GitHubの公開プロジェクト向け無料の脆弱性テストとモニタリング

Snykは、誰でもNode.jsの公開GitHubリポジトリの脆弱性をテストし、その後モニタリングできる無料サービスを提供しています。

Node.jsの脆弱性テスト

公開プロジェクトの脆弱性をテストするには、snyk.io/testにアクセスし、テストするGitHubリポジトリのURLを入力します。npmパッケージの場合は、パッケージ名を入力します。特定のバージョンをテストする場合は、バージョン番号も入力してください。

パッケージやリポジトリに脆弱性があるかどうかを示すSnykのテストレポートが表示されます。各脆弱性の概要に加えて、パッケージにどのように取り込まれたのか、どう対処すればよいのかについても詳しく確認できます。

テストレポートでは、すべての依存関係と脆弱性のある依存関係パスも確認できます。

Snyk CLIによる脆弱性テスト

Snyk CLIを使って脆弱性をテストすることもできます。npmとGitHubに加え、BitbucketとGitLabにも対応しています。

Snykをインストールし、公開npmパッケージをテストします（認証不要）。たとえば、次のように実行します。

npm install -g snyk
snyk test ionic@1.6.5

公開GitHub、Bitbucket、またはGitLabリポジトリをテストするには、リポジトリのURLを指定してsnyk testを実行します。たとえば、次のようになります。

snyk test https://github.com/snyk/snyk

次の形式のGit URLに対応しています。

• git://github.com/user/project.git#commit-ish

• https://github.com/user/project#commit-ish

• user/project#commit-ish

Node.jsの脆弱性モニタリング

一度脆弱性をテストするだけでも役立ちますが、時間の経過とともに新たなリスクが持ち込まれていないかも把握したいものです。そこで役立つのが、Snykのモニタリング機能です。

公開GitHubプロジェクトのモニタリング

公開GitHubプロジェクトのテスト後、「Monitor for vulnerabilities」を選択すると、そのリポジトリがSnykのモニタリング対象プロジェクトに追加されます。

注：モニタリングには無料のSnykアカウントが必要です。無料アカウントに登録できます。

ローカルプロジェクトのモニタリング

Snyk CLIをインストールし、プロジェクトのフォルダに移動して、snyk monitorを実行します。

プロジェクトのモニタリング対象となる依存関係の一覧を最新に保つには、デプロイプロセスでsnyk monitorを実行し、継続的に更新してください。詳しくはドキュメントをご確認ください。

近日公開：非公開GitHubリポジトリのモニタリング

現在、非公開GitHubリポジトリを自動的にモニタリングする機能を開発中です。Snykはチェックインのたびにセキュリティ評価を実行するため、プロジェクトの情報を常に最新の状態に保てます。そのため、新たに見つかった脆弱性が影響するというアラートは、最新の依存関係に基づいて通知されます。また、コードと照合できるコミットハッシュを含む履歴ビューも利用できます。

この新機能へのご意見をcontact@snyk.ioまでぜひお寄せください。