Snyk Essentials
Snyk Essentials는 AppSec 팀이 광범위한 애플리케이션 가시성 및 보안 범위 관리를 통해 Snyk 사용을 더 잘 운영하고 확장하도록 돕습니다.
개요
Snyk Essentials는 다음을 지원합니다.
자동화된 앱 자산 검색: 애플리케이션 자산을 지속적으로 검색하고 비즈니스 컨텍스트별로 분류하여 보안이 개발과 동기화되도록 합니다.
맞춤형 보안 제어: 적절한 보안 및 규정 준수 요구 사항을 정의 및 관리하고 올바른 제어가 이루어지고 있는지 확인합니다.
위험 기반 우선순위 지정: 애플리케이션 컨텍스트 및 동급 최고의 보안 분석 및 수정 지침을 기반으로 각 앱의 위험을 평가하여 개발자 수정 노력을 비즈니스에 가장 중요한 문제에 집중하도록 합니다.
다음 비디오는 Snyk Essentials의 기능을 보여줍니다.
기능
Snyk Essentials에는 다음 기능이 포함되어 있습니다.
자산 검색을 위한 SCM 도구, 보안 제어 범위를 위한 Snyk 애플리케이션 보안 테스트 제품, 정책 작업을 위한 티켓팅 또는 알림 도구에서 데이터를 수집하는 것을 지원하는 통합. 통합 페이지를 사용하여 새로운 통합을 추가하고 설정하십시오.
비즈니스 컨텍스트로 자산을 분류하고 태그를 지정하고 정책 빌더 UI를 사용하여 작업을 구성하는 정책.
자산 관리 및 Snyk 범위 보기를 위한 인벤토리 레이아웃.
위젯을 보고, 추가하고, 사용자 지정할 수 있는 대시보드.
필수 구성 요소
Snyk Enterprise 고객이어야 합니다.
리포지토리 자산 검색을 위해 클라우드 기반 SCM 도구(Azure DevOps, GitHub, GitLab 등)를 Snyk Essentials에 온보딩하는 데 필요한 권한이 있어야 합니다.
Git 코드 리포지토리를 Snyk Essentials와 통합할 때 Snyk에 가져온 코드뿐만 아니라 코드 리포지토리 전체에 대한 광범위한 보기가 있는 보조 토큰을 사용해야 합니다.
Snyk을 사용하여 온보딩된 모든 것을 교차 확인하려면 보조 토큰을 사용하십시오.
보조 토큰을 사용하면 조직 수준 구성에서 제한된 토큰으로 인한 사각지대가 발생할 가능성을 줄일 수 있습니다.
첫 번째 가져오기, 동기화는 완료하는 데 최대 24시간이 걸릴 수 있습니다.
권한
Snyk Essentials는 Snyk Enterprise 플랜에 포함되어 있습니다. 액세스하는 데 추가 권한이 필요하지 않습니다. 기본 사용자 역할 및 권한에 대한 자세한 내용은 기본 사용자 역할을 참조하십시오.
로그인 및 인증
기존 메커니즘(SSO, Google SAML 등)을 사용하여 Snyk에 로그인하고 인증하십시오.
주요 개념
자산 (Asset)
애플리케이션의 SDLC에서 의미 있는 실제 구성 요소. 여기서 의미 있다는 것은 위험을 수반하거나 다른 구성 요소의 위험을 집계하는 것(예: 패키지를 포함하는 리포지토리)을 의미하고 실제 구성 요소라는 것은 개념이 Snyk 외부에도 존재한다는 것을 의미합니다(예: 리포지토리(일반적으로 적용 가능한 용어)).
제어 (Controls)
자산과 관련된 보안 제어. 보안 제어의 모든 사용 가능한 상태를 보려면 범위 제어 섹션으로 이동하십시오.
범위 (Coverage)
애플리케이션 보안 프로그램과 관련하여 적용 가능한 자산이 보안 도구(예: Snyk Open Source)에 의해 스캔되고 테스트되는지 여부에 대한 평가. 어떤 제어를 적용해야 하는지, 그리고 선택적으로 얼마나 자주 실행해야 하는지 지정할 수 있는 정책 유형.
태그 (Tags)
자산을 분류하는 방법. 상호 속성에 따라 자산을 다르게 인식하거나 처리하는 데 도움이 됩니다. 인벤토리에서 또는 정책 규칙을 만들 때 태그별로 자산을 필터링할 수 있습니다. 태그는 자산에 자동으로 할당되거나 생성한 정책에 의해 자산에 태그가 지정될 수 있습니다. GitHub 및 GitLab 토픽은 자산 태그로 취급되며 이를 사용하여 정책을 만들 수 있습니다.
클래스 (Class)
자산에 비즈니스 컨텍스트를 할당하고 비즈니스 중요도에 따라 자산을 분류하는 방법. 자산은 Class A, B, C 또는 D로 할당될 수 있으며, Class A(비즈니스에 중요하고 민감한 데이터를 처리하며 규정 준수 대상 등)가 가장 중요하고 Class D(테스트 앱, 샌드박스 환경 등)가 가장 중요하지 않습니다. 자산은 기본적으로 Class C로 할당됩니다. 클래스는 정책에서 사용될 수 있으며 정책에서 정의될 수도 있습니다.
정책 (Policy)
비즈니스 컨텍스트로 자산을 분류하고 태그를 지정하는 것과 같이 특정 조건에서 작업을 자동화하는 방법. 정책 빌더 UI를 사용하여 메시지 전송 또는 범위 격차 제어 설정과 같은 작업을 구성하는 데 정책을 사용할 수도 있습니다.
스캔 방법
웹 UI, CLI, API 또는 PR 검사를 사용하여 스캔을 시작할 수 있습니다. 자세한 내용은 스캔 시작을 참조하십시오.
CLI를 사용하여 스캔을 시작하는 경우 다음 상황 중 하나가 발생할 수 있습니다.
CLI가 스캔하는 디렉토리에
.git폴더가 있는 경우,git remoteurl은 Snyk Open Source, Snyk Container, 및 Snyk IaC에 대해 자동으로 선택됩니다.
Snyk Code는 CLI가 스캔하는 디렉토리에 .git 폴더가 있는 경우에도 git remoteurl을 자동으로 선택하지 않습니다.
CLI가 스캔하는 디렉토리에
.git폴더가 없는 경우, 동일한 결과를 얻기 위해 다른 테스트 또는 모니터 명령을 사용할 수 있습니다.snyk monitor, Snyk Open Source용snyk iac test- 또한--report명령이 필요합니다.snyk container monitor- 옵션 없음.snyk code test- 옵션 없음.
Last updated