Como integrar o Snyk e o Bitbucket Cloud para viabilizar o DevSecOps

Etapa 1: configure o ambiente

Instale a CLI do Snyk

A CLI do Snyk autentica as máquina usando as conta do Snyk. A ferramenta de CLI ajuda você a encontrar e corrigir vulnerabilidades conhecidas nas suas dependências, com praticidade e no pipeline de CI/CD. As instruções completas para instalar a CLI estão disponíveis no Snyk em vários formatos para sistemas operacionais e ambientes populares. Por exempli, a CLI está disponível com brew com estes comandos:

Recursos adicionais de laboratório

Os exercícios contidos neste tutorial incluem a combinação de comandos ou fragmentos de código que vão ser compartilhados nas páginas do módulo especificado, bem como templates e códigos-fonte disponíveis no repositório público do Bitbucket. Assim que a conta do Bitbucket Cloud estiver configurada, você vai precisar copiar esses recursos para a conta. Para isso, siga as próximas etapas:

Bifurque o repositório

Clique aqui para bifurcar o repositório upstream na conta do Bitbucket. A documentação da Atlassian oferece instruções específicas sobre como bifurcar um repositório.

Clone a bifurcação no local

Quando a bifurcação for concluída, você vai precisar clonar o repositório bifurcado. Consulte a documentação da Atlassian sobre como clonar um repositório para obter instruções específicas.

Etapa 2: conecte o Snyk ao Bitbucket

Nesta seção, a gente vai conectar o Snyk ao Bitbucket para verificar o aplicativo Bitbucket em busca de vulnerabilidades de código aberto.

O que é análise de composição de software (SCA)?

A análise de composição de software (SCA) é uma ferramenta de gerenciamento de componentes de código aberto. Ela gera um relatório que lista todos os componentes de código aberto no aplicativo, incluindo dependências diretas e indiretas. Usando uma ferramenta de SCA, as equipes de desenvolvimento podem rastrear e analisar com rapidez os componentes de código aberto inseridos no projeto.

Embora sejam convenientes e muito usados, os componentes de código aberto costumam ser difíceis de rastrear. Como resultado, os desenvolvedores confiam nos processos manuais, como e-mails e planilhas para mitigar a situação. No entanto, esses processos manuais ameaçam perturbar a conveniência oferecida pelo código aberto e oferecem uma solução incompleta. Uma abordagem mais interessante é aproveitar uma ferramenta de SCA que dá insights imediatos sobre cada componente.

Por que usar uma ferramenta de SCA?

Os componentes de código aberto são os principais blocos de construção no desenvolvimento de software em quase todas as verticais. Apesar do tamanho da empresa, a SCA ajuda a identificar componentes de código aberto nos aplicativos que são essenciais para a empresa. As ferramentas de SCA permitem aos desenvolvedores:

1. Entender as dependências usadas em aplicativos.

2. Aplicar políticas de segurança e conformidade em todo o ciclo de vida do desenvolvimento de software (SDLC).

3. Corrigir possíveis vulnerabilidades na fonte com iniciativa

4. Melhorar a eficiência da equipe e a postura de segurança da empresa.

Etapa 3: crie uma senha do aplicativo

Você vai precisar criar uma senha de app para autorizar o Snyk a acessar o repositório e permitir a integração do Bitbucket Cloud do Snyk.

Para criar uma senha de app:

Etapa 4: adicione variáveis de repositório

Você vai precisar definir variáveis de repositório no nível do repositório, que mais tarde vão ser referenciadas no pipeline. Elas vão consistir em:

• SNYK_TOKEN - Token de API do Snyk para autenticação com as conta do Snyk. Essa á uma variável segura.
• IMAGE - Nome da imagem do contêiner. Essa não é uma variável segura.

As outras variáveis são para operações aprimoradas de pipeline, não abordadas neste tutorial.

Etapa 5: obter o token de API do Snyk

1. Obter o token de API do Snyk

No console do Snyk, navegue até Configurações (o ícone de engrenagens na foto) e sob o menu Geral, Copiar o ID da empresa.

Etapa 6: ativar a integração do Bitbucket

No console do Snyk, navegue até Integrações e selecione Bitbucket Cloud.

Etapa 7: adicione repositórios do Bitbucket Cloud ao Snyk

Na última tela da seção anterior, clique em Adicionar o repositório do Bitbucket Cloud ao Snyk.

Etapa 8: Revisar o relatório de vulnerabilidade

Você deve ver contagens de vulnerabilidades com base em packages.json, bem como informações específicas para cada uma. Clique no projeto que acabou de ser verificado e analise os resultados no Snyk. Você não vai receber apenas o contexto, como gravidade e maturidade de exploração das vulnerabilidades, mas também as funções poderosas a seguir: