Realizando Varredura de Dependências SCA com Snyk

Quando Usar

• Quando aplicações utilizam pacotes de código aberto que podem conter vulnerabilidades conhecidas
• Quando a conformidade exige o rastreamento e a remediação de dependências vulneráveis (PCI DSS, SOC 2)
• Quando é necessário ter PRs de correção automatizados para dependências vulneráveis em CI/CD
• Quando a conformidade de licença exige visibilidade sobre as obrigações de licenças de código aberto
• Quando é necessário monitoramento contínuo para vulnerabilidades recém-divulgadas em dependências implantadas

Não use para varrer código de aplicação proprietário em busca de vulnerabilidades lógicas (use SAST), para detecção de vulnerabilidades em tempo de execução (use DAST), ou apenas para varredura de pacotes do sistema operacional de contêineres (use Trivy como alternativa gratuita).

Pré-requisitos

• Conta Snyk (o nível gratuito cobre até 200 testes por mês para código aberto)
• Snyk CLI instalado ou integração Snyk GitHub/GitLab configurada
• Variável de ambiente SNYK_TOKEN definida com o token de autenticação da API
• Projeto com manifestos de pacotes suportados: package.json, requirements.txt, pom.xml, go.mod, Gemfile, etc.

Fluxo de Trabalho

Etapa 1: Instalar e Autenticar Snyk CLI

# Install Snyk CLI
npm install -g snyk

# Authenticate with Snyk
snyk auth $SNYK_TOKEN

# Test the connection
snyk test --json | jq '.summary'

Etapa 2: Varredura de Dependências no Pipeline de CI/CD

# .github/workflows/dependency-scan.yml
name: Dependency Security Scan

on:
  push:
    branches: [main]
  pull_request:
    branches: [main]
  schedule:
    - cron: '0 8 * * 1'  # Weekly Monday 8am

jobs:
  snyk-scan:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4

      - name: Setup Node.js
        uses: actions/setup-node@v4
        with:
          node-version: '20'

      - name: Install dependencies
        run: npm ci

      - name: Run Snyk to check for vulnerabilities
        uses: snyk/actions/node@master
        env:
          SNYK_TOKEN: ${{ secrets.SNYK_TOKEN }}
        with:
          args: >
            --severity-threshold=high
            --fail-on=upgradable
            --json-file-output=snyk-results.json

      - name: Upload results to Snyk
        if: always()
        uses: snyk/actions/node@master
        env:
          SNYK_TOKEN: ${{ secrets.SNYK_TOKEN }}
        with:
          command: monitor
          args: --project-name=${{ github.repository }}

      - name: Upload SARIF
        if: always()
        run: |
          npx snyk-to-html -i snyk-results.json -o snyk-report.html

Etapa 3: Configurar Snyk para Múltiplas Linguagens

# Python project scanning
snyk test --file=requirements.txt --severity-threshold=high --json > snyk-python.json

# Java/Maven project
snyk test --file=pom.xml --severity-threshold=medium --json > snyk-java.json

# Go module scanning
snyk test --file=go.mod --severity-threshold=high --json > snyk-go.json

# Docker image dependency scanning
snyk container test myapp:latest --severity-threshold=high --json > snyk-container.json

# Monorepo: scan all projects
snyk test --all-projects --severity-threshold=high --json > snyk-all.json

# IaC scanning (bonus)
snyk iac test terraform/ --severity-threshold=medium --json > snyk-iac.json

Etapa 4: Configurar Políticas Snyk para a Organização

# .snyk policy file
version: v1.25.0
ignore:
  SNYK-JS-LODASH-1018905:
    - '*':
        reason: "Prototype pollution in lodash. Not exploitable in our usage - no user input reaches affected function."
        expires: 2026-06-01T00:00:00.000Z
        created: 2026-02-23T00:00:00.000Z

  SNYK-PYTHON-REQUESTS-6241864:
    - '*':
        reason: "SSRF in requests redirect handling. Mitigated by allowlist at proxy layer."
        expires: 2026-04-01T00:00:00.000Z

patch: {}

# Severity threshold for CI failures
failOnSeverity: high

Etapa 5: Habilitar Pull Requests de Correção Automatizados

# Snyk fix: generate fix PRs for vulnerable dependencies
snyk fix --dry-run  # Preview changes

# Apply fixes locally
snyk fix

# Enable auto-fix PRs via Snyk dashboard:
# 1. Navigate to Organization Settings > Integrations > GitHub
# 2. Enable "Automatic fix pull requests"
# 3. Set "Fix only direct dependencies" or "Fix direct and transitive"
# 4. Configure branch target (main or develop)

Etapa 6: Varredura de Conformidade de Licença

# Verificar conformidade de licença
snyk test --json | jq '.licensesPolicy'

# Configuração da política de licença Snyk através das configurações da organização:
# - Licenças aprovadas: MIT, Apache-2.0, BSD-2-Clause, BSD-3-Clause, ISC

…