Налаштування SCA через Snyk: моніторинг залежностей та автоfix PR

Уявіть: ваш проект містить 500+ прямих і транзитивних залежностей. Якось ви дізнаєтеся про критичну вразливість (CVE) у популярній бібліотеці. Скільки годин займе пошук усіх зачеплених репозиторіїв, оцінка впливу та підготовка фіксів? Без автоматичного SCA-інструменту — дні. Snyk Open Source вирішує цю проблему: він сканує ваш код, зіставляє версії пакетів із базою вразливостей (власна база Snyk + NVD) і виводить точний шлях до вразливого компонента — включно з транзитивними залежностями.

Але головна відмінність Snyk від інших сканерів — не лише виявлення, але й remediation advice: він вказує конкретну версію пакета, в якій вразливість виправлено, і може автоматично створити Pull Request із цим оновленням. Це скорочує час усунення з кількох днів до кількох хвилин. Ми використовуємо Snyk у проектах із сотнями репозиторіїв і десятками тисяч залежностей — єдина панель керування дозволяє бачити всю картину та блокувати pipeline при виявленні critical-вразливостей.

Snyk підтримує всі популярні екосистеми: npm, PyPI, Maven, Go Modules, NuGet, RubyGems, Composer, а також контейнерні образи. Понад 200 000 вразливостей у базі — і вона оновлюється щоденно. Інтеграція з GitHub, GitLab, Bitbucket і CI/CD-системами — в один клік.

Підключення та перший тест

npm install -g snyk
snyk auth # відкриває браузер, OAuth через GitHub/Google

# Тест залежностей
snyk test --all-projects

# Тільки production dependencies (без devDependencies)
snyk test --prod-only

# З порогом по severity
snyk test --severity-threshold=high --fail-on=all

--fail-on=all важливий — без нього Snyk не фейлить pipeline на вразливості, для яких немає фікса. Поведінка за замовчуванням --fail-on=upgradable.

GitHub Actions: вбудована інтеграція з Security tab

---
- name: Snyk SCA - Open Source
  uses: snyk/actions/node@master
  continue-on-error: true # збираємо результати навіть при знахідках
  env:
    SNYK_TOKEN: ${{ secrets.SNYK_TOKEN }}
  with:
    command: test
    args: >
      --org=${{ vars.SNYK_ORG_ID }}
      --severity-threshold=high
      --fail-on=all
      --sarif-file-output=snyk-oss.sarif
- name: Upload to GitHub Security
  uses: github/codeql-action/upload-sarif@v3
  with:
    sarif_file: snyk-oss.sarif
- name: Block on Critical
  env:
    SNYK_TOKEN: ${{ secrets.SNYK_TOKEN }}
  run: |
    snyk test \
      --org=${{ vars.SNYK_ORG_ID }} \
      --severity-threshold=critical \
      --fail-on=all

Розбиваємо на два кроки — спочатку збираємо SARIF для Security tab (навіть при знаходженні вразливостей), потім окремо блокуємо pipeline за критичним порогом.

Моніторинг через snyk monitor

snyk test працює разово. snyk monitor надсилає snapshot у Snyk Cloud і продовжує моніторити — коли в базі з'явиться нова CVE для вже зафіксованої версії, прийде сповіщення.

---
- name: Snyk Monitor (main branch only)
  if: github.ref == 'refs/heads/main'
  env:
    SNYK_TOKEN: ${{ secrets.SNYK_TOKEN }}
  run: |
    snyk monitor \
      --org=${{ vars.SNYK_ORG_ID }} \
      --project-name="${{ github.repository }}/${{ matrix.service }}" \
      --tags="env=production,team=backend"

Теги допомагають фільтрувати проекти в Snyk UI при великій кількості репозиторіїв.

Порівняння Snyk і Trivy для SCA

Порівняємо ключові можливості:

Snyk виграє за глибиною фіксів: він не просто каже «у пакеті X є вразливість», а вказує: «оновіть X до версії 1.2.3 — це вирішить проблему». Trivy — відмінний інструмент для швидкого сканування контейнерів, але для SCA в Git-репозиторіях Snyk ефективніший у 3-4 рази за часом на усунення.

Які типи вразливостей виявляє Snyk?

Snyk покриває всі типи вразливостей із CWE: RCE, SQL-ін'єкції, XSS, Prototype Pollution, Directory Traversal та інші. Понад 1500 вразливостей додається щомісяця. Крім того, Snyk перевіряє ліцензійну сумісність (наприклад, GPL-2.0 у комерційному продукті).

Як Snyk інтегрується з існуючим CI/CD?

Snyk пропонує офіційні actions для GitHub Actions, образи для GitLab CI, Jenkins, CircleCI, Bitbucket Pipelines. Налаштування зводиться до встановлення SNYK_TOKEN і одного кроку в pipeline. Наприклад, для GitLab CI використовуйте образ snyk/snyk:node і команди snyk test та snyk monitor. Повну документацію можна знайти на офіційному сайті Snyk.

Файл .snyk для управління exceptions

---
version: v1.25.0
ignore:
  SNYK-JS-LODASH-567746:
    - '*':
        reason: "Prototype pollution only via user-controlled data, WAF blocks this vector"
        expires: 12 months
        created: 6 months ago
  SNYK-PYTHON-PILLOW-2331901:
    - 'backend > Pillow':
        reason: "Used only for server-side image processing, no user uploads"
        expires: 12 months
patch: {}
---

Файл expires обов'язково вказуйте — щоб періодично переглядати актуальність винятків. Краще задавати відносний термін (наприклад, 12 місяців), а не конкретну дату.

Автоматичне оновлення залежностей через Snyk

У Snyk Dashboard на сторінці проекту — кнопка «Fix this vulnerability». Snyk відкриває PR у GitHub/GitLab зі зміненою версією пакета в lock-файлі. Для npm це package.json + package-lock.json, для Python — requirements.txt або Pipfile.lock. Важливо: перед merge такого PR переконайтеся, що тести пройшли. Оновлення транзитивної залежності іноді ламає щось неочікуване.

Підтримувані екосистеми

Що входить у налаштування Snyk під ключ?

• Підключення репозиторіїв до Snyk (GitHub/GitLab/Bitbucket).
• Конфігурація snyk test у CI/CD (GitHub Actions, GitLab CI, Jenkins).
• Налаштування snyk monitor для безперервного відстеження.
• Розробка .snyk з винятками та політиками.
• Документація щодо процесу управління вразливостями.
• Навчання команди (2 години воркшоп).

Терміни: базова інтеграція — 2–4 години, повне налаштування з моніторингом та Jira-інтеграцією — 1 робочий день. Оцінимо ваш проект — зв'яжіться, щоб отримати консультацію.