Snyk fix：Snyk CLIによる脆弱性の自動修正

Snyk CLIに、脆弱性の検出と修正をこれまで以上に簡単にする新しいコマンドsnyk fixのオープンベータ版が登場しました。

Snyk CLIはすでに非常に汎用性が高く強力なツールです。開発者はこれを活用し、ローカルの開発環境で手動で、またはCI/CDパイプラインの一環として自動で、プロジェクトの脆弱性を検出して修正できます。

snyk testを実行すると、プロジェクトがスキャンされ、検出されたすべての脆弱性の一覧が表示されます。脆弱性を修正できる依存関係のアップグレード方法がある場合、Snyk CLIはその推奨事項に加えて、アップグレード方法と脆弱性の修正に必要な情報を提示します。

新しいsnyk fixコマンドは、推奨事項を自動で適用し、さらに一歩進んだ対策を実現します。ローカルの開発ワークフローで修正をすばやく適用したい開発者や、CI/CDの一環として修正を自動化したい方に特に便利です。

詳しく見ていく前に、利用可能な環境とサポート対象のエコシステムについて、いくつかお知らせします。

• snyk fixコマンドはオープンベータ版のため、使用中に問題が発生する可能性があります。

• 現在サポートされているのは、Pip、Pipenv、Poetryを使用するPythonプロジェクトのみです。詳しくはsnyk fixのドキュメントをご覧ください。

さっそく始めましょう。

Snyk CLIをセットアップする

まず、Snyk CLIがインストールされていることを確認してください。すでに使い慣れていてインストール済みの場合は、バージョンがv1.715.0以降であることを確認しましょう。

Snyk CLIのセットアップは簡単です。npmまたはHomebrewを使ってすばやくインストールし、Snykアカウントで認証するだけです（まだアカウントをお持ちでない場合は、こちらから無料で登録できます）。

1npm install -g snyk
2snyk auth

CLIの認証を求める画面がブラウザーで開きます。認証を完了してください。これで、Snyk CLIを使ってプロジェクトの脆弱性をスキャンする準備が整いました。

まずはSnyk CLIを実行してテストしてみましょう。ここでは、PyGoatプロジェクトのこちらのフォークを使用します。

1pip install -r requirements.txt
2snyk test

上のテスト結果からわかるように、Snyk CLIは8件の脆弱性を検出し、修正に向けたアップグレードを推奨しています。

次はどうすればよいでしょうか。テスト結果の末尾で、Snyk CLIが新しいsnyk fixコマンドの有効化を推奨しています。次のステップに進みましょう。

snyk fixを有効にする

冒頭でお伝えしたとおり、新しいsnyk fixコマンドは現在オープンベータ版です。利用するには、まず機能を有効にする必要があります。Snyk UI内にある専用エリアSnyk Previewから有効化できます。ここでは、開発中の新機能を利用できます。

SnykでSettings、次にSnyk Previewの順に移動します。「Automatically apply recommended remediation in CLI」の下にあるsnyk fix（1）を有効にし、Save changesボタン（2）をクリックして変更を適用します。

ローカル環境で脆弱性を修正する

新しいコマンドを有効にできたので、さっそく試してみましょう。CLIで次のコマンドを入力します。

1snyk fix 

Snyk CLIは、可能な場合、検出された脆弱性の修正に必要なバージョンへのアップグレードを自動で適用し、結果の概要を出力します。

今回のPyGoatアプリケーションでは、8件中6件の脆弱性が修正されました。再度スキャンすると、2件の問題が残っています。Jinja2パッケージの中程度の深刻度の脆弱性と、psycopg2パッケージで検出されたLGPLv3.0ライセンスです。

次のステップとして、Snyk CLIでプロジェクトを継続的に監視し、残る脆弱性の修正が利用可能になったときや、これらの依存関係で新たな脆弱性が見つかったときに通知を受け取ることができます。次のコマンドを実行してください。

