Lanzamiento de Snyk

¡Me entusiasma anunciar que Snyk ya está disponible!

Snyk te ayuda a encontrar y corregir vulnerabilidades conocidas en tus dependencias de Node.js. Estas fallas de seguridad están documentadas públicamente, por lo que los atacantes pueden rastrearlas y explotarlas fácilmente.

El objetivo de Snyk es que te resulte aún más fácil corregirlas primero. Ten en cuenta que Snyk se centra en corregir los problemas de seguridad; encontrarlos es solo un paso necesario en el proceso.

Hicimos un lanzamiento preliminar de Snyk en la conferencia Velocity hace un mes. Aquí tienes el video de nuestra conferencia magistral, donde se muestra el problema, una demostración de Snyk (aunque fue antes de que agregáramos el asistente) y ¡un exploit en vivo!

Play Video: Stranger Danger: Tracking Vulnerabilities in Your Third Party Code - Guy Podjarny & Assaf Hefetzz

Para proteger un proyecto, instala snyk con npm y ejecuta el wizard de Snyk. El asistente te ayudará a proteger tu proyecto en varios pasos:

• Usa la API de Snyk para comparar tus dependencias con nuestra base de datos de vulnerabilidades de código abierto.

• Ayudarte a comprender y corregir cada problema de seguridad detectado.

• Sugerir las mejores actualizaciones de dependencias directas para cerrar las brechas de seguridad.

• Cuando no haya una actualización disponible, determinar si alguno de los parches de nuestro equipo de seguridad puede corregir el problema.

• Si no hay disponible ni una actualización ni un parche, guardar el estado actual. Te avisaremos cuando haya una nueva forma de corregir el problema.

1$ snyk wizard
2? High severity vulnerability found in bassmaster@1.5.1
3  - info: https://snyk.io/vuln/npm:bassmaster:20140927
4  - from: myapp@0.0.0 > bassmaster@1.5.1 Upgrade
5
6? Low severity vulnerability found in hapi@10.5.0
7  - info: https://snyk.io/vuln/npm:hapi:20151020
8  - from: myapp@0.0.0 > hapi@10.5.0 Ignore
9? [audit] Reason for ignoring vulnerability? Not Exploitable
10
11? Low severity vulnerability found in ms@0.1.0
12  - info: https://snyk.io/vuln/npm:ms:20151024
13  - from: myapp@0.0.0 > mongoose@4.1.12 > ms@0.1.0
14Upgrade to mongoose@4.2.4
15❯ Patch (modifies files locally, updates policy)
16Set to ignore for 30 days
17Skip

Cuando ya no tengas vulnerabilidades, puedes usar snyk test en tus sistemas de CI/CD para evitar publicar software con vulnerabilidades y snyk protect para aplicar parches a las vulnerabilidades que elijas. Al usar snyk monitor, se guardará un registro de las dependencias que usas para que podamos avisarte cuando una vulnerabilidad recién divulgada las afecte. Puedes consultar todos los detalles sobre Snyk y sus comandos en nuestra documentación.

Por último, si creaste un paquete de código abierto, usa Snyk para asegurarte de no distribuir vulnerabilidades a tus usuarios. Cuando sea posible, actualiza las dependencias para corregir estos problemas y usa snyk protect para aplicarles un parche durante postinstall cuando no puedas actualizarlas. Cuando tu paquete ya no tenga problemas de seguridad, agrega una insignia a tu README para indicar que no tiene brechas de seguridad conocidas. Así les demostrarás a tus usuarios que te importa la seguridad y les recordarás que a ellos también debería importarles.

Snyk está en versión beta y te invitamos a probarlo. Si lo usas, comparte tus comentarios con nosotros en @snyksec o escribe a support@snyk.io. ¡Pruébalo y ayúdanos a hacer que el desarrollo y el uso de código abierto sean seguros!