Agregar seguridad de contenedores e IaC al plugin de Snyk para JetBrains
Georgi Mitev
3 de marzo de 2022
0 minutos de lecturaNos entusiasma anunciar que la seguridad de infraestructura como código (IaC) y de contenedores se suman a la seguridad de código y dependencias de código abierto en el plugin gratuito de Snyk para IDE de JetBrains.
Desde hoy, quienes desarrollan con IDE de JetBrains pueden proteger toda su aplicación con solo hacer clic en un botón. Snyk Security for JetBrains mejora la seguridad del código y reduce el tiempo dedicado a las revisiones manuales, ya que permite encontrar y corregir problemas desde los IDE de JetBrains.
Esto es especialmente importante para los equipos de desarrollo y seguridad que buscan trasladar la seguridad a la izquierda, a manos de quienes desarrollan. Snyk facilita la detección y corrección tempranas de problemas de seguridad al integrar la seguridad de forma nativa en los IDE de JetBrains y ofrecer orientación de corrección en línea con el código. Así, el código, los contenedores y las configuraciones son más seguros desde el momento de su creación.
Como señalamos en nuestro artículo anterior, Programación segura con el plugin de Snyk para IDE de JetBrains, el plugin de Snyk ofrece seguridad para código personalizado, dependencias de código abierto, contenedores e IaC en todos los IDE de JetBrains.
Plugin de Snyk para JetBrains
La familia de IDE de JetBrains goza de gran reconocimiento por su enfoque en la productividad de quienes desarrollan. Cuenta con plugins para todos los aspectos del desarrollo de software, desde la calidad y precisión del código hasta las herramientas de seguridad del código.
El plugin de Snyk para JetBrains aborda todos los aspectos de la seguridad de tu aplicación, incluidos:
Vulnerabilidades de seguridad en dependencias de código abierto (Snyk Open Source).
Vulnerabilidades de seguridad y problemas de calidad del código propio (Snyk Code).
Problemas de configuración en tu infraestructura como código, como Terraform, AWS CloudFormation, Kubernetes y Azure Resource Manager (ARM) (Snyk IaC)
Vulnerabilidades de seguridad en las imágenes de contenedor detectadas en archivos de cargas de trabajo de Kubernetes (Snyk Container)
Además de las pruebas de seguridad de código abierto, código, contenedores e IaC, podrás consultar la información de Snyk Advisor para evaluar la calidad del código al revisar los archivos de manifiesto.
Empezar es muy sencillo.
Instala el plugin de Snyk para JetBrains
Conecta tu cuenta gratuita de Snyk
Empieza a proteger tu código en tu IDE de JetBrains
Detección y corrección de errores de configuración de IaC
La seguridad de IaC del plugin de Snyk para JetBrains identifica problemas de configuración en tu código de Terraform, Kubernetes, AWS CloudFormation y Azure Resource Manager (ARM) en cada análisis. El análisis, basado en la CLI de Snyk, es rápido y práctico para el desarrollo local. Tu privacidad está protegida: los archivos de configuración nunca se envían ni se cargan en los servidores de Snyk.
Hagamos un análisis rápido y veamos de cerca lo que nos ofrece un análisis de IaC:
Haz clic en cualquier problema de IaC del árbol de resultados para ir directamente a la línea de código donde aparece. Para ayudarte a enfocarte primero en los problemas de mayor riesgo, cada uno está marcado con un ícono de gravedad —alta, media o baja— que facilita la priorización.
Por último, para que puedas comprender y corregir rápidamente el problema de fondo, el plugin de Snyk te indica:
Descripción: cuál es el error de configuración
Impacto: cómo se podría aprovechar el error de configuración
Ruta: en qué ruta del árbol aparece el problema.
Corrección: cómo solucionar el problema.
Referencias: dónde puedes investigar más en diversas fuentes.
Ignorar: Si necesitas ignorar el problema, también puedes hacerlo: hay un botón para ello en la esquina superior derecha.
Millones de correcciones se han aplicado de forma rápida y precisa siguiendo las recomendaciones de Snyk. Sin embargo, si algo no te queda claro, no dudes en contactarnos; con gusto lo revisaremos.
Ahora que ya corregimos los errores de configuración de IaC, veamos las vulnerabilidades de las imágenes de contenedor.
Detección y corrección de vulnerabilidades en imágenes de contenedor
La seguridad de contenedores del plugin analiza archivos de configuración de Kubernetes y busca imágenes de contenedor. Detecta vulnerabilidades rápidamente mediante las imágenes extraídas y un análisis comparativo con la información más reciente de la Base de datos de vulnerabilidades de Snyk Intel.
El resultado es una lista de vulnerabilidades de seguridad de las imágenes que planeas ejecutar en tus clústeres, con recomendaciones para actualizar las imágenes base cuando corresponda:
Puedes revisar cada una de las vulnerabilidades de seguridad a las que podría estar expuesta tu imagen. Además, quiero destacar un par de funciones importantes:
Observa la colorida tabla comparativa de arriba, con distintos niveles de gravedad (crítica, alta, etc.). Ordenada por gravedad, muestra la diferencia entre las vulnerabilidades de la imagen actual y las de la imagen recomendada por Snyk con las mismas características. Esto te ayuda a decidir si quieres actualizar tu imagen a la recomendada y a tener más confianza en la imagen que ejecutas en producción.
Si quieres actualizar la imagen, también puedes hacerlo al estilo de JetBrains mediante la función de corrección rápida:
Además, una integración más profunda con el mecanismo de anotaciones de JetBrains muestra los problemas de IaC y contenedores en la pestaña de problemas, para que tengas más visibilidad y una mejor experiencia.
Instala el plugin de Snyk en JetBrains
Primero, abre JetBrains y ve a Preferences > Plugins desde tu IDE.
Busca “Snyk” en JetBrains Marketplace y haz clic en Install. En unos segundos, el panel del plugin de Snyk aparecerá en la barra lateral.
Sabrás que el plugin está instalado cuando veas la simpática cara de Patch, el perro.
Conecta el IDE de JetBrains con Snyk
El siguiente paso es autenticarte y conectar Snyk con tu IDE.
Haz clic en el botón Test code now. Se abrirá la aplicación web de Snyk, donde podrás autenticarte e iniciar sesión en tu cuenta gratuita de Snyk. Puedes crear tu cuenta de Snyk aquí o iniciar sesión en una cuenta existente desde esta ventana.
Después de autenticarte, vuelve al IDE. El análisis se habrá iniciado automáticamente:
Lo que sigue para el plugin de Snyk para IDE de JetBrains
Con la incorporación de Snyk IaC y Snyk Container, ahora puedes acceder a toda la potencia de Snyk con solo hacer clic en un botón. Puedes analizar dependencias de código abierto, código propio, las imágenes de contenedor que ejecutas en producción y la infraestructura como código que usas para ejecutar esas imágenes.
Snyk es una organización de seguridad para desarrolladores, y los IDE son una de las formas en que trasladamos la seguridad a la izquierda. En 2021, construimos una base sólida para que pudieras usar Snyk en tu IDE favorito. En 2022, te ofreceremos toda la potencia de Snyk para proteger tus aplicaciones desde el IDE de la forma más sencilla para quienes desarrollan. ¡Mantente al tanto y nos vemos pronto!
Protege la infraestructura desde el origen
Snyk automatiza la seguridad y el cumplimiento de IaC en los flujos de trabajo, y detecta recursos con desviaciones de configuración y recursos faltantes.