1snyk monitor

CI/CDの一環として脆弱性を修正する

新しいsnyk fixコマンドを使えば、CI/CDパイプラインでの修正も自動化できます。GitHub Actionsを使った例を見てみましょう。

GitHub Actionsは、継続的インテグレーションに関するワークフローを開発者が自動化できるよう、GitHubが提供を開始した機能です。SnykのGitHub Actionsを使うと、Snykをこれらのワークフローに簡単に統合し、自動化されたCI/CDワークフローの一環として、GitHub上で直接プロジェクトの脆弱性をテストできます。このワークフローの一環として、脆弱性の修正もできるようになりました。

具体的には、次のワークフローを実行するこちらのアクションを使用します。

• Init - バージョンが段階的にアップグレードされるのを防ぐため、ワークフローの最初に直近のコミットメッセージを確認します。すでに自動修正が行われている場合、snyk fixを再実行しません。

• Security - ワークフローでsnyk fixを実行して脆弱性をスキャンし、アップグレード方法が見つかった場合はPRを作成します。

アクションの使い方は簡単です。

SnykのGitHub Actionでは、SNYK_TOKENという環境変数を使用します。これはSnyk APIトークンです。GitHub Actionを設定する前に取得してください。Snyk UIのSettingsページで確認できます。

トークンを取得したら、リポジトリの設定にあるSettings | Secretsでシークレットとして登録します。

これでSnyk Actionを設定する準備ができました。GitHubリポジトリでActionsタブを開き、左上のNew workflowボタンをクリックします。

GitHubでは、リポジトリのプログラミング言語に応じたテンプレートアクションがいくつか用意されています。Snyk GitHub Actionを設定するには、ページ上部のset up a workflow yourselfをクリックします。

サンプルコードをこちらのコードに置き換えます（設定内の該当する名前空間に、使用するブランチ名を入力してください）。

1name: Example workflow using Snyk fix
2on: pull_request
3jobs:
4    init:
5      runs-on: ubuntu-latest
6      outputs:
7        skip: ${{ steps.ci-skip-step.outputs.ci-skip }}
8        skip-not: ${{ steps.ci-skip-step.outputs.ci-skip-not }}
9      steps:
10        - uses: actions/checkout@v2
11          with:
12            fetch-depth: 0
13        - id: ci-skip-step
14          uses: mstachniuk/ci-skip@master
15          with:
16            commit-filter: 'Merge pull request'
17    security:
18      runs-on: ubuntu-latest
19      needs: init
20      if: ${{ needs.init.outputs.skip == 'false' }}
21      steps:
22        - uses: actions/checkout@master
23        - name: Run Snyk to check for vulnerabilities
24          uses: snyk/actions/python-3.8@master
25          env:
26            SNYK_TOKEN: ${{ secrets.SNYK_TOKEN }}
27          with: 
28            command: fix # adding this option to run snyk fix
29            base: master    
30        - name: create a PR
31          uses: peter-evans/create-pull-request@v3
32          with:
33            base: main
34        - name: get PR info
35          run: |
36            echo "Pull Request Number - ${{ steps.cpr.outputs.pull-request-number }}"
37            echo "Pull Request URL - ${{ steps.cpr.outputs.pull-request-url }}"      
38        - name: Run a multi-line script
39          run: |
40            echo Add other actions to build,
41            echo test, and deploy your project.

これで完了です。新しいファイルをコミットするとPRが作成され、ワークフローが起動します。これにより、snyk fixコマンドを使った修正の自動化をシミュレーションできます。すべての手順を示したこちらのワークフローをご覧ください。

ワークフローの設定どおり、推奨される修正を含む新しいPRが作成されます。

snyk fixをぜひお試しください。

Snyk Previewを提供している理由の一つは、開発中やベータ版の機能をいち早く試せるようにするためです。snyk fixは、正式リリース前にユーザーコミュニティからぜひフィードバックをいただきたい新機能の好例です。ぜひお試しいただき、ご意見をsnyk-fix-feedback@snyk.ioまでお寄せください。

新しいコマンドの使い方や、サポート対象・対象外について詳しくは、snyk fixのドキュメントをご覧ください。

快適な修正を！