snyk monitorコマンドでプロジェクトをSnykに登録して脆弱性を継続的に監視する

#Snyk

#セキュリティ

若槻龍太

2022.03.02

この記事は公開されてから1年以上経過しています。情報が古い可能性がありますので、ご注意ください。

こんにちは、CX事業本部 IoT事業部の若槻です。

前回のエントリでは、Snyk CLIのsnyk testコマンドを使用して、プロジェクト内の脆弱性をスキャンしてみました。

Snyk CLIでnpmプロジェクト内のDependencyの脆弱性をスキャンしてみた | DevelopersIO

そしてこの脆弱性（およびライセンスの問題）のスキャンを継続的に行ってくれるコマンドがsnyk monitorです。

Monitor - Snyk User Docs

今回は、snyk monitorコマンドを使用して、プロジェクトをSnykに登録して脆弱性を継続的に監視してみました。

前提

Snykアカウント

まだの場合はSnykアカウントにサインアップしておきます。

ちなみにSnykは個人又は小規模なチームであれば無料で利用可能です。詳しくは下記を御覧ください。

Plans and Pricing | Free plan | Snyk

環境

Snyk CLIを使用する端末の環境情報です。

$ node --version
v14.17.0
$ npm --version
8.5.0
$ sw_vers
ProductName:    macOS
ProductVersion: 11.6
BuildVersion:   20G165
$ snyk --version
1.859.0

スキャン対象

AWS CDKプロジェクトを作り、さらにその配下にReactプロジェクトを作ります。これらのnpmプロジェクトをスキャン対象とします。

$ mkdir aws-cdk-v2-app && cd aws-cdk-v2-app
$ cdk init --language typescript
$ npx create-react-app web

CDKプロジェクトaws-cdk-v2-appの配下にReactプロジェクトwebがある構成です。

やってみた

snyk monitorコマンドを実行してみます。--all-projectsオプションを使用すれば、ワーキングディレクトリ配下のすべてのプロジェクトを対象とできます。

$ snyk monitor --all-projects

Monitoring /Users/wakatsuki.ryuta/projects/cm-rwakatsuki/aws-cdk-v2-app (aws-cdk-v2-app)...

Explore this snapshot at https://app.snyk.io/org/cm-rwakatsuki/project/eb23630e-ed53-4a9a-906b-45d6fdaf902c/history/7fcd8bd4-2d9b-40e2-b258-d4e2aa97b6dd

Notifications about newly disclosed issues related to these dependencies will be emailed to you.


-------------------------------------------------------

Monitoring /Users/wakatsuki.ryuta/projects/cm-rwakatsuki/aws-cdk-v2-app (web)...

Explore this snapshot at https://app.snyk.io/org/cm-rwakatsuki/project/a83cca92-5cc1-48d5-8f94-bce540305975/history/ef4c0d82-1415-4b6a-82a7-1eea7530c022

Notifications about newly disclosed issues related to these dependencies will be emailed to you.

検知されたaws-cdk-v2-appおよびwebの2つのプロジェクトのスナップショットがSnykに登録されました。そして登録直後にwebプロジェクトの方で2つの脆弱性が検知された旨のメール通知がSnykアカウントのメールアドレス宛に早速届きました。