Snyk-Watcher: mantenha o Snyk sempre sincronizado

Boas-vindas às quartas-feiras da API do Snyk! Esta é nossa mais nova série de artigos, que destaca as diferentes formas como nossos clientes usam a API do Snyk. A flexibilidade e a API do Snyk permitem que os desenvolvedores adaptem a automação de segurança do Snyk aos seus fluxos de trabalho, garantindo consistência na experiência de desenvolvimento e na governança da plataforma. Temos orgulho de começar a série com uma nova ferramenta de código aberto, chamada Snyk-Watcher, criada pela equipe de Segurança de Produto da Twilio para automatizar, em grande escala, a importação de projetos para o Snyk.

Este artigo foi publicado originalmente no blog da Twilio.

A equipe de segurança de produto da Twilio é responsável por proteger todos os aplicativos desenvolvidos pela empresa. Trabalhamos com as equipes de engenharia para ajudar a proteger a Twilio e seus clientes. Usamos o Snyk, uma plataforma de segurança de aplicativos nativa da nuvem, para garantir que nosso código esteja seguro em todas as etapas, do design à implantação.

A automação é essencial para implementar a segurança em grande escala, pois elimina erros humanos. Ao automatizar, encontramos mais vulnerabilidades. O Snyk verifica os repositórios automaticamente — desde que você indique quais devem ser verificados.

Precisávamos de uma maneira de manter o Snyk atualizado automaticamente com os projetos do nosso SCM, detectando quando repositórios são adicionados, excluídos ou renomeados e configurando o Snyk automaticamente.

Criamos o Snyk-Watcher, um aplicativo do GitHub que monitora webhooks na branch principal para detectar alterações em repositórios e pull requests. Quando um pull request é integrado à branch principal, o Snyk-Watcher importa o projeto para o Snyk para verificação. Quando um repositório é criado, excluído ou renomeado, o Snyk-Watcher aciona as ações apropriadas no Snyk. Essas ações automatizadas são viabilizadas pela API do Snyk, que pode ser usada para integrar e automatizar as diversas funções de segurança do Snyk.

Depois de instalar o Snyk-Watcher no GitHub, você pode testá-lo adicionando um novo repositório e verificando nas configurações avançadas do aplicativo se a solicitação foi bem-sucedida. Lembre-se de que o Snyk precisa de um arquivo de manifesto para verificar seu projeto e suas dependências — por exemplo, MANIFEST.MF no Maven ou package.json em projetos JavaScript. O Snyk oferece suporte a um número cada vez maior de linguagens de programação e seus formatos de arquivo de manifesto. Quando o Snyk detecta um arquivo de manifesto válido no seu projeto, ele aparece no Snyk.

Com o Snyk-Watcher, você não precisa se lembrar de adicionar ou remover projetos do Snyk. Isso acontece automaticamente. Hoje, estamos disponibilizando a ferramenta como código aberto para que você possa automatizar a importação de projetos e manter seu SCM e o Snyk sincronizados.

Para começar a usar o Snyk-Watcher, confira o README aqui.