صندوق أدوات المصدر المفتوح

أمن المصدر المفتوح، حسب المهمة.

امسح شفرتك، تحقق من المعتمدات، العثور على الأسرار المكشوفة أو إضافة ضمانات إلى وكلاء AI. العثور على مشروع مركز، احتياجات الإعداد وحدوده.

ابحث عن أداة ابدأ بتوجيه OWASP

وتحتاج معظم الأدوات إلى مطور أو مالك لتكنولوجيا المعلومات لإعدادها واستعراض النتائج. كل قائمة تربطها بالمشروع الرسمي و البداية السريعة. OWASP المراجع أدناه تساعدك على تحديد ما يجب التحقق منه.

هل تريد أن تعمل هذه الأدوات كعامل أمني واحد؟

اختر أداة لفجوة محددة، سمّي شخص ما لتشغيلها، واقرر كيف تصبح النتائج ثابتة. ابدأ بمتجرك الحالي لتعقب القضايا والأدلة؛ قارن برامج التنسيق أو الدعم المنظم فقط إذا أصبح هذا العمل عنقاً.

بناء تدفق للعمل حول الأدوات التي تستخدمها بالفعل

اختر الوظيفة

ابحث عن نقطة البداية

المصادر المستعرضة: 2026-10-29

مشاريع أو مهام البحث

مشاريع Shielda فقط

فئة المشروع

المشاريع المبينة: 12 / 12

الوقت الأسبوعي للفريق: التخطيط لأفراد 1–25

سيناريو التخطيط: أشخاص من طراز 1–25، حتى حواسيب وأجهزة من طراز 25، ومستودعات من طراز 1–3، وبيئة سحابية صغيرة عند الاقتضاء. بعد الإعداد الأولي، دون أي حادث نشط أو تراكم كبير. الوقت هو المشاركة الأسبوعية الكاملة لفريق العملاء وليس الوقت لكل شخص أو وقت تشغيل الماسح الضوئي.

وتشمل النطاقات الاستعراض الروتيني والإدارة وإسناد أعمال المتابعة. إضافة بنود على متن السفينة، وتنفيذ الإصلاحات، والحوادث، والتحسينات الرئيسية، وعمليات الاستعادة، والتدقيق/العمل القانوني بصورة منفصلة. وتشمل الأدوات وظائف مختلفة: لا تضيف تقديرات متداخلة أو تقارنها كترتيب للسرعة.

وهي ميزانيات زمنية للتحرير، لا مطالبات البائعين، أو المتوسطات المرصودة، أو التزامات الخدمات. ونضيف البدلات المعروضة لمهمتين متكررتين. ويفسر توثيق المنتجات الموصولة المهام وليس عدد الساعات. استبدل العلاوة بسجل زمني من الطيار الخاص بك؛ البيئات الأكبر أو الأكثر تعقيدا خارج هذا السيناريو.

مسح رمز المصدر

Semgrep Community Edition

العثور على الأنماط المشبوهة والأخطاء الشائعة في شفرة المصدر باستخدام قواعد قابلة للحل.

إستعمله لـ: مطور يريد فحص شفرات مركز محلياً أو في طلب سحب

المشاركة الأسبوعية لفريق العملاء

~1–3 ح/الأسبوع

تقدير تحريري للتخطيط · 1–25 شخصاً · إجمالي وقت الفريق بعد الإعداد

ما الذي يتضمنه هذا البدل؟

استعراض النتائج الجديدة مع أصحاب المستودعات: 30–90 دقيقة/أسبوع
الحفاظ على القواعد والتحقق من التغطية بالمسح الضوئي: 30–90 دقيقة/أسبوع

السيناريو والاستثناءات

إعداد، جهد وحدود

كيف تستخدمه: اختر قواعد لغتك، امسح مستودع واحد، ثم راجع النتائج مع مالك الرمز.
من يديره: إعداد المطور؛ قاعدة اختيار و استعراض العثور.
ما الذي يجب معرفته؟: تحليل CE يقتصر على دالة أو ملف. محرك LGPL هو مصدر مفتوح؛ Semgrep قواعد الصيانة لها ترخيص منفصل يقتصر على الاستخدام الداخلي. ولخصائص المنبر مصطلحات منفصلة.

Semgrep & contributors LGPL-2.1 (engine); separate rule licenses

ابدأ GitHub خطّط مع أداة

تحقق من المعتمدات

OSV-Scanner

تطابق الحزم التي يستخدمها مشروعك مع إرشادات الضعف المعروفة في OSV.

