SnykLaunch octobre 2024 : expérience PR améliorée, visibilité étendue, sécurité optimisée par l’IA et gestion globale des risques

Après près de dix ans d’activité, nous avons pu observer les transformations spectaculaires du secteur du développement logiciel. Les développeurs jonglent avec plus d’éléments que jamais et s’appuient sur des technologies comme les ressources tierces et les assistants de codage IA pour publier des logiciels sophistiqués dans des délais serrés. Depuis dix ans, nous parlons des liens entre développement et sécurité, mais le débat autour du DevSecOps a considérablement évolué.

Tout d’abord, les équipes de développement ont besoin de solutions qui s’intègrent parfaitement à des environnements toujours plus complexes. Pour être accessibles aux développeurs, les plateformes ne peuvent pas se contenter de proposer des formations ou des interfaces de sécurité conviviales : elles doivent leur donner accès à la sécurité sans les obliger à quitter leurs workflows habituels.

Les équipes de sécurité doivent également réfléchir à la sécurisation des technologies émergentes, comme le code généré par l’IA. Le volume considérable de code produit par l’IA et ses vulnérabilités spécifiques nécessitent de nouvelles techniques. En outre, les équipes de sécurité ont besoin d’une visibilité globale pour évaluer la posture de sécurité de tous ces éléments et prioriser les activités les plus importantes en fonction des risques réels pour l’entreprise. Prioriser les vulnérabilités de manière isolée et selon des scores génériques (par exemple, CVSS) ne suffit plus lorsque tant de facteurs entrent en jeu.

Les dernières versions des produits Snyk répondent à ces défis grâce à de nouvelles méthodes pour obtenir une vue globale de la sécurité des applications, prioriser les risques, répondre aux enjeux du code généré par l’IA et s’intégrer directement aux workflows des développeurs. Découvrez ces nouveautés et regardez la présentation DevSecCon complète à la demande.

Expérience développeur

La sécurité pensée pour les développeurs est au cœur de l’expérience Snyk depuis ses débuts. Nous sommes convaincus qu’il est essentiel, pour les entreprises d’aujourd’hui, de donner aux développeurs les outils nécessaires pour corriger les problèmes de sécurité dans leurs workflows habituels. Toute autre approche ne ferait qu’alourdir leur charge de travail et compliquer la tâche des équipes de développement et de sécurité. Nous continuons aujourd’hui à développer cette idée centrale en proposant des fonctionnalités toujours plus performantes pour améliorer l’expérience développeur. Nos dernières nouveautés comprennent :

Récapitulatif des problèmes dans les commentaires des pull requests

Les pull requests constituent un point de contrôle stratégique dans une démarche de développement sécurisé. Depuis quelque temps déjà, nous proposons des tests de sécurité au niveau des pull requests. Nos améliorations visent à faire gagner du temps aux développeurs et à limiter les changements de contexte. Les pull requests fourniront aux développeurs davantage d’informations et de possibilités d’action directement dans leur plateforme de gestion du code source (SCM), en commençant par un récapitulatif des problèmes de sécurité classés par niveau de gravité.

Modèles de PR personnalisables

Nous proposons désormais de personnaliser le titre et la description des PR, ainsi que le message de commit. Lorsque Snyk corrige ou met à niveau vos projets Open Source et Container, il crée automatiquement des pull requests dans votre dépôt. Vous pouvez maintenant adapter facilement ces PR aux normes et préférences de votre équipe.

Que pouvez-vous personnaliser ?

title

Ajouter un préfixe distinctif, comme « SNYK: »

commit_message

Personnaliser le format du message de commit pour l’adapter aux conventions de votre équipe.

description

Ajouter du contexte, créer un lien vers la documentation pertinente ou inclure une liste de tâches à vérifier.

Vous pouvez personnaliser les modèles de PR à l’aide de notre API ou d’un simple fichier YAML. Les pull requests étant au cœur des workflows des développeurs et un point de collaboration essentiel avec de nombreuses équipes hors du développement, les informations partagées doivent être standardisées et faciles à consulter. Les nouveaux modèles de PR personnalisables de Snyk adaptent les pull requests générées par Snyk aux normes, pratiques et préférences de communication de votre entreprise. Vous pouvez définir le titre et la description, les informations de sécurité à partager, ainsi que les détails des tickets JIRA, pour que vos PR contiennent exactement ce que vos développeurs s’attendent à y trouver.

Visibilité étendue

Nous améliorons également la visibilité dont disposent les responsables sécurité sur la posture de risque de leur entreprise. Avec le lancement de Snyk Analytics, Snyk a étendu ses fonctionnalités de reporting et d’analyse. La solution fournit les outils d’analyse des données et le cadre nécessaires pour mesurer efficacement la maturité de votre programme de sécurité des applications dans toute l’entreprise et comprendre quelles stratégies auront le plus d’impact sur la réduction globale des risques. Snyk Analytics propose :

• Les analyses pour les développeurs, pour comprendre l’adoption de l’approche shift-left au sein des équipes

• Les analyses des problèmes, pour comprendre rapidement votre exposition globale aux risques ainsi que les progrès réalisés pour les résoudre ou les prévenir, en examinant vos indicateurs clés concernant les problèmes critiques et de gravité élevée

• Les analyses des applications, pour suivre les tendances de sécurité, notamment l’état des problèmes ouverts, la couverture des contrôles, les métadonnées des dépôts et les ressources importées

Dans le cadre du lancement de Snyk Analytics, nous annonçons également une intégration avec Snowflake AI Data Cloud, qui permet aux équipes d’intégrer les données analytiques uniques de Snyk sur la sécurité des développeurs à leurs tableaux de bord de veille stratégique. Cette nouvelle intégration permet de consulter les données Snyk prêtes à l’analyse aux côtés des données de sécurité provenant d’autres sources dans Snowflake, afin de prendre des décisions stratégiques et globales en ayant tout le contexte nécessaire.

