オープンソースの依存関係の脆弱性を見つけて修正します

システム要求

オープンソースSNYKユーティリティCLIツールをインストールするには、次の依存関係と前提条件をインストールする必要があります。 -Snykサポート言語などのプロジェクトなど、Ruby

• オープンソースパッケージを使用したコードプロジェクト
• サポートされているソースコード管理システムに展開されたプロジェクト -SnykサイトにアクセスしてSNYKアカウントを作成します

特徴

SNYK CLIの機能の優れたリストと、オープンソースの依存関係で既知の脆弱性を見つけて修正するためのビルドタイムツールは次のとおりです。 -CIプロセスのプロジェクトでSNYKテストを実行することにより、脆弱性を見つけます。 -SnykウィザードとSnyk Protectを使用して脆弱性を修正します。 -Snykウィザードは、プロジェクトで既知の脆弱性を見つけて修正することを歩きます。 -Alert Snyk Monitorは、Snykの依存関係と脆弱性の状態を記録します。 -CIプロセスでSNYKテストを実行することにより、脆弱なnode.jsまたはRuby依存関係が追加された場合、新しい脆弱な依存関係を防止します。

インストール

** ruby​​のsnykをインストール**

SNYKは、Bundlerが管理するCLIおよびGIT統合のRubyプロジェクトのテスト、監視、修正をサポートしています。次に、以下のステップバイステップガイドをフォローして、SNYKをセットアップしてください。 SNYKユーティリティCLIツールを使用すると、コマンドラインを使用してNPM実行にインストールすることができます。

    npm install -g snyk

インストールしたら、SNYKアカウントで認証する必要があります。

    snyk auth

地元のプロジェクトをテストしてください：

    snyk test

次のような新しい脆弱性について警告を受けます

    snyk monitor

以下のコマンドを実行して、詳細と例を使用してすべてのコマンドの簡単な概要を取得します。

    snyk iac --help

SNYKは、各パッケージマネージャーのランタイム環境を運ぶDocker画像のセットとしても提供されます。たとえば、NPM画像は、現在実行中のコンテナでNPMインストールを実行するために必要なすべてのセットアップを運びます。現在、NPM、Ruby、Maven、Gradle、SBTの画像があります。画像は、指定されたプロジェクトでデフォルトでSNYKテストを実行できます。指定されたプロジェクトは、Dockerコンテナを実行するときにモニター環境変数が設定されている場合は、読み取り/書き込みボリュームとしてコンテナに取り付けられ、SNYKモニターをモニターします。 Docker内でSnykを実行する方法に関する次のRubygems画像の例をご覧ください。 ホストプロジェクトフォルダーは、コンテナに /プロジェクトにマウントされ、依存関係ファイルの読み取りに使用され、CIビルドの結果を書き込みます。 Rubygemsの画像でSNYKテストとSNYKモニターを実行している例を次に示します。

    docker run -it
        -e "SNYK_TOKEN="
        -e "USER_ID=1234"
        -e "MONITOR=true"
        -v ":/project"
      snyk/snyk-cli:rubygems test --org=my-org-name

次のRuby on Railsマニフェストファイルがサポートされています。

    Gemfile
    Gemfile.lock

Dockerでコンテナを実行するときに、次の環境変数を使用できます。

    SNYK_TOKEN
    USER_ID
    MONITOR
    PROJECT_FOLDER
    ENV_FLAGS
    TARGET_FILE

プロジェクトを追加するには、インポートされたプロジェクトの脆弱性の結果を表示してから、修正/マージリクエストを介して脆弱性を修正します。Snykオープンソースを始めましょうを確認してください おめでとう！ SNYK CLIとビルドタイムツールを正常にインストールしました。楽しみ！ 探検

この記事では、SNYKオープンソースセキュリティソフトウェアについて説明しました。他のオープンソースセキュリティソフトウェアについては、次のページをご覧ください。

• 最高のオープンソースセキュリティスキャンツール