Настройка SCA через Snyk: мониторинг зависимостей и автоfix PR

Представьте: ваш проект содержит 500+ прямых и транзитивных зависимостей. Однажды вы узнаёте о критической уязвимости (CVE-2024-XXXX) в популярной библиотеке. Сколько часов займёт поиск всех затронутых репозиториев, оценка влияния и подготовка фиксов? Без автоматического SCA-инструмента — дни. Snyk Open Source решает эту проблему: он сканирует ваш код, сопоставляет версии пакетов с базой уязвимостей (собственная база Snyk + NVD) и выводит точный путь к уязвимому компоненту — включая транзитивные зависимости.

Но главное отличие Snyk от других сканеров — не только обнаружение, но и remediation advice: он указывает конкретную версию пакета, в которой уязвимость исправлена, и может автоматически создать Pull Request с этим обновлением. Это сокращает время устранения с нескольких дней до нескольких минут. Мы используем Snyk в проектах с сотнями репозиториев и десятками тысяч зависимостей — единая панель управления позволяет видеть всю картину и блокировать pipeline при обнаружении critical-уязвимостей.

Snyk поддерживает все популярные экосистемы: npm, PyPI, Maven, Go Modules, NuGet, RubyGems, Composer, а также контейнерные образы. Более 200 000 уязвимостей в базе — и она обновляется ежедневно. Интеграция с GitHub, GitLab, Bitbucket и CI/CD-системами — в один клик.

Подключение и первый тест

npm install -g snyk
snyk auth # открывает браузер, OAuth через GitHub/Google
# Тест зависимостей
snyk test --all-projects
# Только production dependencies (без devDependencies)
snyk test --prod-only
# С порогом по severity
snyk test --severity-threshold=high --fail-on=all

--fail-on=all важен — без него Snyk не фейлит pipeline на уязвимости, для которых нет фикса. Поведение по умолчанию --fail-on=upgradable.

GitHub Actions: встроенная интеграция с Security tab

---
- name: Snyk SCA - Open Source
  uses: snyk/actions/node@master
  continue-on-error: true # собираем результаты даже при находках
  env:
    SNYK_TOKEN: ${{ secrets.SNYK_TOKEN }}
  with:
    command: test
    args: >
      --org=${{ vars.SNYK_ORG_ID }}
      --severity-threshold=high
      --fail-on=all
      --sarif-file-output=snyk-oss.sarif
- name: Upload to GitHub Security
  uses: github/codeql-action/upload-sarif@v3
  with:
    sarif_file: snyk-oss.sarif
- name: Block on Critical
  env:
    SNYK_TOKEN: ${{ secrets.SNYK_TOKEN }}
  run: |
    snyk test \
      --org=${{ vars.SNYK_ORG_ID }} \
      --severity-threshold=critical \
      --fail-on=all
---

Разбиваем на два шага — сначала собираем SARIF для Security tab (даже при нахождении уязвимостей), потом отдельно блокируем pipeline по критическому порогу.

Мониторинг через snyk monitor

snyk test работает разово. snyk monitor отправляет snapshot в Snyk Cloud и продолжает мониторить — когда в базе появится новая CVE для уже зафиксированной версии, придёт алерт.

---
- name: Snyk Monitor (main branch only)
  if: github.ref == 'refs/heads/main'
  env:
    SNYK_TOKEN: ${{ secrets.SNYK_TOKEN }}
  run: |
    snyk monitor \
      --org=${{ vars.SNYK_ORG_ID }} \
      --project-name="${{ github.repository }}/${{ matrix.service }}" \
      --tags="env=production,team=backend"

Теги помогают фильтровать проекты в Snyk UI при большом количестве репозиториев.

Сравнение Snyk и Trivy для SCA

Сравним ключевые возможности:

Snyk выигрывает по глубине фиксов: он не просто говорит «в пакете X есть уязвимость», а указывает: «обновите X до версии 1.2.3 — это решит проблему». Trivy — отличный инструмент для быстрого сканирования контейнеров, но для SCA в Git-репозиториях Snyk эффективнее в 3-4 раза по времени на устранение.

Какие типы уязвимостей обнаруживает Snyk?

Snyk покрывает все типы уязвимостей из CWE: RCE, SQL-инъекции, XSS, Prototype Pollution, Directory Traversal, и другие. Более 1 500 уязвимостей добавляется ежемесячно. Кроме того, Snyk проверяет лицензионную совместимость (например, GPL-2.0 в коммерческом продукте).

Как Snyk интегрируется с существующим CI/CD?

Snyk предлагает официальные actions для GitHub Actions, образы для GitLab CI, Jenkins, CircleCI, Bitbucket Pipelines. Настройка сводится к установке SNYK_TOKEN и одного шага в pipeline. Например, для GitLab CI используйте образ snyk/snyk:node и команды snyk test и snyk monitor. Полную документацию можно найти на официальном сайте Snyk.

Файл .snyk для управления exceptions

version: v1.25.0
ignore:
  SNYK-JS-LODASH-567746:
    - '*':
        reason: "Prototype pollution only via user-controlled data, WAF blocks this vector"
        expires: 2026-09-01
        created: 2025-06-01
  SNYK-PYTHON-PILLOW-2331901:
    - 'backend > Pillow':
        reason: "Used only for server-side image processing, no user uploads"
        expires: 2026-01-01
patch: {}

Файл expires обязательно указывайте — чтобы периодически пересматривать актуальность исключений. Лучше задавать относительный срок (например, 12 месяцев), а не конкретную дату.

Автоматическое обновление зависимостей через Snyk

В Snyk Dashboard на странице проекта — кнопка «Fix this vulnerability». Snyk открывает PR в GitHub/GitLab с изменённой версией пакета в lock-файле. Для npm это package.json + package-lock.json, для Python — requirements.txt или Pipfile.lock. Важно: перед merge такого PR убедитесь, что тесты прошли. Обновление транзитивной зависимости иногда ломает что-то неожиданное.

Поддерживаемые экосистемы

Что входит в настройку Snyk под ключ?

• Подключение репозиториев к Snyk (GitHub/GitLab/Bitbucket).
• Конфигурация snyk test в CI/CD (GitHub Actions, GitLab CI, Jenkins).
• Настройка snyk monitor для непрерывного отслеживания.
• Разработка .snyk с исключениями и политиками.
• Документация по процессу управления уязвимостями.
• Обучение команды (2 часа воркшоп).

Сроки: базовая интеграция — 2–4 часа, полная настройка с мониторингом и Jira-интеграцией — 1 рабочий день. Оценим ваш проект — свяжитесь, чтобы получить консультацию.