Ну я як і говорив - почнемо з Snyk, це не для галочки, а щоб потім не горіти на проді
(перевірка залежностей, як must-have навіть для QA)
Я як QA не пишу продакшн-код, але точно не хочу, щоб через одну залежність із CVE в нас зламали пів сервісу.
Що я маю вас сказать от вам реально тул, яким користуються. Snyk це штука, яка бере твої package.json, pip, Dockerfile і каже, в цій версії бібліотеки, уразливість, ось яка, і ось як пофіксити.
Ви скажете навішо це де це юзати як QA, Так от
- Коли тестиш Node.js бек, перевірив, що в npm не тягнемо якусь дичину
- У пайплайні CI/CD поставили як перевірку і білд падає, якщо щось страшне
- Локально, перед тим як готуєте реліз до UAT, щоб не тягти CVE-шку на stage
- Навіть на Docker-образах ганяти, щоб зрозуміти, що там всередині з безпеки
по налаштуванням все дуже просто.
Встановив
npm install -g snyk
Авторизувався
snyk auth
І перевірив
snyk test
Або якщо Docker
snyk container test my-image
І прямо виводить, що, де, чому погано, і яка версія вже з пофікшеним.
Snyk класний тим, що не просто знайшов, а ще і пояснив, показав, яку версію краще або інтегрується з Git (робить PR з фіксом) ну і також можна підв’язати до CI/CD.
Який мій поінт і чому це важливо на мою думку
- Бо ми теж частина команди, яка випускає продукт
- Бо якщо щось бахне на проді, клієнта не хвилює, хто мав це помітити
- Бо вміти перевірити свої тулзи, свій API чи навіть бекенд на CVE це про зрілість
Я не безпековий експерт. Але коли можу одним рядком побачити, що наш axios старий і дірявий то чого б ні?
Особливо коли це безкоштовно, швидко і реально корисно.
Юзайте, і не тільки для себе, а й щоб девам не соромно було здавати реліз.
Так що таке, з вас як завжди серденько чи шо там, якщо є що додати то тільки велком)
Гарного всім вечора!
Обняв 🤗