El recorrido de Snyk en AppSec durante 2022

Después de un cierre de 2021 intenso y turbulento, con Log4Shell en la mente de todos, Snyk arrancó el año con fuerza y comenzó a ofrecer nuevas capacidades al mundo de AppSec que estuvieron a la altura de las expectativas. En este blog, puedes repasar la mayoría de las principales inversiones que hicimos en 2022 para mejorar el rendimiento, agregar nuevos ecosistemas y dar soporte a las empresas.

Escala, rendimiento y disponibilidad

¡Snyk ha tenido un crecimiento extraordinario! En 2022, vimos un aumento de más del 600 % en la cantidad de proyectos protegidos por Snyk Code y un crecimiento del 500 % en los proyectos supervisados por Snyk Open Source. Gracias por confiar en Snyk para ayudar a proteger tus aplicaciones. Esa confianza nos impulsa a seguir adelante.

Snyk sigue creciendo de forma exponencial. En 2022, tomamos medidas para prepararnos. Por ejemplo, rediseñamos el mecanismo de Snyk Code que comunica el cliente con el motor de análisis. En esencia, el motor de análisis consta de dos partes: un servidor de archivos que recopila todos los archivos necesarios del repositorio y de la versión que se analizará, y un servidor de análisis que transmite el código fuente desde el servidor de archivos y devuelve los resultados del análisis. Snyk Code es extremadamente rápido, pero la mayor parte del tiempo de un análisis se invierte en la primera parte del proceso. Cualquier optimización en este paso beneficia directamente al usuario.

Mejoramos la arquitectura del servidor de archivos y la colaboración entre este y el servidor de análisis para aumentar el rendimiento y la estabilidad. Por ejemplo, los monorrepositorios grandes —aplicaciones alojadas en un único repositorio de gran tamaño— representan un desafío para los sistemas SAST, ya que deben copiar grandes volúmenes de datos para ofrecer un análisis útil. La nueva versión del motor de Snyk Code incorporó mejoras importantes y puede analizar con rapidez y precisión incluso los monorrepositorios más grandes. Además, no tienes que hacer nada para aprovechar el nuevo motor de Snyk Code: se usará automáticamente de ahora en adelante.

Otra mejora interesante es que el nuevo motor de Snyk Code analiza las interacciones entre archivos y va más allá de los dos archivos. Snyk Code puede seguir el flujo de datos de una aplicación a través de distintos archivos y detectar problemas que abarcan grandes partes de la aplicación. Esto es especialmente importante para quienes usan lenguajes como C# o Java, que suelen utilizar archivos con estructuras muy anidadas.

Snyk Code ya cambió las reglas del juego en el mundo de SAST: funciona entre 10 y 50 veces más rápido que otras herramientas. Estas optimizaciones y mejoras del motor realizadas en 2022 siguen impulsando Snyk Code y ponen todo el potencial de las capacidades SAST de Snyk al alcance de los desarrolladores en cada etapa del SDLC.

En 2023 lanzaremos más funciones basadas en este nuevo motor, pero esta mejora es un regalo para empezar bien el año que viene. No te pierdas las novedades.

Nuevos ecosistemas

Maven

En marzo, lanzamos una nueva versión del mecanismo de resolución de dependencias para proyectos Maven SCM, que mejoró significativamente la precisión del grafo de dependencias que Snyk detecta en los proyectos Maven importados desde Git. Los usuarios encontraron paquetes y versiones más precisos en sus proyectos Maven. Por ejemplo, al usar frameworks como Spring Boot y Jackson, que utilizan dependencyManagement en archivos POM de Bill of Materials para administrar versiones. Además, el nuevo resolvedor es más eficiente que el método anterior, por lo que los proyectos deberían analizarse más rápido y con muchas menos probabilidades de que se agote el tiempo de espera.

C/C++

Abril fue un mes emocionante para Snyk Open Source: completamos la primera integración técnica derivada de la adquisición de FossID que realizamos el año anterior. Gracias a esta adquisición, agregamos la capacidad de encontrar bibliotecas de código abierto no administradas para C y C++. Esta es la primera de muchas funciones nuevas para este ecosistema, pero ya comenzamos a generar un impacto en el mundo donde el software se une al hardware, ámbito en el que se usan principalmente estos lenguajes. Son los lenguajes base de la mayoría de las aplicaciones y más de 6 millones de desarrolladores programan con ellos todos los días. También agregamos compatibilidad con el análisis de dependencias de C y C++ en la mayoría de nuestras integraciones de IDE existentes, como JetBrains, Visual Studio Code y Visual Studio. Esto es fundamental para los desarrolladores que quieren encontrar y corregir problemas de seguridad antes de enviar el código a la rama.

Nexus

En julio, el equipo de Snyk Open Source lanzó una integración con Nexus Repository Manager 3.x. Esta nueva integración ofrece funciones similares a las de la integración anterior con Artifactory. Una vez configurada, permite que Snyk resuelva todas las dependencias directas y transitivas de los paquetes alojados en Nexus al analizar proyectos Maven importados desde Git, para calcular grafos de dependencias más completos y precisos. Snyk también usa esta integración para acceder a dependencias privadas al crear solicitudes de extracción o de fusión y actualizar archivos de bloqueo de npm/yarn con las URL correctas. La integración está disponible en los planes Enterprise.

