Snyk CLI 시작하기

Snyk CLI 소개

Snyk는 개발자 우선의 클라우드 네이티브 보안 도구로, 소프트웨어 개발 프로젝트의 보안 취약점을 스캔하고 모니터링합니다. Snyk는 여러 콘텐츠 유형에서 보안 문제를 스캔합니다:

• Snyk Open Source: 오픈소스 취약점을 찾아 자동으로 수정합니다
• Snyk Code: 애플리케이션 코드의 취약점을 실시간으로 찾아 수정합니다
• Snyk Container: 컨테이너 이미지 및 Kubernetes 애플리케이션의 취약점을 찾아 수정합니다
• Snyk IaC: Terraform 및 Kubernetes 코드의 안전하지 않은 구성을 찾아 수정합니다

Snyk CLI는 Snyk의 기능을 개발 워크플로우로 가져옵니다. 명령줄 또는 IDE에서 로컬로 CLI를 실행할 수 있습니다. 또한 CI/CD 파이프라인에서도 실행할 수 있습니다. 다음은 Snyk CLI test 명령어 출력의 예입니다.

Snyk CLI test 명령어 출력 예시

Snyk CLI 스캔은 다양한 언어와 도구를 지원합니다. 자세한 내용은 다음을 참조하세요:

• 지원 언어, 패키지 관리자 및 프레임워크 (Open Source 및 Snyk Code)
• Container 지원 운영 체제 배포판
• 지원 IaC 언어 및 클라우드 제공업체

이 페이지에서는 CLI를 사용하여 설치, 인증 및 스캔을 시작하는 방법을 설명합니다. Snyk에는 이 단계를 안내하는 온보딩 마법사도 있습니다. 데모를 보려면 Snyk 시작하기: CLI 온보딩 흐름 개요를 확인하세요.

Snyk CLI 설치 및 머신 인증

CLI를 사용하려면 설치하고 머신을 인증해야 합니다. Snyk CLI 설치 또는 업데이트 및 CLI를 계정에 인증을 참조하세요. 각 릴리스의 변경 사항 요약은 릴리스 노트를 참조할 수 있습니다. 코드를 스캔하기 전에 Snyk CLI 코드 실행 경고를 검토하세요.

{% hint style="info" %} Open Source 스캔에 CLI를 사용하려면 먼저 패키지 관리자를 설치해야 합니다. Gradle 또는 Maven과 같은 필요한 타사 도구가 PATH에 있어야 합니다. {% endhint %}

IDE 또는 CI/CD 환경에도 CLI를 설치할 수 있습니다. 자세한 내용은 각 통합에 대한 지침을 위해 IDE 및 CI/CD 문서를 참조하세요.

설치 테스트

인증 후 설치를 테스트할 수 있습니다. 빠른 테스트를 위해 snyk --help를 실행하세요.

또는 공개 npm 패키지(예: snyk test ionic)에서 빠른 테스트를 수행할 수 있습니다.

터미널에서 test 명령어 보고서를 확인하세요. 보고서는 Snyk가 패키지에서 발견한 취약점을 보여줍니다. 발견된 각 문제에 대해 Snyk는 문제의 심각도를 보고하고, 상세 설명 링크를 제공하며, 취약한 모듈이 시스템에 유입된 경로를 보고하고, 문제 해결 방법에 대한 지침을 제공합니다.

개발 프로젝트 스캔

Snyk CLI를 사용하여 Open Source 프로젝트의 취약점을 테스트하기 전에 (몇 가지 예외를 제외하고) 프로젝트를 빌드해야 합니다. 자세한 내용은 테스트 전에 빌드해야 하는 오픈소스 프로젝트를 참조하세요.

또한 오픈소스 프로젝트의 언어에 따라 Snyk CLI를 사용하기 전에 언어 환경을 설정해야 할 수도 있습니다. 자세한 내용은 지원 언어, 패키지 관리자 및 프레임워크를 참조하세요.

CLI를 설치하고 머신을 인증한 후 오픈소스 프로젝트를 스캔하려면 cd /my/project/를 사용하여 현재 디렉터리를 package.json, pom.xml 또는 composer.lock과 같은 지원되는 패키지 매니페스트 파일이 포함된 폴더로 변경합니다. 그런 다음 snyk test를 실행합니다. 식별된 모든 취약점이 경로 및 수정 지침과 함께 나열됩니다.

소스 코드를 스캔하려면 snyk code test를 실행합니다.

Docker 이미지를 태그로 스캔할 수 있습니다(예: snyk container test ubuntu:18.04).

