Snyk CLIを使ってターミナルからプロジェクトを安全に保護

Snyk CLIは、Snyk Code、Snyk Open Source、Snyk Container（Dockerスキャンを含む）、Snyk Infrastructure as Code（TerraformとKubernetesのスキャンを含む）に対応しています。 

Snyk CLIのスキャンは、Java、JavaScript、Python、PHP、Ruby、.NET、Go、C/C++、Bazel、Elixir、Swift、TypeScript、Scala、Apexなど、さまざまなプログラミング言語やツールに対応しています。プログラミング言語や環境への対応状況について詳しくは、Docsをご覧ください。

npm、Homebrew、Scoopを使うか、GitHubから特定のバイナリをダウンロードしてSnyk CLIをインストールします。

npm install snyk -g

brew tap snyk/tap && brew install snyk 

scoop bucket add snyk https://github.com/snyk/scoop-snyk

scoop install snyk

CLIをインストールしたら、Snykアカウントで認証する必要があります。snyk authを実行すると、ブラウザーでサインアップまたはサインインページが開き、認証またはサインアップできます。CIテストでは、代わりにSNYK_TOKENという環境変数を作成することをおすすめします。

次のコマンドを実行して、プロジェクトの脆弱性をスキャンします。

snyk test - オープンソースの脆弱性とライセンスの問題をスキャンします。

snyk code test - 静的コード解析を使用してコードの脆弱性をスキャンします。

snyk container test - コンテナイメージの脆弱性をスキャンします。

snyk iac test - Infrastructure as Codeの脆弱性と設定ミスをスキャンします。

Snykは、利用可能な場合、スキャン結果に対して実行可能な修正方法を提示します。Pythonプロジェクトでは、推奨される更新を自動的に適用するsnyk fixをベータ版として利用できます。

snyk ignoreコマンドを実行して、指定した問題を無視するように.snykポリシーを変更します。

snyk monitorコマンドはプロジェクトのスナップショットを作成し、その結果をSnykにアップロードします。プロジェクトに役立つ新たな脆弱性や修正方法が見つかると、選択したコミュニケーションチャネルを通じてアラートが届きます。

CIパイプラインでバイナリのビルド時にsnyk testを実行すると、プロジェクトに脆弱性が含まれているかどうかをすぐに確認できます。必要に応じてビルドを失敗させ、後続の工程で脆弱性が持ち込まれるのを防ぐこともできます。snyk monitorを実行するとスナップショットが作成され、その後に見つかった新たな脆弱性を継続的に監視できます。SnykのCI/CDへの導入方法について詳しくは、ドキュメントをご覧ください。