Por que proteger compilações Bazel é tão difícil (e como torná-lo mais fácil)

TL;DR: O Bazel compila rapidamente, mas tornou a segurança uma bagunça. Sem ficheiros de bloqueio, sem visibilidade, muito trabalho manual. Aikido verifica projetos Bazel automaticamente, sinaliza dependências arriscadas e poupa-lhe de scripts personalizados e hacks de CI.

O Desafio de Segurança Bazel

O Bazel é ótimo para grandes bases de código e compilações rápidas, mas não usa ficheiros de bloqueio ou manifestos padrão, o que torna a verificação de segurança um incómodo. A maioria das ferramentas não consegue ver quais bibliotecas você está a usar.

As equipas contornaram isso com scripts ou módulos experimentais do Bazel, apenas para gerar algo que valesse a pena ser verificado. Mas isso é confuso, lento e facilita a perda de CVEs críticos.

Proteger as compilações do Bazel não deveria ser tão difícil. Agora não é mais.

Como Aikido a segurança do Bazel

Com a nova atualização Aikido, trouxemos a nossa abordagem "sem tretas" para os utilizadores do Bazel. Aqui estão as alterações:

• Visibilidade das dependências: Aikido compreende as definições de dependências do Bazel, quer utilize regras BUILD clássicas ou módulos Bazel. Ele identifica automaticamente as bibliotecas de terceiros e as versões que a sua compilação Bazel utiliza. Não tem ficheiro de bloqueio? Não há problema. Aikido os seus ficheiros Bazel e extrai informações de dependências, para que nada fique por verificar.
• Alertas de vulnerabilidade: assim que Aikido as suas dependências, ele as verifica em relação ao nosso banco de dados de vulnerabilidades (e feeds CVE globais). Você recebe alertas em tempo real para quaisquer CVEs conhecidos. Está a usar um Log4j vulnerável via Bazel? Aikido isso instantaneamente, assim como fazemos para outros ecossistemas.‍
• SAST Secrets integrados: Aikido se limita às dependências. Também verificamos os seus projetos baseados em Bazel em busca de problemas de código, secrets e configurações incorretas. Não há necessidade de configurações ou fluxos de trabalho separados. É a mesma experiência amigável para o desenvolvimento, que funciona imediatamente.

De manual a sem esforço: o que isso significa para os desenvolvedores

Todos os programadores que utilizam o Bazel podem agora ser programadores seguros sem esforço adicional. Veja como esta funcionalidade facilita a sua vida:

• Chega de procurar CVEs manualmente: não precisa acompanhar listas de e-mails ou registos de alterações. Aikido as suas dependências do Bazel e avisa-o quando algo falha. Verá os CVEs diretamente no seu Aikido , sem precisar de procurar.
• Menos falsos alarmes: os projetos Bazel geralmente agrupam uma grande quantidade de código gerado e dependências indiretas. A triagem de IA Aikidoelimina o ruído, sinaliza o que realmente importa e ignora o resto.
• CI/CD é opcional, não obrigatório: ao contrário de outras ferramentas, não precisa executar compilações Bazel em CI apenas para obter informações de segurança. Aikido diretamente a partir do seu código, sem necessidade de configuração. Quer integração com CI mesmo assim? Ótimo. Adicione a nossa CLI ao seu pipeline e também detectaremos problemas Bazel. A decisão é sua.
• Confiança para atualizar: os projetos Bazel fixam versões rigidamente. Isso é ótimo... até você precisar fazer uma atualização. Aikido exatamente quais dependências são arriscadas e se existe uma atualização segura. Sem suposições, sem surpresas. Basta aplicar o patch e seguir em frente.

Introdução ao Aikido Segurança Bazel

Começar é fácil: Inscreva-se no Aikido e solicite-nos no chat do aplicativo para ativar a verificação Bazel - ou marque uma ligação rápida com a nossa equipa para obter um passo a passo.

AtualmenteAikido suporta Java via Maven, com GO, C, C++, Python, Scala... em breve.