SnykLaunch juin 2023 : Insights et DeepCode AI accélèrent la correction et la priorisation

À l’approche du second semestre 2023, les équipes de sécurité et de développement constatent toutes deux des changements majeurs dans le domaine de la sécurité des applications. Les pratiques DevOps continuent d’évoluer : les développeurs intègrent du code toujours plus rapidement et, avec l’aide de l’IA, les développeurs de tous horizons peuvent créer du code plus vite que jamais. En outre, les applications ne se composent plus uniquement de code propriétaire et de dépendances tierces. Une seule application est désormais liée à un vaste écosystème d’environnements cloud, de conteneurs (et d’images de base tierces) et d’orchestration automatisée des conteneurs.

Ces nouveaux niveaux de rapidité et de complexité génèrent davantage de bruit à chaque étape du cycle de développement. Il est plus difficile que jamais pour les développeurs et les professionnels de la sécurité de repérer et de prioriser les risques réels pour l’entreprise. Trop de vulnérabilités sont priorisées en silos : les problèmes SAST dans un silo, les dépendances tierces dans un autre, les problèmes liés aux conteneurs dans un troisième, et ainsi de suite.

Lors du SnykLaunch de ce mois-ci, Manoj Nair, Chief Product Officer, et Pat Poels, SVP Engineering, ont expliqué comment ces changements compliquent plus que jamais la gestion de la sécurité des applications pour les développeurs et les professionnels de l’AppSec.

Pour répondre à l’évolution des pratiques de sécurité des applications, Snyk lance de nouvelles fonctionnalités qui accélèrent et simplifient la détection, la priorisation et la correction des problèmes. Les développeurs et les professionnels de la sécurité peuvent ainsi consacrer davantage de temps à collaborer pour créer des applications sécurisées dès le départ, et moins de temps à traiter un nombre considérable de problèmes. Nous avons annoncé cinq de ces nouvelles fonctionnalités lors du SnykLaunch du 7 juin :

• Snyk Agent Fix, qui propose aux développeurs une correction des problèmes de code directement dans leur IDE.

• DeepCode AI Search, qui exploite la puissance de l’IA pour permettre aux équipes de sécurité et de développement de rechercher des motifs sémantiques dans leur code plutôt que de simplement faire correspondre des jetons de langage, puis d’enregistrer leurs recherches comme règles personnalisées utilisables par Snyk Code.

• Insights, une nouvelle fonctionnalité de la plateforme Snyk qui permet aux équipes AppSec de visualiser le cycle de vie complet d’une application, du code au cloud, et de prioriser les problèmes en fonction de facteurs de risque qui dépassent les silos individuels des rapports de vulnérabilités.

• De nouvelles fonctionnalités pour la gestion des SBOM pensée pour les développeurs, notamment des options d’exportation étendues et un nouveau projet open source pour enrichir les SBOM.

• Une version enrichie de Snyk Learn, notre plateforme gratuite de formation à la sécurité pour les développeurs, avec un nouveau partenariat avec la NYU Tandon School of Engineering, un alignement sur le référentiel NIST NICE Workforce Framework pour la formation en cybersécurité et de nouvelles fonctionnalités de suivi des progrès et d’obtention de certificats.

Corriger les vulnérabilités du code avec DeepCode AI

Lors de la première partie du SnykLaunch de juin 2023, Noa Moshe, Product Manager, a présenté notre moteur d’IA propriétaire : DeepCode AI. Cette technologie est au cœur de Snyk Agent Fix, la prochaine évolution de nos produits Snyk Code et Open Source. DeepCode AI propose des corrections de sécurité directement dans l’IDE du développeur, qui peut appliquer le changement suggéré en un seul clic. Les corrections de code qui demandaient auparavant du temps de recherche, de triage et de réflexion ne prennent désormais que quelques secondes. Elles évitent également aux développeurs l’effort mental nécessaire pour appliquer chaque changement manuellement.

