[アップデート] SnykでCLIのスキャン結果をWeb UIにアップロードできるようになりました #snyk

おはようございます。ゲームソリューション部のきだぱんです。

皆さん、Snykは使ってますか？
この度、Snyk CodeのCLIスキャン結果をSnyk Web UIに直接アップロード出来るようになりました！

https://updates.snyk.io/snyk-cli-upload-is-generally-available/

Snykとは

そもそも、Snykとは何なのか。
Snykは SAST（Static Application Security Testing）機能 を持つ製品です。

従来のセキュリティ対策は、リリース直前や運用フェーズで専門チームが実施することが多く、手戻りが大きいという課題がありました。しかし、Snykは 「シフトレフト」 、つまり開発ライフサイクルの早い段階でセキュリティを組み込むことができます！
詳しくはこちらをご確認ください！
https://dev.classmethod.jp/articles/snyk-shiftleft-kdon-250707/

なぜこの機能が重要なんだろうか？

この機能がもたらす最大のメリットは、これまで「孤立」しがちだったCLIスキャンを、Snykプラットフォームの管理下に完全に統合できる点にあります。

これにより、まずセキュリティ状況の「一元管理」が可能になります。
SCM（GitHubなど）と連携してスキャンしているプロジェクトと並んで、CLIでスキャンしたプロジェクトもSnyk UIのダッシュボードに表示されます。
組織やグループ単位でのレポート機能も活用できるため、企業全体のセキュリティリスクを横断的に、より正確に把握できるようになるのです。

さらに、課題管理が出来るようになります！
CLIで見つかった脆弱性も、Snyk UI上で優先順位付けを行ったり、修正担当者を割り当てたりといった、チームでの共同作業が可能になります！やったね！

CLIからスキャン結果をアップロードしてみる

では、実際にこの機能を使っていきましょう！
Snyk CLIを事前に準備する必要があります。
以下も併せてご覧ください！　
https://dev.classmethod.jp/articles/snyk-cli-kdpn-2504/

# Snyk CLIのバージョンを確認します
snyk version

まずはいつも通りテストしてみましょう。

snyk test

Testing /Users/kida.maiko/Documents/juice-shop-test...
Tested 925 dependencies for known issues, found 111 issues, 294 vulnerable paths.
Issues to fix by upgrading:
... # 続く

結果が出てきましたね！

では、UI上にアップしましょう。
--report が、スキャン結果をSnyk UIに送信するためのスイッチとなります。
--project-name は、Snyk UI上に表示されるプロジェクト名です。

もし指定した名前のプロジェクトがまだ存在しない場合は、Snykが自動的に新規作成してくれます。
すでに同じ名前のプロジェクトが存在する場合は、今回のスキャン結果が新しい「スナップショット」としてそのプロジェクトに追加（更新）され、履歴として追跡できるようになります。

snyk code test --report --project-name="juiceshop-test"

╭──────────────────────────────────╮
│ Test Summary                                                        │
│                                                                     │
│   Organization:      kidapan                                        │
│   Test type:         Static code analysis                           │
│   Project path:      /Users/kida.maiko/xxx/xxx    │
│                                                                     │
│   Total issues:   211                                               │
│   Ignored issues: 0 [ 0 HIGH  0 MEDIUM  0 LOW ]                     │
│   Open issues:    211 [ 22 HIGH  19 MEDIUM  170 LOW ]               │
╰──────────────────────────────────╯

Report

  Your test results are available at:
  https://app.snyk.io/org/kidapan/project/......

💡 Tip

   To view ignored issues, use the --include-ignores option.

UI上で確認してみましょう。

表示されてました。

あとは、Ignore機能をうまく活用出来そうですね！
一度Web UIで「Ignore(無視)」と設定すれば、次回のCLIスキャン実行時にはその設定が自動的に反映されます。
これにより、不要なアラート対応に追われる煩わしさが解消されるでしょう！

まとめ

ぜひ！お手元のプロジェクトで snyk code test --report を実行して、スキャン結果がSnyk UIに表示されることを確認してみてください！

Snykに関するブログも沢山展開されていますので、是非こちらもご覧ください。
https://dev.classmethod.jp/tags/snyk/

この記事がどなたかのお役に立てば幸いです。
以上、きだぱんでした。