Developer-first-SAST mit Snyk Code: die Ankündigung

Heute hat Snyk sein kommendes Produkt Snyk Code angekündigt: ein neues, developer-first Static Application Security Testing (SAST)-Angebot, das unsere Cloud-Native-Application-Security-Plattform erweitert. 

Snyk Code basiert auf Machine Learning und weiteren Technologien aus unserer kürzlich erfolgten Übernahme von DeepCode.  Snyk Code ist die neueste Ergänzung der Cloud-Native-Application-Security-Plattform von Snyk.  Mit diesem Angebot schützt die Plattform von Snyk alle Komponenten moderner Cloud-Native-Anwendungen: den Anwendungscode, die verwendeten Open-Source-Bibliotheken, den Container, in dem die Anwendung ausgeführt wird, und die Infrastructure as Code, mit der sie bereitgestellt wird.

Was ist SAST?

Viele Entwicklerinnen und Entwickler kennen SAST möglicherweise nicht. SAST steht für Static Application Security Testing und dient dazu, den Code einer Anwendung zu testen und darin enthaltene Schwachstellen zu erkennen, die für Angriffe auf die Software ausgenutzt werden könnten.  Dazu wird der Code der Anwendung – in der Regel der Quellcode – gescannt, ohne ihn auszuführen. Alle dabei gefundenen Schwachstellen werden gemeldet.

SAST neu gedacht für moderne Entwicklungsteams

Snyk ist seit jeher davon überzeugt, dass Sicherheit developer-first umgesetzt werden muss, damit softwaregetriebene Unternehmen ihre Anforderungen an Geschwindigkeit und Skalierbarkeit erfüllen können.  Seit einiger Zeit bitten uns unsere Kunden um eine SAST-Lösung mit der entwicklerfreundlichen Nutzererfahrung, die wir bei unseren Produkten für Open Source, Container und Infrastructure as Code bieten. 

Anders als herkömmliche SAST-Produkte auf dem Markt, die in erster Linie für Sicherheitsteams entwickelt wurden, um Anwendungen nach der Entwicklung zu testen, verfolgt Snyk Code einen revolutionären, developer-first-Ansatz.  Das Problem mit herkömmlichen SAST-Produkten: Sie funktionieren für Entwicklerinnen und Entwickler nicht. Scans können mehrere Stunden dauern, und die geringe Genauigkeit führt zu vielen Fehlalarmen, deren Nachverfolgung Stunden verschwendet. Dadurch verlieren Entwicklerinnen und Entwickler das Vertrauen in das Tool. Außerdem benötigen sie Sicherheitsexpertise, um die Ergebnisse in konkrete Maßnahmen umzusetzen und die gefundenen Probleme zu beheben. 

Wie die anderen Produkte der Cloud-Native-Application-Security-Plattform von Snyk denkt Snyk Code SAST als Lösung neu, mit der Entwicklerinnen und Entwickler sichere Anwendungen erstellen möchten. 

• Entwicklerfreundlich – Eine entwicklerfreundliche Nutzererfahrung liegt uns in der DNA. So können Entwicklerinnen und Entwickler Software sicher entwickeln, statt lange nach dem Kompilieren des Codes zurückgehen und Probleme beheben zu müssen. Snyk Code ist konsequent auf Entwicklerinnen und Entwickler ausgerichtet: Es funktioniert in den IDEs und SCMs, die sie zum Erstellen und Prüfen von Software verwenden, und liefert aussagekräftige, umsetzbare Ergebnisse, mit denen sich Probleme beheben lassen.

• Echtzeit – Geschwindigkeit ist ein entscheidender Faktor für eine schnelle, agile Entwicklung. Dank der Echtzeitgeschwindigkeit kann die SAST-Lösung während der Arbeit in der IDE und bei Code-Reviews im SCM eingesetzt werden – statt als langsamer, unnötiger zusätzlicher Schritt.  Dank der von DeepCode übernommenen Technologie scannt Snyk Code 10- bis 50-mal schneller als andere SAST-Produkte. Dadurch können Entwicklerinnen und Entwickler das Tool während der Entwicklung nutzen und müssen nicht danach einen langsamen und störenden zusätzlichen Prozessschritt durchlaufen.

• Unübertroffene Genauigkeit – Eines der häufigsten Probleme, von denen wir bei Kunden mit anderen Tools hören, ist die große Zahl an Fehlalarmen. Da wir uns auf Entwicklerinnen und Entwickler konzentrieren, möchten wir relevante, umsetzbare Ergebnisse liefern. Die durch DeepCode ergänzte Engine für semantische Analysen wurde mit der Vulnerability Database von Snyk trainiert und reduziert Fehlalarme auf nahezu null.

Warum developer-first-SAST wichtig ist

Ein reibungsloser, developer-first-Ansatz für SAST als Teil der gesamten Cloud-Native-Application-Security-Plattform von Snyk bietet schnellen Entwicklungs- und Sicherheitsteams zahlreiche Vorteile.

• Höhere Produktivität für Entwickler – Echtzeittests, die in Entwickler-Workflows integriert sind, ermöglichen es, Probleme schnell während des normalen Entwicklungsablaufs zu beheben.  In dieser Phase lassen sich Probleme am einfachsten und mit den geringsten Unterbrechungen lösen. 

• Geringeres Risiko und verbesserte Sicherheitslage – Wird SAST developer-first und mit unübertroffener Genauigkeit umgesetzt, kommt sichererer Code termingerecht zur Veröffentlichung, da weniger Probleme spätere Entwicklungsphasen erreichen. Werden Sicherheitstests erst später im Prozess durchgeführt, kann es zu Abwägungen zwischen Risiko und Nutzen kommen: Die Vorteile der Veröffentlichung neuer Innovationen werden dann gegen das erhöhte Risiko abgewogen, anfällige Anwendungen bereitzustellen. 

• DevSecOps – Moderne Entwicklungsteams setzen DevOps ein, um die allgemeine Geschwindigkeit und Qualität der Software zu steigern. Bleibt die Sicherheit jedoch zurück und ähnelt eher einem Audit- oder Freigabeschritt im Prozess, lassen sich diese Vorteile nicht vollständig ausschöpfen.  Wird Sicherheit in den Prozess eingebettet, kann das Innovationsversprechen von DevOps eingelöst werden.

• Effizienz durch eine einzige Plattform – Der Einsatz verschiedener Tools für unterschiedliche Komponenten einer Cloud-Native-Anwendung – eines für den Code, ein anderes für Open Source und weitere für die Sicherheit von Containern, Kubernetes und Terraform usw. – kostet Zeit und erhöht die Komplexität. Das gilt besonders für Entwicklerinnen und Entwickler, die in der Regel keine Sicherheitsexperten sind.  Mit einem einzigen Tool lassen sich alle diese Elemente moderner Anwendungen sicher entwickeln. So können Entwicklerinnen und Entwickler schnell entwickeln und zugleich sicher bleiben!

Herkömmliche SAST-Tools konnten Entwicklerinnen und Entwickler bisher kaum flächendeckend überzeugen. Snyk Code bietet nun endlich die Möglichkeit, Sicherheitsprobleme im Code einfach, schnell und präzise zu beheben und den gemeinsamen Auftrag von Entwicklungs- und Sicherheitsteams wirksam zu unterstützen: sichere Anwendungen schnell bereitzustellen.

Erfahren Sie mehr über SAST vs. SCA und wie Sie damit sichere Software veröffentlichen können.