L’IA partout

L’IA joue déjà un rôle majeur dans les cycles de développement actuels et son adoption ne fera que s’accélérer. Les développeurs ont donc besoin d’outils de sécurité adaptés à la vitesse et au volume auxquels le code généré par l’IA est intégré aux dépôts. Une sécurité qui les ralentit va à l’encontre de l’objectif même de l’IA : accélérer le développement logiciel et gagner un temps précieux. Nous améliorons sans cesse nos offres de sécurité de l’IA, notamment avec les nouveautés suivantes :

Snyk Agent Fix de Snyk Code (désormais disponible)

Désormais, tous les utilisateurs de Snyk peuvent utiliser l’IA pour corriger le code généré par l’IA, afin que les développeurs puissent sécuriser à toute vitesse le code écrit par l’IA. Notre moteur DeepCode AI combine plusieurs modèles d’IA entraînés à partir de données spécifiques à la sécurité et des retours de grands chercheurs en sécurité. Il suit le rythme des technologies émergentes sans en subir les inconvénients. Il offre une précision supérieure à 80 % et s’exécute dans l’IDE en deux clics seulement.

Détection de l’exploitabilité optimisée par l’IA

Nous tirons également parti de l’IA pour détecter l’exploitabilité avec précision. Snyk analyse votre base de code à l’aide des flux de données pour repérer les 7 % de problèmes utilisés par votre application en production, directement ou indirectement. En concentrant les efforts sur les vulnérabilités présentes en production, nous aidons les équipes de sécurité à se focaliser sur les problèmes les plus importants et à réduire le bruit.

Gestion globale des risques liés aux applications

Plus tôt cette année, nous avons renforcé notre approche globale de la gestion des risques de sécurité avec le lancement d’AppRisk Pro. Notre approche fondée sur les risques permet de mieux prioriser les problèmes : les équipes se concentrent sur les corrections les plus importantes tout en réduisant le bruit. Au lieu de fournir des informations isolées sur les vulnérabilités, nous réunissons tout le contexte de l’application, notamment son architecture, son importance pour l’entreprise et son environnement d’exécution.

Voici les dernières évolutions de notre approche pour une gestion globale des risques applicatifs :

Score de risque

Il est tout à fait logique d’intégrer l’exploitabilité à l’évaluation des risques. Toutefois, accorder trop d’importance à ce seul critère peut amener les équipes à se concentrer sur des problèmes qui ne représentent aucune menace réelle ou à passer à côté de problèmes très risqués. Les équipes ont besoin d’une vision plus large de l’application, qui englobe son architecture, sa valeur pour l’entreprise et son état à l’exécution. Le score de risque Snyk rassemble toutes ces dimensions en une seule valeur et évalue les risques en fonction de la probabilité d’exploitation et de l’impact potentiel.

Snyk a apporté des améliorations à son score de risque afin d’offrir aux entreprises une approche plus complète et stratégique de la gestion des risques liés à la sécurité des applications. Cette mise à jour intègre au score de risque Snyk l’analyse de l’exploitabilité optimisée par DeepCode AI, ainsi que d’autres facteurs de risque. Elle détecte les fonctions vulnérables dans les packages open source susceptibles d’être exploitées par le code d’une application, même lorsqu’elles sont référencées indirectement. En étendant la couverture de l’analyse de l’exploitabilité à 90 % des vulnérabilités graves et critiques, Snyk aide les entreprises à traiter les menaces potentielles de façon proactive. En combinant l’exploitabilité avec d’autres facteurs de risque, comme les scores EPSS et la popularité des packages, il devient facile de déterminer quels problèmes représentent les risques les plus importants.

AppRisk Essentials

Nous avons récemment étendu Snyk AppRisk Essentials et ses fonctionnalités de découverte des applications et de gestion de la couverture à tous les clients Snyk Enterprise, sans frais supplémentaires. Ces outils permettent aux équipes de mieux voir les ressources utilisées pour créer leurs applications et de gérer automatiquement, grâce à des politiques, les ressources et leur couverture par Snyk.

Intégrations dans l’écosystème DevSecOps

Nous étendons également de manière significative les fonctionnalités de notre solution de gestion de la posture de sécurité des applications (ASPM), Snyk AppRisk. Tous les utilisateurs d’AppRisk Pro ont désormais accès à de nouvelles intégrations tierces, notamment :

• Les systèmes SCM, notamment GitHub, Bitbucket, Azure DevOps et GitLab

• Les plateformes de développement internes (IDP) et catalogues de services, notamment Backstage, ServiceNow CMDB, Atlassian Compass, Harness et OpsLevel

• Les outils d’observabilité, notamment Dynatrace et Datadog

• Les solutions de sécurité cloud et d’exécution, comme Sysdig, Orca, SentinelOne et Crowdstrike.

Ces nouveaux partenariats permettront aux utilisateurs de disposer d’un contexte applicatif encore plus complet et de continuer à gérer les risques de sécurité avec davantage de précision et d’efficacité.

Regardez les dernières présentations DevSecCon

L’équipe Snyk se réjouit de ces nouveautés en matière de priorisation fondée sur les risques, de sécurité de l’IA et de workflows pensés pour les développeurs. Nous sommes fiers de continuer à aider les équipes à développer rapidement tout en restant protégées.

Pour en savoir plus sur ces améliorations, regardez la présentation DevSecCon complète à la demande.