Priorisez avec la nouvelle expérience Snyk dédiée aux vulnérabilités open source

Il n’est pas toujours facile de déterminer quelles vulnérabilités corriger dans votre application. Sont-elles exploitables ? Sont-elles atteignables ? La mise à jour entraînera-t-elle des changements incompatibles ? D’autres équipes utilisent-elles cette bibliothèque et devez-vous en tenir compte ? À quoi ressemble le backlog si d’autres changements sont nécessaires ?

Et ce n’est que pour cette semaine. La semaine prochaine, tout recommencera : nouvelles découvertes, nouvelles versions et peut-être même une nouvelle faille de cybersécurité.

Jusqu’ici, les échanges et la priorisation entre les équipes AppSec et les développeurs d’applications portaient sur des vulnérabilités individuelles. Vous avez probablement déjà entendu (ou même dit) quelque chose comme :

« Snyk indique que cette bibliothèque présente une vulnérabilité critique. Nous devrions passer à la version recommandée pour la corriger. »

À vrai dire, ce n’est pas une mauvaise façon d’aborder la sécurité des applications. Les équipes doivent chercher à éliminer de leur code les vulnérabilités à haut risque. La plupart des options de personnalisation, des contrôles et des rapports de Snyk reposent sur l’évaluation de chaque vulnérabilité détectée par notre plateforme. Nous encourageons cette approche.

Mais si l’on pouvait envisager la correction autrement ?

Nous avons pensé que c’était possible. C’est pourquoi nous lançons une nouvelle vue par défaut de la liste des vulnérabilités, qui met l’accent sur les bibliothèques plutôt que sur les vulnérabilités individuelles. Vous pouvez ainsi mieux comprendre la valeur globale et l’impact de chaque mise à niveau envisagée.

Quoi de neuf dans l’interface Snyk ?

La nouvelle vue de l’interface Snyk regroupe toutes les vulnérabilités par dépendance et par version corrective. Fini le temps où l’on cherchait simplement à installer la version minimale qui semblait suffisante. Vous disposez désormais d’une véritable analyse coûts-avantages indiquant le nombre de vulnérabilités que chaque mise à niveau permet de corriger.

Nos tests internes ont montré que les développeurs trouvent plus gratifiant de corriger les problèmes depuis cette vue, ce qui les amène à en résoudre davantage sans effort supplémentaire important. Si une mise à niveau d’une seule version mineure vous permettait de corriger trois vulnérabilités moyennes supplémentaires, ne l’envisageriez-vous pas au moins ?

Ce type de discussion n’était tout simplement pas possible avec l’ancienne vue.

Cette nouvelle vue permet également de comparer les mises à jour de bibliothèques afin de maximiser l’impact de votre équipe de développement. Par exemple, si deux bibliothèques présentent des vulnérabilités d’une gravité similaire, mais que la mise à jour de l’une permet aussi de corriger sept autres problèmes, contrairement à l’autre, laquelle choisiriez-vous ? Avant, c’était probablement pile ou face. Vous pouvez maintenant prendre une décision éclairée qui tient compte de la situation dans son ensemble.

Un workflow de PR en constante évolution

Une fois la version cible choisie, Snyk facilite plus que jamais la création d’une PR dédiée. Dans l’ancienne vue, Snyk affichait uniquement une liste complète des vulnérabilités avec des cases déjà cochées, ce qui rendait difficile de comprendre et de personnaliser les changements inclus dans la PR. La nouvelle vue facilite la compréhension et la personnalisation des mises à niveau : un clic confirme la version cible, et un deuxième crée une PR de correction qui référence toutes les vulnérabilités corrigées par la mise à jour. La présence de ces informations directement dans la PR offre une visibilité essentielle aux autres membres de votre organisation.

Essayez-la dès maintenant !

Cette expérience est disponible pour tous les projets Snyk utilisant Maven, .NET, npm, Python, Ruby et/ou Yarn. Pour la découvrir, accédez simplement à un projet de votre organisation. La nouvelle vue regroupée par dépendance s’affichera alors.

Bonne correction !