إستعمله لـ: أول فحص تبعي للمستودع أو ملف قفل أو صورة حاوية.

المشاركة الأسبوعية لفريق العملاء

~0.5–2 ح/الأسبوع

تقدير تحريري للتخطيط · 1–25 شخصاً · إجمالي وقت الفريق بعد الإعداد

ما الذي يتضمنه هذا البدل؟

استعراض النشرات الجديدة والنسخ المتأثرة: 15–60 دقيقة/أسبوع
تحقق من مدخلات المسح واعين تحسينات: 15–60 دقيقة/أسبوع

السيناريو والاستثناءات

إعداد، جهد وحدود

كيف تستخدمه: امسح دليل المصدر أو ملفات الحزم الداعمة. استعراض النسخ المتأثرة واختبار أي ترقية مقترحة.
من يديره: مطور سطر أو CI الإعداد.
ما الذي يجب معرفته؟: وتعتمد التغطية على النظم الإيكولوجية المدعومة والبيانات الاستشارية. النتيجة النظيفة لا تغطي حشرات رمزية مخصصة أو كل عنصر منتشر.

Google & contributors Apache-2.0

ابدأ GitHub خطّط مع أداة

تحقق من المعتمدات

OWASP Dependency-Check

الإبلاغ عن أوجه الضعف المعروفة المرتبطة بتبعيات التطبيق.

إستعمله لـ: الأفرقة التي تريد تقارير عن التبعية في مبنى قائم، بما في ذلك مافن أو جرادل.

المشاركة الأسبوعية لفريق العملاء

~0.5–2 ح/الأسبوع

تقدير تحريري للتخطيط · 1–25 شخصاً · إجمالي وقت الفريق بعد الإعداد

ما الذي يتضمنه هذا البدل؟

استعراض النشرات الجديدة والنسخ المتأثرة: 15–60 دقيقة/أسبوع
تحقق من مدخلات المسح واعين تحسينات: 15–60 دقيقة/أسبوع

السيناريو والاستثناءات

إعداد، جهد وحدود

كيف تستخدمه: إضافة بناء تكامل أو تشغيل CLI. إبقاء البيانات الاستشارية حديثة واستعراض الحزمة متطابقة.
من يديره: إعداد المطور، تجميع البيانات واستعراض القمع.
ما الذي يجب معرفته؟: رزمة التعريف يمكن أن تنتج تطابقات خاطئة. ويؤثّر اعتماد مصادر البيانات وحدود الأسعار على المسح الضوئي؛ ويوصى بقوة بوضع مفتاح للمؤشرات القياسية لأسعار الصرف الوطنية.

OWASP project contributors Apache-2.0

ابدأ GitHub خطّط مع أداة

تحقق من المعتمدات

OWASP Dependency-Track

(ج) تتبع المخاطر التي تنطوي عليها مكونات التطبيقات باستخدام فواتير برامجيات المواد.

إستعمله لـ: فريق يحتاج إلى رؤية مستمرة عبر العديد من المشاريع، ما بعد المسح مرة واحدة.

المشاركة الأسبوعية لفريق العملاء

~1–3 ح/الأسبوع

تقدير تحريري للتخطيط · 1–25 شخصاً · إجمالي وقت الفريق بعد الإعداد

ما الذي يتضمنه هذا البدل؟

نتائج عناصر الاستعراض في جميع المشاريع: 30–90 دقيقة/أسبوع
تحقق من SBOM تحميلات وخدمة صحية: 30–90 دقيقة/أسبوع

السيناريو والاستثناءات

إعداد، جهد وحدود

كيف تستخدمه: توليد SBOMs في بناياتك، وتقديمها إلى الخدمة وتعيين المالكين لاستعراض التغييرات.
من يديره: شخص ما يجب أن يستضيف الخدمة ويحافظ على SBOM تحميل.
ما الذي يجب معرفته؟: وهو يعتمد على قوائم الجرد الحالية الكاملة وعلى التغذية الاستشارية. وهو لا يحل محل استعراض رموز المصادر أو عمليات التحقق من النشر.

OWASP project contributors Apache-2.0

ابدأ GitHub خطّط مع أداة

ابحث عن أسرار مكشوفة

Gitleaks

الصيانة: رقع أمنية فقط

ابحث عن كلمات مرور محتملة، مفاتيح API و رموز في تاريخ أو ملفات جيت.

إستعمله لـ: التحقق من مستودع قبل تقاسمه أو منع السر الجديد يرتكب.

