Anunciamos o Snyk para .NET, Go e PHP

A temporada de festas está chegando, e pensamos: por que não oferecer um pequeno presente à crescente comunidade da Snyk?

A Snyk sempre se dedicou a facilitar o uso de código open source sem comprometer a segurança. Hoje, damos mais um passo nessa direção e lançamos o suporte à CLI para .NET, Go e PHP!

A CLI permite testar seus aplicativos manualmente ou em etapas importantes do processo de CI. Ela analisa a árvore de dependências para identificar cada dependência em uso e sua versão antes de testar todas elas. Em breve, também teremos integrações com ferramentas de gerenciamento de código-fonte.

Então, reserve alguns minutos (não vai levar mais do que isso) e proteja seus aplicativos.

Início rápido

Primeiro, instale ou atualize a Snyk para a versão mais recente e faça a autenticação:

npm install -g snyk 
snyk auth

A Snyk analisa os módulos instalados localmente para resolver todas as dependências. Por isso, você precisa confirmar que eles já estão disponíveis.

Para .NET, confira se a pasta packages/(.NET) ou obj/(.NET Core) foi preenchida pelo Visual Studio ou pelo comando dotnet restore.

Para Go, confira se a pasta vendor/ foi preenchida pelo comando dep ensure ou govendor sync. Além disso, a variável de ambiente GOPATH precisa estar definida corretamente.

Para PHP, confira se o arquivo composer.lock foi criado pelo comando composer install.

Em seguida, acesse a pasta do seu projeto e verifique se há vulnerabilidades:

snyk test

Isso exibirá todas as vulnerabilidades detectadas, por exemplo:

$ ✗ snyk test
✗ Medium severity vulnerability found on Microsoft.AspNetCore.All@2.0.0
- desc: Open Redirect
- info: https://snyk.io/vuln/SNYK-DOTNET-MICROSOFTASPNETCOREALL-600122
- from: dotnetcore@1.0.0 > Microsoft.AspNetCore.All@2.0.0

✗ Medium severity vulnerability found on Microsoft.AspNetCore.Server.HttpSys@2.0.0
- desc: Denial of Service (DoS)
- info: https://snyk.io/vuln/SNYK-DOTNET-MICROSOFTASPNETCORESERVERHTTPSYS-600125
- from: dotnetcore@1.0.0 > Microsoft.AspNetCore.All@2.0.0 > Microsoft.AspNetCore.Server.HttpSys@2.0.0

✗ High severity vulnerability found on System.Net.Http@4.3.0
- desc: Privilege Escalation
- info: https://snyk.io/vuln/SNYK-DOTNET-SYSTEMNETHTTP-60047
- from: dotnetcore@1.0.0 > System.Net.Http@4.3.0

Para acompanhar um projeto e detectar vulnerabilidades divulgadas recentemente pela interface da Snyk, use o comando monitor. Você pode usar snyk test e snyk monitor nos seus ambientes de CI para incorporar a segurança ao pipeline de implantação.

snyk monitor

Protegendo projetos Go

O ecossistema Go tem um número surpreendentemente alto de gerenciadores de pacotes, mas começa a se consolidar em torno do gerenciador de pacotes “experimental oficial” dep, adotado por um número cada vez maior de projetos. Ainda assim, uma parcela considerável dos clientes que se ofereceram para participar do nosso alfa para Go pediu também suporte ao govendor. Por isso, a CLI da Snyk oferece suporte aos dois gerenciadores de pacotes.

A CLI da Snyk analisa todas as suas importações — diretas e transitivas — e as compara com as versões fixadas em Gopkg.lock ou vendor/vendor.json.

Fique de olho nos próximos artigos sobre Go. Vamos compartilhar o que aprendemos sobre o ecossistema de pacotes da linguagem e os desafios que enfrentamos ao desenvolver o suporte a Go na Snyk.

Protegendo projetos .NET

Analisamos projetos .NET e .NET Core para identificar vulnerabilidades conhecidas nas dependências NuGet. Processamos arquivos packages.config em projetos .NET e arquivos obj/project.assets.json em projetos .NET Core.

Também oferecemos suporte a arquivos .sln para automatizar a segurança do código open source em todos os projetos de uma solução.

Curiosamente, durante o desenvolvimento do nosso suporte a .NET, ficamos surpresos ao descobrir a importância de analisar projetos .NET em busca de vulnerabilidades em código open source: por padrão, o aplicativo .NET Core v2 depende de Microsoft.AspNetCore.All/2.0.0, que traz mais de 10 vulnerabilidades! Confira seus projetos hoje mesmo.

Protegendo projetos PHP

A Snyk oferece suporte a testes e monitoramento de projetos PHP que gerenciam suas dependências com o composer.

Analisamos projetos PHP examinando o arquivo composer.lock e comparando as versões específicas de cada dependência direta e profunda do seu projeto com nosso banco de dados de vulnerabilidades do Composer.

Experimente!

Trabalhamos muito para preparar este lançamento, coletando feedback dos usuários do alfa e fazendo melhorias ao longo do caminho. Estamos muito felizes em disponibilizar a CLI para todos.

Como sempre, o uso da Snyk é gratuito para projetos open source, independentemente de quantos você tenha. O open source é um grande impulso para o desenvolvimento, e ficamos felizes em contribuir para torná-lo o mais seguro possível.

Se tiver algum feedback, conte para a gente. Estamos sempre buscando maneiras de melhorar ainda mais a Snyk. E, se houver alguma linguagem de programação ou gerenciador de pacotes que você gostaria que a Snyk oferecesse suporte, conte para a gente qual. Isso nos ajuda a definir prioridades e também adoramos oferecer acesso antecipado a desenvolvedores interessados em testar e compartilhar feedback.