Kostenloses Testen und Überwachen von Schwachstellen in öffentlichen GitHub-Projekten

Wir freuen uns, Ihnen einen kostenlosen Service von Snyk anbieten zu können, mit dem jeder beliebige öffentliche Node.js-GitHub-Repositories auf Schwachstellen testen und anschließend überwachen kann.

Schwachstellentests für Node.js

Um ein öffentliches Projekt auf Schwachstellen zu testen, rufen Sie snyk.io/test auf und geben Sie die URL des GitHub-Repositories ein, das Sie testen möchten. Bei einem npm-Paket geben Sie den Paketnamen ein und optional die Versionsnummer, falls Sie eine bestimmte Version testen möchten.

Anschließend erhalten Sie einen Snyk-Testbericht, aus dem hervorgeht, ob das Paket oder Repository von Schwachstellen betroffen ist. Unsere Testberichte bieten einen Überblick über jede Schwachstelle und erläutern, wie sie in das Paket gelangt ist und wie sie behoben werden kann.

Der Testbericht zeigt Ihnen außerdem alle Abhängigkeiten und anfälligen Pfade (d. h. Abhängigkeiten mit Schwachstellen).

Schwachstellentests mit der Snyk-CLI

Sie können auch mit der Snyk-CLI auf Schwachstellen testen. Neben npm und GitHub unterstützt die Snyk-CLI auch Bitbucket und GitLab.

Installieren Sie Snyk und führen Sie einen Test für ein öffentliches npm-Paket aus (keine Authentifizierung erforderlich). Zum Beispiel:

npm install -g snyk
snyk test ionic@1.6.5

Um ein öffentliches GitHub-, Bitbucket- oder GitLab-Repository zu testen, führen Sie snyk test aus und geben Sie die URL des Repositorys an. Zum Beispiel:

snyk test https://github.com/snyk/snyk

Die folgenden Git-URL-Formate werden unterstützt:

• git://github.com/user/project.git#commit-ish

• https://github.com/user/project#commit-ish

• user/project#commit-ish

Überwachung von Schwachstellen in Node.js

Einmal auf Schwachstellen zu testen ist hilfreich. Sie möchten aber wahrscheinlich auch wissen, ob im Laufe der Zeit neue Risiken hinzukommen. Hier kommt die Überwachungsfunktion von Snyk ins Spiel.

Ein öffentliches GitHub-Projekt überwachen

Nachdem Sie ein öffentliches GitHub-Projekt getestet haben, wählen Sie „Auf Schwachstellen überwachen“ aus. Das Repository wird dann zu Ihren überwachten Projekten in Snyk hinzugefügt.

Hinweis: Für die Überwachung benötigen Sie ein kostenloses Snyk-Konto. Sie können sich für ein kostenloses Konto registrieren.

Ein lokales Projekt überwachen

Installieren Sie das CLI-Tool von Snyk, wechseln Sie in den Ordner Ihres Projekts und führen Sie snyk monitor aus.

Damit die Liste der für Ihr Projekt überwachten Abhängigkeiten auf dem neuesten Stand bleibt, aktualisieren Sie sie regelmäßig, indem Sie snyk monitor in Ihrem Deployment-Prozess ausführen. Weitere Informationen finden Sie in unserer Dokumentation.

Demnächst: Überwachung privater GitHub-Repositories

Wir arbeiten derzeit daran, Ihre privaten GitHub-Repositories automatisch überwachen zu können. Snyk führt bei jedem Check-in eine Sicherheitsbewertung durch, sodass die Informationen zu Ihrem Projekt stets auf dem neuesten Stand sind. Dadurch basieren Warnmeldungen zu neuen Schwachstellen, die Sie betreffen, immer auf Ihren aktuellen Abhängigkeiten. Außerdem erhalten Sie eine Verlaufsansicht mit Commit-Hash, anhand dessen Sie den passenden Code finden können.

Wir freuen uns über Ihr Feedback zu dieser kommenden Funktion unter contact@snyk.io.