المشاركة الأسبوعية لفريق العملاء

~0.5–1 ح/الأسبوع

تقدير تحريري للتخطيط · 1–25 شخصاً · إجمالي وقت الفريق بعد الإعداد

ما الذي يتضمنه هذا البدل؟

مراجعة الأسرار المشتبه بها مع أصحابها: 15–30 دقيقة/أسبوع
تحقق من تغطية المستودع والاستثناءات: 15–30 دقيقة/أسبوع

السيناريو والاستثناءات

إعداد، جهد وحدود

كيف تستخدمه: امسح المستودع وأضف فحصاً مسبقاً أو فحصاً سرياً. إلغاء أو تدوير إعتمادات مكشوفة مؤكدة
من يديره: إعداد المطور و مالك وثائق التثبيت
ما الذي يجب معرفته؟: الكشف لا يلغي بيانات الاعتماد. يقتصر إصدار تحديثات Gitleaks حالياً لدى المشرف على التصحيحات الأمنية؛ راجع README قبل اعتماد الأداة. وتخضع GitHub Action المنفصلة لشروطها الخاصة.

Gitleaks contributors MIT (CLI)

ابدأ GitHub خطّط مع أداة

اختبر تطبيق الويب

ZAP

فحص تطبيق تشغيل على الشبكة واختبار نقاط الضعف المشتركة على الشبكة.

إستعمله لـ: اختبار كيف يتصرف تطبيقك على HTTP، جنبا إلى جنب مع الشيفرة والتحقق من التبعية.

المشاركة الأسبوعية لفريق العملاء

~1–3 ح/الأسبوع

تقدير تحريري للتخطيط · 1–25 شخصاً · إجمالي وقت الفريق بعد الإعداد

ما الذي يتضمنه هذا البدل؟

استعراض النتائج على الشبكة العالمية واستنساخ الأولويات: 30–90 دقيقة/أسبوع
تحقق من نطاق الاختبار، التوثيق والمسح: 30–90 دقيقة/أسبوع

السيناريو والاستثناءات

إعداد، جهد وحدود

كيف تستخدمه: ابدأي ببيئة اختباركِ الخاصة اضبط الدخول والنطاق بحيث يصل الماسح الضوئي إلى الميزات التي تحتاج إلى التحقق منها.
من يديره: إعداد المطور أو المختبر؛ يحتاج المسح الموثق إلى مزيد من التشكيل.
ما الذي يجب معرفته؟: المسح النشط يرسل هجمات تجريبية ويمكن أن يغير حالة التطبيق. مسح الأهداف المأذون بها فقط؛ لا يزال منطق الأعمال وقواعد الوصول بحاجة إلى اختبارات يدوية.

ZAP by Checkmarx & contributors Apache-2.0

ابدأ GitHub خطّط مع أداة

تحقق من البنية التحتية

Trivy

مسح صور الحاويات والملفات وتعاريف البنية التحتية لأوجه الضعف المعروفة، والأسرار وأوجه سوء التشكيل.

إستعمله لـ: فحص أول عملي لصورة حاوية أو مستودع للنشر.

المشاركة الأسبوعية لفريق العملاء

~0.5–2 ح/الأسبوع

تقدير تحريري للتخطيط · 1–25 شخصاً · إجمالي وقت الفريق بعد الإعداد

ما الذي يتضمنه هذا البدل؟

استعراض النشرات الجديدة والنسخ المتأثرة: 15–60 دقيقة/أسبوع
تحقق من مدخلات المسح واعين تحسينات: 15–60 دقيقة/أسبوع

السيناريو والاستثناءات

إعداد، جهد وحدود

كيف تستخدمه: اختر الأهداف وأنواع الماسحات الضوئية، قم بعمل مسح ضوئي، وخصص النتائج للأشخاص الذين يستطيعون تغيير الصورة أو التشكيل.
من يديره: مطور أو مالك بنية تحتية؛ تحديث البيانات وضبط السياسات.
ما الذي يجب معرفته؟: وتعتمد النتائج على الحزم المدعومة والماسحات الضوئية المختارة. فهو لا يصعّب تلقائيا خدمة حية أو يثبت إمكانية استغلالها.

Aqua Security & contributors Apache-2.0

ابدأ GitHub خطّط مع أداة

تحقق من البنية التحتية

Checkov

تحقق من ملفات البنية التحتية كرمز للتشكيل الخطر قبل النشر.

