はじめに

こちらの記事はアドベントカレンダーSnykを使ってセキュリティにまつわる記事を投稿しよう！【PR】Snykの12日目として投稿しています。

Snykはオープンソースコードやアプリケーションコードの脆弱性スキャンが簡単に自動化でき、修復まで可能なセキュリティプロダクトです。単純なソースコード検査だけでなく、依存しているライブラリの脆弱性やコンテナイメージそのものをスキャンすることができ、非常に強力なツールとなっています。

個人的にSnykの強みはローカル上で開発しているときから簡単に脆弱性チェックする仕組みが整っているおり、デベロッパーファーストなところかなと思っています。

そこで、今回はローカル上で簡単に脆弱性チェックできるSnyk CodeのVSCodeの拡張機能について紹介したいと思います。

VSCodeにSnyk の拡張機能を追加する

VSCodeの左側メニューになる拡張機能から「snyk」と入力すると候補がいくつか表示されます。

一番上の「Snyk Vulnerability Scanner」をインストールします。

インストールすると右下にWelcome to Snyk!とメッセージが表示されますので、「Check it out」ボタンをクリックします。

左側ウインドウに「Connect VS Code with Snyk」のボタンが表示されるのでボタンをクリックします。

するとブラウザが立ち上がり、Snykへのログインページが表示されるのでログインします。今回はGitHubを使ってログインします。

「Authorize snyk」をクリックします。

CLIのための権限を与えるため「Authenticate」をクリックします。

Authenticatedと表示されればOKです。

ここでVSCode上で表示が変わっていればOKなのですが、もし、いつまでたっても変わらない場合は下記の手順でSnykと接続することができます。

Snykにログインした状態で右上のログインユーザアイコンをクリックして、「Account Settings」に進みます。Auth TokenにあるKEYの欄の値をコピーしておきます。

VSCodeに戻ってSnykの右にある歯車のアイコンをクリックします。

Snykの拡張機能の設定画面が開きます。そこのTokenに先程取得した値を入力します。

Snykの拡張機能の表示が変わり「Connect VS Code with Snyk」が表示されていなければ準備OKです。

準備ができたのでSnykの動作確認をするためのコードを用意します。

今回はSnyk labsにあるnodejs-goofを利用します。これは脆弱性を含んだデモアプリケーションのコードになります。

Snyk labsにはNode.js以外にもJavaやDockerなどの脆弱性を含んだサンプルが用意されています。

上記のレポジトリをフォーク、ローカルにcloneしVSCodeで開けます。
すると自動的にSnykで分析が実行され分析結果が下記のように表示されます。

の３つのカテゴリーに分けて表示してくれます。

表示されるアイコンの意味は下記のようになります。

アイコン	セキュリティ緊急度	説明
	Critical	攻撃者が機密データにアクセスし、アプリケーションでコードを実行できるようにする可能性があります。
	High	攻撃者がアプリケーションの機密データにアクセスできるようにする可能性があります。
	Medium	ある条件下で攻撃者がアプリケーションの機密データにアクセスできるようにする可能性があります。
	Low	アプリケーションは、脆弱性マッピングを可能にする一部のデータを公開する可能性があります。これは、他の脆弱性とともに使用して、アプリケーションを攻撃する可能性があります。