alpha teilnahmen, auch um Unterstützung für govendor. Deshalb unterstützt die Snyk CLI beide genannten Paketmanager.

Die Snyk CLI untersucht alle Ihre Imports – direkte und transitive – und gleicht sie mit den gesperrten Versionen in Gopkg.lock oder vendor/vendor.json ab.

Freuen Sie sich auf einige Folgebeiträge zu Golang. Darin berichten wir, was wir über das Go-Paket-Ökosystem gelernt haben und welchen Herausforderungen wir uns bei der Entwicklung der Go-Unterstützung in Snyk stellen mussten.

.NET absichern

Wir scannen .NET- und .NET-Core-Projekte und untersuchen NuGet-Abhängigkeiten auf bekannte Schwachstellen. Bei .NET-Projekten verarbeiten wir packages.config-Dateien, bei .NET-Core-Projekten obj/project.assets.json-Dateien.

Außerdem unterstützen wir .sln-Dateien, damit Sie die Open-Source-Sicherheit für alle Projekte in einer Solution automatisieren können.

Bei der Entwicklung unserer .NET-Unterstützung waren wir überrascht, wie wichtig das Scannen von .NET auf Open-Source-Schwachstellen ist: Die standardmäßige .NET-Core-v2-Anwendung hängt von Microsoft.AspNetCore.All/2.0.0 ab, das über 10 Schwachstellen mit sich bringt! Prüfen Sie also noch heute Ihre Projekte.

PHP absichern

Snyk unterstützt das Testen und Überwachen von PHP-Projekten, deren Abhängigkeiten mit composer verwaltet werden.

Beim Scannen von PHP-Projekten untersuchen wir Ihre composer.lock-Datei und vergleichen die genauen Versionen aller direkten und tief verschachtelten Abhängigkeiten in Ihrem Projekt mit unserer Composer-Schwachstellendatenbank.

Probieren Sie es aus!

Wir haben intensiv an dieser Einführung gearbeitet, Feedback von unseren Alpha-Nutzern eingeholt und dabei laufend Anpassungen vorgenommen. Wir freuen uns, die CLI jetzt allen zur Verfügung stellen zu können.

Wie immer ist Snyk für die Nutzung mit Open-Source-Projekten kostenlos – unabhängig davon, wie viele Open-Source-Projekte Sie haben. Open Source ist ein großer Gewinn für die Entwicklung, und wir freuen uns, unseren Beitrag dazu zu leisten, es so sicher wie möglich zu machen.

Wenn Sie Feedback haben, lassen Sie es uns bitte wissen. Wir möchten Snyk immer weiter verbessern. Und falls Sie sich Unterstützung für weitere Programmiersprachen oder Paketmanager wünschen, teilen Sie uns mit, welche. Das hilft uns nicht nur bei der Priorisierung – wir freuen uns auch, Entwicklern, die gerne testen und Feedback geben möchten, frühzeitig Zugang zu ermöglichen.