Nous veillons à ce que les corrections suggérées par DeepCode AI soient fiables, afin que les développeurs puissent les appliquer d’un simple clic. Nous avons entraîné son réseau neuronal sur des millions de lignes de code, à partir de grandes quantités d’informations linguistiques non structurées issues de projets open source sur le Web. Chaque correction proposée cible une vulnérabilité précise et est validée pour confirmer qu’elle résout le problème sans en introduire de nouveaux, avant d’être présentée au développeur.

DeepCode AI Search et les règles personnalisées de Snyk Code

DeepCode AI est également à la base de la nouvelle fonctionnalité de règles personnalisées de Snyk Code. Lors du SnykLaunch, Frank Fischer, Technical Product Marketer, a présenté cette fonctionnalité et montré comment DeepCode AI aide les équipes à rechercher rapidement les problèmes dans leur code grâce au moteur sémantique de DeepCode, plutôt qu’à une simple correspondance lexicale des jetons. Les recherches peuvent ensuite être enregistrées sous forme de règles personnalisées et utilisées partout où Snyk Code intervient pour détecter les motifs de code recherchés par les équipes AppSec.

Frank a par exemple présenté un extrait de code dans lequel une injection SQL avait été détectée. Toutefois, dans cet exemple, l’équipe de développement utilise effectivement un assainisseur personnalisé pour prévenir ce type d’attaque. Comme cet assainisseur est propre à l’entreprise, les outils SAST ne seraient pas en mesure de le détecter. Frank a montré comment DeepCode AI peut repérer ce motif de flux de données et créer une règle qui détecte correctement cet assainisseur personnalisé. Et comme elle s’appuie sur le moteur sémantique de DeepCode, la règle fonctionne avec tous les motifs de flux de code, au lieu d’être limitée à un ordre précis de jetons de langage, propre à une seule équipe ou, dans ce cas, à JavaScript.

Ces règles personnalisées détectent bien plus que des motifs de sécurité : les équipes d’ingénierie peuvent aussi s’en servir pour vérifier que le code respecte des normes de qualité précises. Cette nouvelle fonctionnalité permet de créer et de gérer ces règles facilement et rapidement, en éliminant les faux positifs et les faux négatifs, ainsi que les alertes inutiles qui les accompagnent.

De nouvelles fonctionnalités pour la gestion des SBOM pensée pour les développeurs

Ryan Searle, Staff Product Manager, a ensuite annoncé de nouvelles fonctionnalités de gestion des SBOM ainsi qu’un nouveau projet open source destiné à la communauté de la sécurité de la chaîne logistique logicielle.

Tout d’abord, il a annoncé de nouvelles API pour la chaîne logistique : l’une pour générer des SBOM, l’autre pour récupérer les informations sur les vulnérabilités de paquets individuels. Ces deux API sont désormais disponibles. Cette API SBOM à point de terminaison unique rassemble les dépendances tierces des projets open source ou de conteneurs dans une nomenclature logicielle complète, au format CycloneDX ou SPDX.

Nous lançons également un outil open source d’enrichissement des SBOM appelé parlay. Cet outil CLI enrichit les SBOM avec des métadonnées supplémentaires, comme une description générale, des informations de version, les détails de licence, les informations sur les vulnérabilités correspondantes issues de Snyk, et bien plus encore. Cette vue d’ensemble de chaque composant permet aux développeurs et aux équipes de sécurité de comprendre et de valider pleinement le contenu de leurs applications, et même de vérifier le respect des politiques. À mesure que nous faisons évoluer cet outil, nous invitons toutes les personnes souhaitant l’essayer ou y contribuer à télécharger parlay.

Insights : mieux comprendre les risques liés aux applications

Dans cette partie du SnykLaunch de juin 2023, Daniel Berman, Product Marketing Director, et Ben Laplanche, Product Management Director, ont annoncé Insights. Cette nouveauté de la gamme de produits Snyk se concentre sur la priorisation des vulnérabilités et rassemble en un seul endroit des informations contextuelles détaillées sur chacune d’elles, afin d’aider les équipes à mieux prioriser les corrections de sécurité.