إستعمله لـ: الأفرقة التي تستخدم Terraform أو GloudFormation أو Kopernetes أو Helm أو ملفات نشر مماثلة.

المشاركة الأسبوعية لفريق العملاء

~0.5–2 ح/الأسبوع

تقدير تحريري للتخطيط · 1–25 شخصاً · إجمالي وقت الفريق بعد الإعداد

ما الذي يتضمنه هذا البدل؟

استعراض نتائج التشكيل مع أصحاب الهياكل الأساسية: 15–60 دقيقة/أسبوع
المحافظة على التغطية بالمسح الضوئي والاستثناءات من السياسات: 15–60 دقيقة/أسبوع

السيناريو والاستثناءات

إعداد، جهد وحدود

كيف تستخدمه: مسح دليل البنية التحتية محلياً أو في CI. مراجعة السياسات الفاشلة مع الشخص المسؤول عن البيئة.
من يديره: المعارف المتعلقة بالهياكل الأساسية؛ وضبط السياسات والاستثناءات المبررة.
ما الذي يجب معرفته؟: لا يستطيع مسح التشكيلات إثبات أن البيئة الحية تطابق الملفات. ولخدمات المنصات المستضيفة وبعض عمليات دمج البيانات متطلبات منفصلة.

Prisma Cloud / Bridgecrew & contributors Apache-2.0

ابدأ GitHub خطّط مع أداة

استعراض ممارسات المشاريع

OpenSSF Scorecard

استعراض ممارسات المستودعات من قبيل استعراض الرموز، وتحديث إجراءات الاعتماد على الغير، وبناء وسائل الحماية.

إستعمله لـ: اختيار اعتماد مفتوح المصدر أو تحسين الطريقة التي يتم بها الحفاظ على مشروعك الخاص.

المشاركة الأسبوعية لفريق العملاء

~0.5–1 ح/الأسبوع

تقدير تحريري للتخطيط · 1–25 شخصاً · إجمالي وقت الفريق بعد الإعداد

ما الذي يتضمنه هذا البدل؟

مراجعة عمليات التحقق من ممارسات المشاريع: 15–30 دقيقة/أسبوع
تعيين متابعة إنشاء المستودعات: 15–30 دقيقة/أسبوع

السيناريو والاستثناءات

إعداد، جهد وحدود

كيف تستخدمه: ابحث في كل حالة على حدة عن مستودع واقرر ما هي الثغرات المهمة في حالة استخدامك.
من يديره: المشرف أو المطور الذي يستطيع تفسير إعدادات المستودع.
ما الذي يجب معرفته؟: الشيكات عبارة عن تشوهات مع إيجابيات خاطئة وسلبيات. والنتيجة العالية ليست دليلا على أن الشفرة آمنة أو خالية من نقاط الضعف.

OpenSSF & contributors Apache-2.0

ابدأ GitHub خطّط مع أداة

نظم الرصد والارشادات

Wazuh

جمع الأحداث الأمنية ورصد الحواسيب والأجهزة لمعالجة المسائل المتعلقة بالتشكيلات، وتغيير الملفات وأوجه الضعف المعروفة.

إستعمله لـ: فريق مع شخص ما متاح لتشغيل الرصد والتحقيق في الإنذارات.

المشاركة الأسبوعية لفريق العملاء

~3–6 ح/الأسبوع

تقدير تحريري للتخطيط · 1–25 شخصاً · إجمالي وقت الفريق بعد الإعداد

ما الذي يتضمنه هذا البدل؟

فرز الأحداث الأمنية وتحديد الاستجابة: 120–240 دقيقة/أسبوع
الحفاظ على صحة الوكلاء والقواعد والخدمات: 60–120 دقيقة/أسبوع

السيناريو والاستثناءات

إعداد، جهد وحدود

كيف تستخدمه: نشر المكونات المركزية وعوامل الجهاز، ضبط القواعد وتحديد من يستجيب لكل تنبيه.
من يديره: إدارة النظام والعمليات الأمنية الجارية.
ما الذي يجب معرفته؟: ولا يزال الاستضافة، والتحديث، واستعراض الإنذار، والاستجابة، عملكم. تختلف الرخص حسب العنصر: يشمل المستودع الحالي رمز محرك GPL-2.0 وAGPL-3.0.

Wazuh & contributors GPL-2.0 / AGPL-3.0 by component

ابدأ GitHub خطّط مع أداة

عناصر التحكم AI

بواسطة Shielda

Agent Guard

اختبار ألفا

مكتبات typeScript التي تحد من الأدوات التي يمكن لوكيل AI تشغيلها، وعلى الموارد، وعلى أي الموافقات.

