Snyk CLIを使ったコンテナアプリケーションのセキュリティ確保

イメージをスキャンする際は、イメージに含まれるセキュリティ上の問題をすべて把握できるよう、オペレーティングシステムの脆弱性と、npm、pom.xml、package.jsonなどのアプリケーション依存関係の脆弱性の両方をスキャンしたいはずです。

これまで、Snyk Containerのtest/monitorコマンドでイメージをスキャンする際に、アプリケーションの脆弱性をスキャンするには--app-vulnsフラグを指定する必要がありました。

このたび、snyk container test/monitor コマンドで、アプリケーションの脆弱性もデフォルトでスキャンされるようになりました。この変更は近いうちに適用される予定です。適用後にこのブログを更新しますので、新機能を利用するにはSnyk CLIを忘れずにアップデートしてください。記事の最後に記載した手順に沿って、今すぐこの動作を有効にすることもできます。

このアップデートに伴い、--jsonフラグを使用した場合も、アプリケーションの脆弱性が含まれるようになりました。JSON出力に新しいapplicationsキーを追加し、すべてのアプリケーションスキャン結果を配列として含めています。新しいJSON形式は次のようになります。

1{
2  "vulnerabilities": [],
3  "ok": true,
4  "dependencyCount": 13,
5  ...
6  "packageManager": "apk",
7  "summary": "No known operating system vulnerabilities",
8  "uniqueCount": 0,
9  "projectName": "docker-image|snykgoof/os-app",
10  "platform": "linux/amd64",
11  "path": "snykgoof/os-app:node-snykin/os-app",
12  "applications": [
13    {
14      "vulnerabilities": [
15        {
16          A bunch of vulns
17        },
18        ...
19      ],
20      "ok": false,
21      "dependencyCount": 116,
22      "packageManager": "yarn",
23      "summary": "14 vulnerable dependency paths",
24      "uniqueCount": 9,
25      "targetFile": "/app2/package.json",
26      "projectName": "snykin",
27      "displayTargetFile": "/app2/package.json",
28      "path": "snykgoof/os-app:node-snykin"
29    }
30  ]

新しいJSON出力は、CLIバージョン1.962.0で利用できます。

CI/CDパイプラインでのSnyk CLIの使用

継続的インテグレーション／継続的デリバリー（CI/CD）パイプラインにセキュリティスキャンを追加することは、イメージをスキャンしてコンテナを保護する一般的な方法です。また、CI/CDパイプラインとの連携には最終的にSnyk CLIを使用するため、結果に加わるあらゆる変更を把握しておくことが重要です。

この変更はビルドにどのような影響がありますか？

既存のCI/CDワークフローにSnyk Containerのテストを組み込んでいる場合、このアップデートによりスキャンで検出される脆弱性が増える可能性があります。アプリケーションの脆弱性も含まれるようになるためです。

すでに--app-vulnsフラグを使用している場合、スキャンの動作や結果に変更はありません。一方、snyk container testコマンドで--app-vulnsフラグを指定していない場合は、スキャンの動作が変わり、検出される脆弱性が増える可能性があります。以前の動作を維持したい場合は、--exclude-app-vulnsフラグを指定してアプリケーションの脆弱性スキャンを「オプトアウト」できます。このフラグを指定すると、結果からアプリケーションの脆弱性に関するセクションが除外され、以前と同じ動作になります。

CLIの最新バージョンをダウンロードし、できるだけ早く現在の設定でアップデートをテストすることをおすすめします。