Snyk みんな触ってみない？(圧 JAWS-UG おおいた Takumi Abe

阿部 拓海
 普段
 　・株式会社CAMPFIRE 
 　・Webバックエンドエンジニア
 　・昼飲みとハンドドリップコーヒー 
 運営
 　・JAWS-UG おおいた
 　・JAWS DAYS 2021, 2022
 　・JAWS PANKRATION 2021
 　・JAWS FESTA 2023 in Kyushu ←New! 
 　・P&D（学生団体→離散）
 最近あったこと
 　・タロット占いって性格当たるんだな... 
 好きなサービス
 　・AWS Lamdba, Amplify，Step Functions 
 　・HackMD
 east_takumi east.takumi

アジェンダ 1. Snykの概要 2. DevIO でのSnykハンズオンの紹介 3. AWSで組み込んだ例 4. まとめ

Snykの概要 ● コードを読み込んで脆弱性診断→アラートしてくれる ○ PRD環境のモニターやIaC，コンテナ，OSSまで ○ https://www.youtube.com/live/QFIadED_R_o?feature=share&t=2674 ○ Snykがまとめてる脆弱性情報集 ■ https://security.snyk.io/ ● Gitや統合開発環境(IDE)、CI/CDパイプラインに直接組み込むことができる ○ 開発中やブランチにPush，QA環境の立ち上げなど様々な場面で起動→ チェックをしてもらえる ■ IDEの拡張機能が提供されてる（VS Code, IDE etc.) ■ ハンズオン ● https://dev.classmethod.jp/articles/snyk_code_with_vscode/ ● https://youtu.be/NuEzaAQFOQk

DevIO でのSnykハンズオンの紹介 ● 詳細はこちら ○ https://dev.classmethod.jp/articles/devio2023-snyk-hands-on-session-report/ ○ ISSUE募集してる ○ ここではSnyk Code Testをしてる

DevIO でのSnykハンズオンの紹介 ● 詳細はこちら ○ https://dev.classmethod.jp/articles/devio2023-snyk-hands-on-session-report/ ○ ISSUE募集してる ○ ここではSnyk Code Testをしてる ● あべたくの感想 ○ （翌日完走しました ○ ほぼ2行の書き込みでSnykのコードチェックできるのいいね ■ 読み込みとSnykコマンドの実行 ○ Snyk内部でのチェック精度のアップデートがかなり行われてることもわかる 👀 ○ 読めるようになる努力は必要だけど，そこまでのハードルはかなり低い

AWSで組み込んだ例 ● ECRへPush前にチェック（Code Pipeline) ○ https://aws.amazon.com/jp/blogs/apn/build-and-deploy-a-secure-container-image-wit h-aws-and-snyk/

まとめ ● Snykは脆弱性診断へかける人手や作業コストを短縮しつつ，開発によりフォーカス が出来るツール ● Snykアプデの情報収集は結構必要かも👀 ● セキュリティとりま触ってみるをしてみるのにおすすめ ● 一度古いリポジトリを入れてみるとめちゃ面白いかも

もっと詳しく知りたい人向け ● Snyk を利用した AWS における脆弱性管理のベストプラクティス ○ https://aws.amazon.com/jp/blogs/psa/vulnerability-management-with-snyk/ ● OSSの脆弱性をチェックしよう！Snyk Open Sourceのハンズオンをやってみた ○ https://zenn.dev/becominn/articles/39a9ffe7c15d1b ● Snyk Japanが出してるハンズオン ○ https://github.com/snyk-japan

おまけ ● SnykのYoutubeチャンネル