إستعمله لـ: المطورون يضيفون تنفيذ أدوات متحكم بها أو دمجات MCP إلى تطبيق عامل.

المشاركة الأسبوعية لفريق العملاء

لم تقاس بعد

تأكيد المسؤوليات والوقت في المشروع التجريبي

مكتبة تجريبية مع قواعد خاصة بالنفاذ والموافقة. إجراء استعراض للمنح، وتغييرات في السياسات، ومعالجة الحوادث في عملية دمجكم؛ لا يتم وضع معيار مرجعي أسبوعي متكرر.

السيناريو والاستثناءات

إعداد، جهد وحدود

كيف تستخدمه: أدوات التسجيل، وإتاحة الوصول إلى المهام والمكالمات عبر الطرق من خلال الحارس. أضف تدفق موافقتك الموثقة للإجراءات الحساسة.
من يديره: دمج نوع سكربت واستعراض نموذج التهديد.
ما الذي يجب معرفته؟: ألفا التجريبي. وهي تتحكم في المكالمات المسجلة في إطار عملية واحدة؛ وهي ليست صندوقا رملا أو جهازا عالميا للكشف عن الحقن السريع. ويحتاج الإنفاذ الدائم أو الموزع إلى بنية تحتية إضافية.

ShieldaAI Apache-2.0

ابدأ GitHub خطّط مع أداة

نظم الرصد والارشادات

بواسطة Shielda

Security Watch

اختبار ألفا

تطابق التعليمات الأمنية والأخبار مع المخزون المعلن، الاحتفاظ بالأدلة وإرسال النتائج إلى (سلاك) أو البريد الإلكتروني.

إستعمله لـ: منشأة صغيرة تحتاج إلى تغذية استشارية مركزة لمكتباتها ونظمها.

المشاركة الأسبوعية لفريق العملاء

~0.5–2 ح/الأسبوع

تقدير تحريري للتخطيط · 1–25 شخصاً · إجمالي وقت الفريق بعد الإعداد

ما الذي يتضمنه هذا البدل؟

الاستعراض يطابق النصائح ويعين الإجراء: 15–60 دقيقة/أسبوع
تحديث قوائم الجرد والتحقق من صحة الولادة: 15–60 دقيقة/أسبوع

السيناريو والاستثناءات

إعداد، جهد وحدود

كيف تستخدمه: تقديم الحزم الاسمية والنسخ الثابتة الدقيقة حيثما كانت معروفة. ابدأ بالركض الجاف؛ يمكن أن تعمل فحوصات المكتبات المنظمة بدون AI.
من يديره: إعداد خدمة العقدة، الجرد الحالي وشخص ما لمراجعة الإنذارات.
ما الذي يجب معرفته؟: ألفا التجريبي. إنه لا يصلح البرمجيات أو يثبت سلامة النظام. يحتاج الإصدارات المفقودة، والنطاقات غير المدعمة، ومطابقات أسماء المنتجات إلى استعراض.

ShieldaAI Apache-2.0

ابدأ GitHub خطّط مع أداة

ارشادات و قوائم مرجعية

أعرف ما تبحث عنه مع OWASP

وتشرح هذه الإشارات المخاطر ومتطلبات التنفيذ والتحقق الأكثر أمانا. استخدمهم لتخطيط استعراض وتفسير نتائج الماسح الضوئي.

OWASP Top 10

فهم مخاطر التطبيق الرئيسية على الشبكة العالمية واستخدامها لوضع إطار محادثة مع مطوّرك. هذا دليل للوعي، وليس ماسح ضوئي أو خطة اختبار كاملة.

اقرأ الدليل

OWASP Cheat Sheet Series

اعثر على إرشادات عملية لتطبيق المصادقة وضوابط الوصول وحماية الأسرار وأمن وكلاء الذكاء الاصطناعي وغيرها من الموضوعات الأمنية المحددة.

اقرأ الدليل

OWASP ASVS

تحويل أمن التطبيق إلى مجموعة محددة من المتطلبات ومهام التحقق. انتقِ نطاق مع المطور أو المستعرض و سجّل دليل.

اقرأ الدليل

ويحتفظ Shielda بالمشاريع التي تحمل اسم "By Shielda" وينشر هذا الدليل. وتصف القوائم وثائق المشاريع التمهيدية؛ وهي ليست شهادات أمنية مستقلة.

أتحتاجين إلى كومة كاملة؟