Priorize com a experiência de vulnerabilidades de código aberto da Snyk

Nem sempre é fácil priorizar quais vulnerabilidades corrigir em uma aplicação. Ela é explorável? É alcançável? A atualização causará alterações incompatíveis? Há outras equipes usando essa biblioteca que você deveria conhecer? Como fica o backlog se outras mudanças também precisarem ser feitas? 

E isso é só nesta semana. Na próxima, tudo se repete, com novas descobertas, novas versões e talvez até um novo incidente de segurança cibernética.

Historicamente, a comunicação e a priorização entre as equipes de AppSec e de desenvolvimento de aplicações se concentraram em vulnerabilidades individuais. Você provavelmente já ouviu — ou até disse — algo como:

“A Snyk está dizendo que esta biblioteca tem uma vulnerabilidade crítica. Devemos atualizar para a versão recomendada para corrigi-la.”

Sinceramente, não é uma má forma de falar sobre segurança de aplicações. As equipes devem buscar eliminar vulnerabilidades de alto risco do código. Grande parte das opções de personalização, dos controles e dos relatórios da Snyk se baseia na avaliação de cada vulnerabilidade identificada pela nossa plataforma. Incentivamos essa prática.

Mas e se houvesse outra forma de pensar na correção?

Acreditamos que deveria haver. Por isso, estamos lançando uma nova visualização padrão da lista de vulnerabilidades, com foco em bibliotecas em vez de vulnerabilidades individuais. Assim, fica mais fácil entender o valor e o impacto geral de cada possível atualização.

O que há de novo na interface da Snyk?

A nova visualização da interface da Snyk agrupa todas as vulnerabilidades por dependência e pelas versões que as corrigem. Já era o tempo de apenas tentar atualizar para a versão mínima possível. Agora, você tem uma análise real de custo-benefício que mostra quantas vulnerabilidades podem ser corrigidas com cada atualização.

Em testes internos, percebemos que os desenvolvedores se sentem mais motivados a resolver problemas nessa visualização, o que os leva a corrigir mais questões sem muito esforço adicional. Se fosse possível resolver mais três vulnerabilidades de gravidade média avançando apenas mais uma versão menor, você não consideraria essa opção?

Esse tipo de discussão simplesmente não era possível na visualização antiga.

Essa nova visualização também permite comparar atualizações de bibliotecas para maximizar o impacto da sua equipe de desenvolvimento. Por exemplo, se duas bibliotecas têm vulnerabilidades de gravidade semelhante, mas atualizar uma delas também corrige outros sete problemas que a outra não corrigiria, qual você escolheria? Antes, a decisão provavelmente seria no cara ou coroa. Agora, você pode tomar uma decisão bem embasada e considerar o cenário como um todo.

Um fluxo de trabalho de PR em evolução

Depois de decidir para qual versão atualizar, a Snyk facilita como nunca a criação de um PR dedicado. Na visualização antiga, a Snyk mostrava apenas uma lista completa de vulnerabilidades com caixas de seleção já marcadas, dificultando entender e personalizar as mudanças aplicadas no PR. Na nova visualização, fica fácil entender e personalizar as atualizações: um clique confirma a versão desejada e um segundo cria um PR de correção que referencia todas as vulnerabilidades resolvidas pela atualização. Ter essas informações diretamente no PR oferece visibilidade essencial para outras pessoas da sua organização.

Experimente!

Essa experiência já está disponível em todos os projetos da Snyk que usam Maven, .NET, npm, Python, Ruby e/ou Yarn. Para conferir, basta acessar um projeto específico da sua organização. Ao clicar nele, você verá a nova visualização agrupada por dependência.

Boas correções!