GitHub、Bitbucket、GitLab向け.NETサポートを開始

このたび、.NETのソースコード管理をサポートすることを発表します。本日より、SnykはGitHub、GitLab、Bitbucketから離れることなく、.NETプロジェクトを直接インポート、スキャン、監視できるようになりました。

Snykは、開発者がオープンソースコードを安全に保てるよう支援することに取り組んでおり、Snykのエコシステムを拡大し、対応するプログラミング言語を継続的に増やすために尽力しています。今回のリリースにより、.NETへの対応が加わります。.NETはこれまでCLI経由で利用でき、プロジェクトをローカルでテストしたり、CIプロセスの一部として使用したりできました。

新機能の概要

本日より、開発者はGitHub、BitBucket、GitLabから.NETプロジェクトをSnykに簡単にインポートし、テストして、監視できるようになりました。

インポートしたプロジェクトは、ターゲットフレームワークごとに分割されます。これにより、アプリ上で各パッケージが使用されている理由や、修正方法を明確に確認できます。プロジェクトをインポートすると、アプリがサポートする各ターゲットフレームワークについて、Snykプロジェクトが作成されます。該当するターゲットフレームワークに注目して、開発者は結果を分析し、トリアージを開始できます。

次の画像は、.NETプロジェクトをインポートし、サポート対象のターゲットフレームワークごとに分割する方法を示しています。

プロジェクトをインポートすると、Snykは直接依存関係と推移的依存関係を含む、完全な構造の依存関係ツリーを作成します。これにより、開発者は各脆弱性がどの経路で持ち込まれたかを特定できます。ツリーはターゲットフレームワークごとに作成されるため、開発者はコード内で直接・間接的に使用されているパッケージとバージョンをより深く把握できます。

次の画像は、.NET Coreプロジェクトの依存関係ツリーを示しています。

ツリーが完成すると、脆弱性データベースを使ってプロジェクトの脆弱性をテストします。このデータベースには、NuGetに特化した包括的なデータが収録されています。脆弱なパッケージが見つかった場合は、該当するパッケージを正確にお知らせします。

初回テストの後も、お客様の設定に基づいてプロジェクトを継続的に監視します。これにより、使用中の既存パッケージに関連する新たな脆弱性からコードを保護できます。新たに関連する脆弱性が発見された場合や、新しいプルリクエストを通じて脆弱性が持ち込まれた場合は、お知らせします。

今後の予定

本日の発表は、.NETコミュニティ向けのサービス拡充に向けたSnykのロードマップの第一歩です。今後は修正機能の追加、スキャン可能なファイル形式の拡大、Azure Reposとのインテグレーションを予定しています。

新機能の使い方について詳しくは、.NETサポートドキュメントをご覧ください。

いつもご利用いただきありがとうございます。皆様のご意見を大切にしており、ぜひフィードバックをお寄せください。

ご質問やご意見は、support@snyk.ioまでお気軽にお寄せください。

安全な開発を！