20230723 Snyk みんな触ってみない？(圧

2023/07/23 (火) JAWS-UG 福岡 #14：11度目はちょっと濃い目にAWS re:Inforce 2023を振り返ろう にて発表したLTの登壇資料。
https://jaws-ug-kyushu.doorkeeper.jp/events/157035

Transcript

1. Snyk みんな触ってみない？(圧 JAWS-UG おおいた Takumi Abe
2. 阿部 拓海
 普段
 　・株式会社CAMPFIRE 
 　・Webバックエンドエンジニア
 　・昼飲みとハンドドリップコーヒー 
 運営
 　・JAWS-UG おおいた
 　・JAWS DAYS 2021, 2022
 　・JAWS PANKRATION 2021
 　・JAWS FESTA 2023 in Kyushu ←New! 
 　・P&D（学生団体→離散）
 最近あったこと
 　・タロット占いって性格当たるんだな... 
 好きなサービス
 　・AWS Lamdba, Amplify，Step Functions 
 　・HackMD
 east_takumi east.takumi
3. アジェンダ 1. Snykの概要 2. DevIO でのSnykハンズオンの紹介 3. AWSで組み込んだ例 4. まとめ
4. Snykの概要 • コードを読み込んで脆弱性診断→アラートしてくれる ◦ PRD環境のモニターやIaC，コンテナ，OSSまで ◦ https://www.youtube.com/live/QFIadED_R_o?feature=share&t=2674 ◦ Snykがまとめてる脆弱性情報集 ▪ https://security.snyk.io/ • Gitや統合開発環境(IDE)、CI/CDパイプラインに直接組み込むことができる ◦ 開発中やブランチにPush，QA環境の立ち上げなど様々な場面で起動→ チェックをしてもらえる ▪ IDEの拡張機能が提供されてる（VS Code, IDE etc.) ▪ ハンズオン • https://dev.classmethod.jp/articles/snyk_code_with_vscode/ • https://youtu.be/NuEzaAQFOQk
5. DevIO でのSnykハンズオンの紹介 • 詳細はこちら ◦ https://dev.classmethod.jp/articles/devio2023-snyk-hands-on-session-report/ ◦ ISSUE募集してる ◦ ここではSnyk Code Testをしてる
6. DevIO でのSnykハンズオンの紹介 • 詳細はこちら ◦ https://dev.classmethod.jp/articles/devio2023-snyk-hands-on-session-report/ ◦ ISSUE募集してる ◦ ここではSnyk Code Testをしてる • あべたくの感想 ◦ （翌日完走しました ◦ ほぼ2行の書き込みでSnykのコードチェックできるのいいね ▪ 読み込みとSnykコマンドの実行 ◦ Snyk内部でのチェック精度のアップデートがかなり行われてることもわかる 👀 ◦ 読めるようになる努力は必要だけど，そこまでのハードルはかなり低い
7. AWSで組み込んだ例 • ECRへPush前にチェック（Code Pipeline) ◦ https://aws.amazon.com/jp/blogs/apn/build-and-deploy-a-secure-container-image-wit h-aws-and-snyk/
8. まとめ • Snykは脆弱性診断へかける人手や作業コストを短縮しつつ，開発によりフォーカス が出来るツール • Snykアプデの情報収集は結構必要かも👀 • セキュリティとりま触ってみるをしてみるのにおすすめ • 一度古いリポジトリを入れてみるとめちゃ面白いかも
9. もっと詳しく知りたい人向け • Snyk を利用した AWS における脆弱性管理のベストプラクティス ◦ https://aws.amazon.com/jp/blogs/psa/vulnerability-management-with-snyk/ • OSSの脆弱性をチェックしよう！Snyk Open Sourceのハンズオンをやってみた ◦ https://zenn.dev/becominn/articles/39a9ffe7c15d1b • Snyk Japanが出してるハンズオン ◦ https://github.com/snyk-japan
10. おまけ • SnykのYoutubeチャンネル