Snyk-Watcher: Snyk immer auf dem neuesten Stand halten

Willkommen bei den Snyk API Wednesdays! In dieser neuen Blogreihe zeigen wir, wie unsere Kunden die Snyk API auf unterschiedliche Weise einsetzen. Die Erweiterbarkeit von Snyk und die API ermöglichen es Entwicklern, die Sicherheitsautomatisierung von Snyk an ihre individuellen Workflows anzupassen und so für Konsistenz beim Entwicklererlebnis und bei der Plattform-Governance zu sorgen. Wir freuen uns, die Reihe mit einem neuen Open-Source-Tool namens Snyk-Watcher zu starten. Das Tool wurde vom Product-Security-Team bei Twilio entwickelt, um den Import von Projekten in Snyk im großen Maßstab zu automatisieren.

Dieser Artikel wurde ursprünglich im Twilio Blog veröffentlicht.

Das Product-Security-Team bei Twilio ist für die Absicherung aller von Twilio entwickelten Anwendungen verantwortlich. Wir arbeiten mit den Engineering-Teams zusammen, um Twilio und unsere Kunden zu schützen. Wir nutzen Snyk, eine cloudnative Application-Security-Plattform, damit unser Code in allen Phasen von Design und Deployment sicher ist.

Automatisierung ist der Schlüssel, um Sicherheit im großen Maßstab umzusetzen, denn sie verhindert menschliche Fehler. Durch Automatisierung finden wir mehr Schwachstellen. Snyk scannt Repositories automatisch – vorausgesetzt, Sie haben Snyk mitgeteilt, welche Repositories gescannt werden sollen.

Wir brauchten eine Möglichkeit, Snyk automatisch mit den Projekten in unserem SCM aktuell zu halten, Änderungen zu erkennen – wenn Repositories hinzugefügt, gelöscht oder umbenannt werden – und Snyk automatisch zu konfigurieren.

Wir haben Snyk-Watcher entwickelt, eine GitHub-App, die Webhooks im Main-Branch auf Änderungen an Repositories und Pull Requests überwacht. Wird ein Pull Request in den Main-Branch gemergt, importiert Snyk-Watcher das Projekt zum Scannen in Snyk. Wird ein Repository erstellt, gelöscht oder umbenannt, führt Snyk-Watcher die entsprechende Aktion in Snyk aus. Diese automatisierten Aktionen werden über die Snyk API ermöglicht, mit der sich die verschiedenen Sicherheitsfunktionen von Snyk integrieren und automatisieren lassen.

Sobald Snyk-Watcher in GitHub installiert ist, können Sie die Funktion testen: Fügen Sie dazu ein neues Repository hinzu und prüfen Sie anschließend in den erweiterten Einstellungen der App, ob die Anfrage erfolgreich war. Denken Sie daran, dass Snyk eine Manifestdatei benötigt, um Ihr Projekt und seine Abhängigkeiten zu scannen – zum Beispiel MANIFEST.MF bei Maven oder package.json bei JavaScript-Projekten. Snyk unterstützt immer mehr Programmiersprachen und die dazugehörigen Manifestdateiformate. Erkennt Snyk eine gültige Manifestdatei in Ihrem Projekt, wird das Projekt in Snyk angezeigt.

Mit Snyk-Watcher müssen Sie nicht daran denken, Projekte zu Snyk hinzuzufügen oder daraus zu entfernen. Das geschieht automatisch. Heute stellen wir das Tool als Open Source bereit, damit Sie den Import von Projekten automatisieren und Ihr SCM und Snyk auf dem gleichen Stand halten können.

Weitere Informationen zu den ersten Schritten mit Snyk-Watcher finden Sie in der README hier.