Kubernetes(K8s) 파일을 스캔하려면 다음을 실행합니다:
snyk iac test /path/to/kubernetes_file.yaml

Snyk CLI를 사용하여 각 콘텐츠 유형을 스캔하는 방법에 대한 자세한 내용은 다음을 참조하세요:

• Snyk Open Source용 Snyk CLI 및 test와 monitor 명령어에 대한 CLI 도움말
• Snyk Code용 Snyk CLI 및 Snyk Code CLI 도움말
• Snyk Container용 Snyk CLI (Docker 스캔 포함) 및 Snyk Container CLI 도움말
• Snyk IaC용 Snyk CLI (Terraform 및 Kubernetes(K8s) 프로젝트 포함) 및 Snyk IAC CLI 도움말

오픈소스 또는 컨테이너 프로젝트 모니터링

Snyk는 오픈소스 또는 컨테이너 통합 SCM 프로젝트를 정기적으로 모니터링하고 새로운 취약점에 대해 경고할 수 있습니다. 프로젝트를 모니터링하도록 설정하려면 snyk monitor 또는 snyk container monitor를 실행합니다.

이렇게 하면 현재 종속성의 스냅샷이 생성되어 Snyk가 정기적으로 코드를 스캔할 수 있습니다. 그런 다음 Snyk는 새로 공개된 취약점이 도입되거나 이전에 사용할 수 없었던 패치 또는 업그레이드 경로가 생성될 때 경고할 수 있습니다. 다음 코드는 snyk monitor 명령어 출력의 예시입니다.

> snyk monitor
Monitoring /project (project-name)...

Explore this snapshot at
https://app.snyk.io/org/my-org/project/29361c2c-9005-4692
-8df4-88f1c040fa7c/history/e1c994b3-de5d-482b-9281-eab4236c851e

Notifications about newly disclosed issues related to these
dependencies will be emailed to you.

Snyk 계정에 로그인하고 프로젝트 페이지로 이동하여 최신 스냅샷과 스캔 결과를 찾을 수 있습니다:

Snyk monitor 스냅샷 및 스캔 결과

자세한 내용은 정기적으로 프로젝트 모니터링을 참조하세요.

테스트 소진

테스트 제한은 공개 리포지토리에 적용되지 않습니다. 개인 리포지토리와 관련된 테스트 제한이 공개 리포지토리 테스트에 사용되고 있음을 발견한 경우 Snyk CLI가 스캔 중인 리포지토리의 공개 URL을 Snyk에 알려 해결할 수 있습니다. 이렇게 하면 Snyk가 공개 리포지토리를 테스트 제한에 포함하지 않습니다.

오픈소스 프로젝트에서 테스트가 소진된 경우 다음 단계를 따르세요:

• snyk monitor를 실행합니다.
• Snyk Web UI에서 프로젝트의 설정으로 이동합니다.
• Git 원격 URL 아래에 오픈소스 리포지토리의 URL을 입력합니다.

Snyk CLI 추가 정보

snyk help를 실행하거나 CLI 명령어 및 옵션 요약을 참조하세요.

빠른 비디오 교육 세션을 위해 Snyk CLI 소개 과정을 참조하세요.

Snyk는 또한 치트 시트 (블로그 게시물)를 제공합니다.

특히, 다음 옵션에 대한 정보를 참조하면 유용할 수 있습니다:

• --severity-threshold=low|medium|high|critical: 지정된 수준 이상의 취약점만 보고합니다.
• --json: 결과를 JSON 형식으로 출력합니다.
• --all-projects: 작업 디렉터리의 모든 프로젝트를 자동으로 감지합니다.

CLI에 대한 자세한 내용은 CLI 문서를 참조하세요.

Snyk CLI 지원 받기

Snyk 지원 페이지의 리소스를 사용하여 Snyk CLI 또는 일반적인 Snyk 사용에 대한 도움을 찾으세요. Snyk 지원은 Snyk 개발 프로젝트의 GitHub 이슈를 적극적으로 모니터링하지 않습니다.

Snyk CLI는 기여가 종료되었습니다

2024년 7월 22일부터 Snyk CLI는 외부 기여를 더 이상 받지 않습니다.

CLI의 광범위한 사용과 복잡한 특성으로 인해 사소한 수정도 예상치 못한 결과를 초래할 수 있습니다. 2024년 4월 CLI 코드에 릴리스 채널을 도입한 이후 Snyk는 릴리스 안정화에 집중해 왔습니다. Snyk는 이 오픈소스, 기여 종료 모델이 이 목표에 가장 잘 부합한다고 생각합니다.

Snyk 고객 및 CLI 사용자에 대한 투명성의 정신에 따라 Snyk는 공개적으로 계속 작업할 것입니다. 그러나 앞으로 Snyk CLI는 기여가 종료됩니다.

Snyk는 Snyk 커뮤니티에 감사와 감사를 표합니다.

보안

보안 문제나 우려 사항이 있는 경우 GitHub 리포지토리의 SECURITY.md 파일을 참조하세요.