Notre fonctionnalité Insights (dont la version bêta sera lancée le mois prochain) répond directement à un problème majeur pour la plupart des équipes de développement et AppSec : la difficulté à prioriser le grand nombre de problèmes accumulés dans leurs backlogs, sans bien comprendre les risques qu’ils représentent pour l’entreprise. Aujourd’hui, de nombreuses équipes adoptent une approche cloisonnée pour le triage et la priorisation : elles utilisent le SAST pour prioriser les problèmes de code, le SCA pour les problèmes liés à l’open source, et ainsi de suite. Elles s’appuient aussi largement sur la gravité technique et théorique d’un problème, sans examiner d’autres informations contextuelles. Cette approche complique la priorisation, car dans la réalité, les problèmes n’existent pas en silos : ils s’inscrivent dans le contexte très complexe et dynamique des applications modernes.

Insights relève ces défis en rassemblant des données issues de toute la plateforme Snyk pour créer un modèle à 360° de l’application. Un graphe visuel représente les problèmes, les composants de l’application et le contexte de son déploiement et de son utilisation en production. Les équipes de sécurité disposent ainsi d’une vue d’ensemble de l’application pour mieux évaluer le risque associé à un problème et aider les développeurs à mieux comprendre son impact potentiel et les étapes de sa résolution.

Pour en savoir plus sur Insights et découvrir comment cette fonctionnalité permet une priorisation plus efficace, fondée sur les risques, consultez l’article d’annonce.

SnykLearn : une ressource gratuite et complète pour se former à la sécurité

Pour conclure le SnykLaunch de ce mois-ci, Michael Biocchi, Senior Content Manager, a présenté Snyk Learn, notre plateforme gratuite de formation à la sécurité qui aide les développeurs à renforcer leurs compétences en programmation sécurisée et permet aux administrateurs et aux équipes de sécurité de maîtriser la plateforme Snyk grâce à des cours en ligne et des ateliers animés par des formateurs.

Dans le cadre de notre objectif d’améliorer la formation des développeurs à la sécurité, SnykLearn s’est associé à la NYU Tandon School of Engineering pour créer un parcours d’apprentissage personnalisé pour ses étudiants et d’autres développeurs en devenir. Cette offre unique leur permet de commencer leur formation à la sécurité et d’entrer sur le marché du travail avec des compétences essentielles et un badge prestigieux du secteur.

Nous avons également annoncé que Snyk Learn est désormais aligné sur le NIST NICE Workforce Framework, témoignant de notre engagement à proposer aux développeurs une formation complète et standardisée en cybersécurité. La formation est essentielle pour préparer la prochaine génération de professionnels de la cybersécurité. Nous vous invitons à découvrir nos ressources gratuites, notamment des formations sur toutes les nouvelles fonctionnalités annoncées aujourd’hui, sur Snyk Learn.

Quelle est la prochaine étape pour Snyk ?

Cette année, notre objectif principal est de permettre la gestion de la posture de sécurité des applications (ASPM) de bout en bout. Ces nouveautés sur notre plateforme, ainsi que les fonctionnalités à venir d’ici la fin de l’année, vous aideront à mieux :

• Gérer votre posture de sécurité en définissant, administrant et suivant des normes de gouvernance.

• Explorer vos applications dans leur ensemble en les modélisant du code source au cloud.

• Gérer les risques et la remédiation grâce à des outils qui réduisent le bruit et priorisent d’abord les problèmes les plus risqués.

• Adapter l’expérience des développeurs à vos besoins en matière de sécurité.

Pour en savoir plus sur nos nouvelles fonctionnalités, regardez la présentation du SnykLaunch du 7 juin 2023 à la demande.