Snyk Container

Définition

Snyk Container est un outil de sécurité pour les images Docker et les workloads Kubernetes, permettant de détecter et de corriger les vulnérabilités dans les images de conteneurs, les Dockerfiles, et les configurations Kubernetes. Il s'intègre nativement dans les pipelines DevSecOps et les IDEs pour apporter la sécurité conteneur dès le développement (shift-left security). Snyk Container scanne les images Docker en analysant tous les packages installés dans l'image (via le package manager de l'OS de base comme APT, YUM, APK) et les bibliothèques d'application (npm, pip, maven, gradle). Pour chaque composant, Snyk interroge sa base de données de vulnérabilités (combinant NVD, GitHub Advisory Database, et les données propriétaires de Snyk) et retourne les CVE avec leur sévérité, l'existence d'un fix, et le chemin pour corriger. La fonctionnalité Fix PR de Snyk est un différenciateur important : pour les vulnérabilités dans une image de base officielle, Snyk peut proposer automatiquement une Pull Request mettant à jour la version de l'image de base vers une version incluant le patch. Pour les vulnérabilités dans les dépendances de l'application, Snyk propose des mises à jour de package.json, pom.xml, ou requirements.txt vers des versions non-vulnérables. Snyk IaC (Infrastructure as Code) dans Snyk Container scanne aussi les manifests Kubernetes (Deployments, StatefulSets, DaemonSets) pour détecter les configurations de sécurité dangereuses : privileged: true, pas de resource limits, pas de readOnlyRootFilesystem, hostNetwork ou hostPID activés. Ces contrôles de configuration Kubernetes complètent le scan de vulnérabilités d'image pour une vision sécurité complète des workloads conteneurisés. Snyk s'intègre avec les principales plateformes CI/CD (GitHub Actions, GitLab CI, Jenkins, CircleCI), les registres de conteneurs (Docker Hub, ECR, GCR, ACR, Harbor), et les clusters Kubernetes (via un operateur Snyk Monitor déployé dans le cluster pour un scan continu des images en production).