Snyk startet

Ich freue mich, bekannt zu geben: Snyk ist jetzt verfügbar!

Mit Snyk finden und beheben Sie bekannte Sicherheitslücken in Ihren Node.js-Abhängigkeiten. Diese Sicherheitslücken sind öffentlich dokumentiert und können daher von Angreifern leicht aufgespürt und ausgenutzt werden.

Snyk möchte es Ihnen noch leichter machen, die Sicherheitslücken zuerst zu beheben. Snyk konzentriert sich auf die Behebung von Sicherheitsproblemen – ihre Erkennung ist lediglich ein notwendiger Schritt auf dem Weg dorthin.

Vor einem Monat haben wir Snyk auf der Velocity-Konferenz im Rahmen eines Soft Launches vorgestellt. Hier sehen Sie unser Keynote-Video mit dem Problem, einer Snyk-Demo (allerdings noch ohne den Assistenten) und einem Live-Exploit!

Play Video: Stranger Danger: Tracking Vulnerabilities in Your Third Party Code - Guy Podjarny & Assaf Hefetzz

Um ein Projekt abzusichern, installieren Sie snyk mit npm und führen Sie den wizard von Snyk aus. Der Assistent hilft Ihnen dabei, Ihr Projekt in mehreren Schritten abzusichern:

• Verwenden Sie die Snyk-API, um Ihre Abhängigkeiten mit unserer Open-Source-Datenbank für Sicherheitslücken abzugleichen.

• Erfahren Sie mehr über jedes gefundene Sicherheitsproblem und wie Sie es beheben.

• Erhalten Sie Empfehlungen für die besten direkten Abhängigkeits-Upgrades, mit denen sich die Sicherheitslücken schließen lassen.

• Falls kein Upgrade verfügbar ist, wird geprüft, ob eines der security team patches das Problem beheben kann.

• Wenn weder ein Upgrade noch ein Patch verfügbar ist, wird der aktuelle Status gespeichert. Wir benachrichtigen Sie, sobald ein neuer Behebungsweg verfügbar ist.

1$ snyk wizard
2? High severity vulnerability found in bassmaster@1.5.1
3  - info: https://snyk.io/vuln/npm:bassmaster:20140927
4  - from: myapp@0.0.0 > bassmaster@1.5.1 Upgrade
5
6? Low severity vulnerability found in hapi@10.5.0
7  - info: https://snyk.io/vuln/npm:hapi:20151020
8  - from: myapp@0.0.0 > hapi@10.5.0 Ignore
9? [audit] Reason for ignoring vulnerability? Not Exploitable
10
11? Low severity vulnerability found in ms@0.1.0
12  - info: https://snyk.io/vuln/npm:ms:20151024
13  - from: myapp@0.0.0 > mongoose@4.1.12 > ms@0.1.0
14Upgrade to mongoose@4.2.4
15❯ Patch (modifies files locally, updates policy)
16Set to ignore for 30 days
17Skip

Sobald Ihr Projekt frei von Sicherheitslücken ist, können Sie snyk test in Ihren CI/CD-Systemen verwenden, um zu verhindern, dass Sie Sicherheitslücken mit ausliefern, und mit snyk protect die von Ihnen ausgewählten Sicherheitslücken patchen. Mit snyk monitor werden Ihre Abhängigkeiten gespeichert, damit wir Sie benachrichtigen können, wenn eine neu veröffentlichte Sicherheitslücke sie betrifft. Die vollständigen Informationen zu Snyk und seinen Befehlen finden Sie in unserer Dokumentation.

Wenn Sie ein Open-Source-Paket entwickelt haben, können Sie mit Snyk sicherstellen, dass Sie keine Sicherheitslücken an Ihre Nutzer weitergeben. Aktualisieren Sie nach Möglichkeit Abhängigkeiten, um solche Probleme zu beheben, und verwenden Sie snyk protect, um sie mit postinstall zu patchen, wenn kein Update möglich ist. Sobald Ihr Paket keine Sicherheitsprobleme mehr aufweist, fügen Sie Ihrem README ein Abzeichen hinzu, das bestätigt, dass keine bekannten Sicherheitslücken bestehen. So zeigen Sie Ihren Nutzern, dass Ihnen Sicherheit wichtig ist – und dass sie ihnen ebenfalls wichtig sein sollte.

Snyk befindet sich in der Beta-Phase und wir laden Sie alle ein, es auszuprobieren. Wenn Sie Snyk verwenden, teilen Sie uns Ihr Feedback bitte auf @snyksec oder per E-Mail an support@snyk.io mit. Probieren Sie es aus und helfen Sie uns, die Entwicklung und Nutzung von Open Source sicher zu machen!