Lançamento do Snyk

Tenho o prazer de anunciar que o Snyk já está no ar!

O Snyk ajuda você a encontrar e corrigir vulnerabilidades conhecidas nas dependências do Node.js. Essas falhas de segurança são documentadas publicamente, o que facilita para os invasores rastreá-las e explorá-las.

O objetivo do Snyk é facilitar ainda mais a correção dessas vulnerabilidades antes que sejam exploradas. Vale lembrar que o foco do Snyk é corrigir problemas de segurança; encontrá-los é apenas uma etapa necessária nesse processo.

Fizemos um lançamento preliminar do Snyk na conferência Velocity há um mês. Confira o vídeo da nossa palestra principal, que mostra o problema, uma demonstração do Snyk (gravada antes de adicionarmos o assistente) e uma exploração ao vivo!

Play Video: Stranger Danger: Tracking Vulnerabilities in Your Third Party Code - Guy Podjarny & Assaf Hefetzz

Para proteger um projeto, instale snyk com o npm e execute o wizard do Snyk. O assistente ajudará a proteger seu projeto em algumas etapas:

• Use a API do Snyk para comparar suas dependências com nosso banco de dados de vulnerabilidades de código aberto.

• Ajude você a entender e corrigir cada problema de segurança encontrado.

• Sugira as melhores atualizações de dependências diretas para eliminar as falhas de segurança.

• Quando não houver uma atualização disponível, verifique se algum dos patches da nossa equipe de segurança pode corrigir o problema.

• Se não houver uma atualização nem um patch disponível, registre o estado atual. Avisaremos você quando uma nova forma de correção estiver disponível.

1$ snyk wizard
2? High severity vulnerability found in bassmaster@1.5.1
3  - info: https://snyk.io/vuln/npm:bassmaster:20140927
4  - from: myapp@0.0.0 > bassmaster@1.5.1 Upgrade
5
6? Low severity vulnerability found in hapi@10.5.0
7  - info: https://snyk.io/vuln/npm:hapi:20151020
8  - from: myapp@0.0.0 > hapi@10.5.0 Ignore
9? [audit] Reason for ignoring vulnerability? Not Exploitable
10
11? Low severity vulnerability found in ms@0.1.0
12  - info: https://snyk.io/vuln/npm:ms:20151024
13  - from: myapp@0.0.0 > mongoose@4.1.12 > ms@0.1.0
14Upgrade to mongoose@4.2.4
15❯ Patch (modifies files locally, updates policy)
16Set to ignore for 30 days
17Skip

Depois que seu projeto estiver livre de vulnerabilidades, use snyk test nos sistemas de CI/CD para evitar lançar software com vulnerabilidades e snyk protect para aplicar patches às vulnerabilidades escolhidas. Com snyk monitor, registraremos as dependências usadas para avisar você quando uma vulnerabilidade divulgada recentemente afetar alguma delas. Leia todos os detalhes sobre o Snyk e seus comandos na nossa documentação.

Por fim, se você criou um pacote de código aberto, use o Snyk para garantir que não está distribuindo vulnerabilidades aos seus usuários. Sempre que possível, atualize as dependências para corrigir esses problemas e use snyk protect para aplicar patches no postinstall quando não for possível atualizá-las. Depois que seu pacote estiver livre de problemas de segurança, adicione um selo ao README para mostrar que não há falhas de segurança conhecidas. Assim, você mostra aos usuários que se preocupa com a segurança e lembra que eles também devem se preocupar.

O Snyk está em versão beta e convidamos você a experimentá-lo. Se usar a ferramenta, compartilhe sua opinião conosco em @snyksec ou pelo e-mail support@snyk.io. Experimente e ajude a tornar seguro o desenvolvimento e o uso de código aberto!