# 在你的DevOps中加入一點Security — GitLab CI/CD with Snyk - 鄭荃樺 (Barry.Cheng)

{%hackmd @DevOpsDay/BymyqYaeo %}
> 各家講者出來分享自己的經驗多少都有些公司內規和公關要求的限制，有些不方便分享的地方（例如：不要張貼簡報截圖）還請大家多多包涵喔（不然就更多人不敢出來分享了）
> [name=DevOpsDays Taipei 2022]
>
> 從這開始

###### tags: `DevOpsDays Taipei 2022`

[snyk官網](https://snyk.io)

產品銷售 QQ

81%認為開發者需要管好程式安全
33%認為維護程式安全是造成交付延後的主因

## 四大功能

Snyk Code確保寫出安全的Code
* 靜態分析SAST
* 開發者優先
* 整合到ＩＤＥ

Snyk Open Source預防有漏洞的相依套件
* Dependency Tree
* Fix Merge Request

Snyk Container 確保Base image 與相依套件安全
* Base Image 版本建議

Snyk IaC 修正錯誤的Configuration
* 支援多種格式
* Terraform
* Cloudformation
* K8S YAML
* 預防錯誤的設定產生

## 使用方式

SAAS，使用時掃描Snyk資安資料庫
會有清單條列可能的vulnerability

### Snyk Auth
* 瀏覽器授權
* API Token
* 設定env: SNYK_TOKEN

### Snyk Test
#### Command

snyk code test
snyk test
snyk cotainer test
snyk ioc test

### Snyk Monitor
持續監控是否有新漏洞

### Snyk Integrations
* IDEs(VSCode, IntelliJ)
* Git repo (GitHub, GitLab)
* CI/CD
* Notification (Slack,Jira)
* Registries(Docker Hub, Harbor)
* Private Registries

### GitLab Automatic Fixing
以Merge的方式進行 由User自行判斷

### IaC Kubernetes YAML
檢查各種security設定

## GItLab CI/CD Pipeline
Code -> GitLab -> **CI** -> CD
將Snyk整合於CI

* .gitlab-ci.yml
* Pipelines
* Stage
* build
* test
* Variables
* Environments
* 設定執行在哪個Infra上 (CD)

### GitLab CICD with Snyk

npm install -g snyk
snyk auth $SNYK_TOKEN
snyk monitor --project-name=devopsday
snyk test

#### Summary
Snyk 4大產品
* Code
* Open Source
* Container
* IaC
DevOps -> DevSecOps
* 漏洞無所不在
* 開發者優先