Gradle

Aunque el 33 % de los usuarios de Snyk ya analizaba proyectos de Gradle 7 correctamente, todavía no ofrecíamos compatibilidad oficial. Eso cambió. Snyk Open Source ahora es compatible oficialmente con Gradle 7 (y todas sus versiones menores) en Snyk CLI. Los clientes ya pueden ejecutar con confianza snyk test y snyk monitor en estos proyectos y ver el panorama completo de sus dependencias, vulnerabilidades y uso de licencias.

Go

En septiembre, mejoramos significativamente la tasa de coincidencia de licencias de Snyk Open Source en los análisis de Golang con CLI. En estos análisis, los clientes encontraron muchas menos dependencias sin información de licencia; ahora, en cambio, las dependencias tienen asignada la licencia correcta. El grado de mejora varía de un proyecto a otro. En un proyecto de código abierto de Golang que analizamos, la cobertura de licencias pasó del 6 % al 93 % de las dependencias. Esto representa un gran avance para este ecosistema.

Y esto no termina aquí

En 2022, seguimos ampliando Snyk Code para comunidades como PHP, Go, Ruby y APEX. Agregamos lenguajes a una beta cerrada de Snyk Code y estamos trabajando con los clientes seleccionados para probarla. También preparamos otros lenguajes para que pronto entren en beta cerrada. Tenemos una larga lista de nuevos lenguajes y ecosistemas en espera de disponibilidad general para 2023. En Snyk Code, usamos aprendizaje automático guiado por personas con un conjunto de entrenamiento de entre 120 000 y 150 000 proyectos de código abierto por lenguaje. Aprendemos del conocimiento de la comunidad global de código abierto.

Snyk AppSec para empresas

En 2022, Snyk también se enfocó en trabajar con grandes empresas. El enorme tamaño y la diversidad de tecnologías, situaciones y antigüedad de los proyectos representan un desafío tanto para los desarrolladores y profesionales de seguridad como para los equipos directivos.

Además de los ecosistemas nuevos y mejorados que mencionamos antes, nuestro equipo de plataforma también se dedicó a hacer que usar e implementar Snyk fuera increíblemente sencillo. Desde una experiencia de usuario renovada hasta informes muy potentes y opciones de implementación en instancias de un solo inquilino, ofrecemos a nuestros clientes empresariales superpoderes de AppSec.

Snyk Code también llegó al ámbito empresarial. Por ejemplo, batimos constantemente nuestros propios récords internos de cantidad de proyectos que podemos importar automáticamente a Snyk Code de una sola vez, a medida que incorporamos entornos de clientes cada vez más grandes. Hablamos de bastante más de 20 000 proyectos en una noche. Un cliente nos contó que intentó implementar una solución SAST alternativa durante seis meses. No logró que se analizara automáticamente ni un solo proyecto, se dio por vencido y vino a hablar con nosotros.

Para los clientes empresariales, fueron importantes los cambios en Code Agent y Snyk Broker. Code Agent es un componente que permite a Snyk Broker conectar sistemas de administración de versiones de código autohospedados con Snyk SaaS. Para las organizaciones grandes que administran su propio código fuente, es una forma rápida, sencilla y segura de usar Snyk Code como SaaS, sin instalar ni mantener servidores locales.

Además, ahora los datos de Snyk Code están disponibles en los informes. Esto te permite analizar en detalle los CWE individuales de tus proyectos para ver cuándo se introdujeron, o ir directamente al archivo de origen con un solo clic.

Por último, aunque no menos importante, durante todo 2022 trabajamos en un tema clave: la seguridad de la cadena de suministro de software. Snyk Open Source redobló sus esfuerzos, apoyándose en su larga trayectoria de ayuda a los desarrolladores para encontrar y corregir problemas en sus dependencias de código abierto, y lanzó compatibilidad para crear y analizar formatos modernos de SBOM, como CycloneDX y SPDX.

Rumbo a 2023

Como puedes ver, Snyk amplió sus capacidades en el ámbito de AppSec con muchas novedades. En Snyk, nos enorgullece responder rápidamente a las solicitudes de los clientes, y la lista anterior lo demuestra. Para 2023, tenemos por delante una hoja de ruta ambiciosa y desafiante. Seguiremos invirtiendo en iniciativas que comenzamos en 2022, como C/C++ y el ámbito empresarial. También tenemos nuevas ideas en el radar para que Snyk siga siendo el socio de seguridad de aplicaciones innovador, ágil y confiable que es hoy, porque el mundo de la ciberseguridad no se detiene.

Los equipos detrás de la solución AppSec de Snyk —investigación, desarrollo, ingeniería de seguridad, gestión de productos, soporte, tecnología de campo, ventas y marketing— queremos agradecerte la confianza que depositas en Snyk y los valiosos comentarios que nos has compartido. Te deseamos un 2023 exitoso y sin incidentes de seguridad. Estaremos aquí para ayudarte a lograrlo.