Кутия с инструменти с отворен код

Охраната на открития източник, по задача.

Сканирайте кода си, проверете зависимостите, намерете разкрити тайни или добавете предпазни мерки към агентите на AI. Намерете фокусиран проект, неговите нужди за настройка и неговите граници.

Търсене на инструмент Започнете с ръководството на OWASP

Повечето инструменти се нуждаят от разработчик или собственик на ИТ, за да ги създаде и преглед на констатациите. Всеки списък линкове към официалния проект и бърз старт. Препоръките на OWASP по-долу ви помагат да решите какво да проверите.

Искате ли тези инструменти да работят като един процес за сигурност?

Изберете инструмент за конкретна празнина, име някой да го работи и да реши как констатациите стават проверени поправки. Започнете със съществуващия си проблем тракер и магазин за доказателства; сравни софтуер за координация или управлявана поддръжка само ако тази работа се превърне в пречка.

Изграждане на работен процес около инструментите, които вече използвате

Изберете си работа

Намерете отправната си точка

Преразгледани източници: 2026-10-29

Търсене на проекти или задачи

Само проекти на Shielda

Категория проекти

Показани проекти: 12 / 12

Седмично време на екипа: планиране за 1–25 души

Сценарий на планиране: 1–25 хора, до 25 компютри и устройства, 1–3 хранилища и една малка облачна среда, където е уместно. След първоначалното настройване, без активен инцидент или основен заден ход. Времето е комбинираното седмично участие на целия екип клиенти, а не времето на човек или време на скенер.

Обхватите обхващат рутинна проверка, администриране и присвояване на последващи дейности. Добавяне на борда, изпълнение корекции, инциденти, големи подобрения, възстановяване на упражнения и одит / правна работа отделно. Инструментите обхващат различни работни места: не добавят припокриващи се оценки или ги сравняват като класация на скоростта.

Това са бюджети за редакционно време, а не вземания на продавачи, наблюдавани средни стойности или задължения за обслужване. Добавяме показаните квоти за две повтарящи се задачи. Свързаните с продукта документи обясняват задачите, а не броя на часовете. Заменете надбавката с времеви дневник от собствения си пилот; по-големи или по-сложни среди са извън този сценарий.

Код на източника за сканиране

Semgrep Community Edition

Намерете подозрителни модели и често срещани грешки в изходния код, използвайки конфигуративни правила.

Използвай го за: Разработчик, който иска фокусирана проверка на кода на местно ниво или в искане за изтегляне.

Участие на клиентите и екипите в седмичните сесии

~1–3 h/седмица

Надбавка за редакционно планиране · 1–25 човека · общо за екипа след настройка

Какво е включено в тази издръжка?

Преглед на нови констатации със собствениците на хранилището: 30–90 мин/ седмица
Поддържане на правилата и проверка на обхвата на сканирането: 30–90 мин/ седмица

Сценарий и изключения

Настройка, усилие и ограничения

Как да го използвате: Изберете правила за вашия език, сканирайте едно хранилище, след това прегледайте откритията със собственика на кода.
Кой го управлява?: Настройки на разработчиците; избор на правила и намиране на рецензия.
Какво да знам?: CE анализът е ограничен до функция или файл. Двигателят LGPL е с отворен код; правилата, поддържани от Semgrep, имат отделен лиценз, ограничен до вътрешна употреба. Функциите на платформата имат отделни условия.

Semgrep & contributors LGPL-2.1 (engine); separate rule licenses

Започвайте.GitHub План с този инструмент

Проверка на зависимостите

OSV-Scanner

Съвпадение на пакетите, които вашият проект използва, за да известни консултанти уязвимост в OSV.

Използвай го за: Първа проверка на зависимостта за изображение на хранилище, заключване или контейнер.

Участие на клиентите и екипите в седмичните сесии

~0,5–2 h/седмица

Надбавка за редакционно планиране · 1–25 човека · общо за екипа след настройка

Какво е включено в тази издръжка?

Преглед на нови консултации и засегнати версии: 15–60 мин/ седмица
Проверка на входовете за сканиране и присвояване на ъпгрейди: 15–60 мин/ седмица

Сценарий и изключения

Настройка, усилие и ограничения

Как да го използвате: Сканиране на изходната директория или поддържани пакети. Преглед на засегнатите версии и тест на всяко предложено подобрение.
Кой го управлява?: Разработка на команден ред или настройка на CI.
Какво да знам?: Обхватът зависи от подкрепяните екосистеми и консултативните данни. Чистият резултат не обхваща грешки в потребителския код или всеки разгърнат компонент.

Google & contributors Apache-2.0

Започвайте.GitHub План с този инструмент

Проверка на зависимостите

OWASP Dependency-Check

Докладване на известните уязвимости, свързани с зависимостите на приложения.

Използвай го за: Екипи, които искат доклади за зависимост в съществуваща сграда, включително Мейвън или Грейдъл.

Участие на клиентите и екипите в седмичните сесии

~0,5–2 h/седмица

Надбавка за редакционно планиране · 1–25 човека · общо за екипа след настройка

Какво е включено в тази издръжка?

Преглед на нови консултации и засегнати версии: 15–60 мин/ седмица
Проверка на входовете за сканиране и присвояване на ъпгрейди: 15–60 мин/ седмица

Сценарий и изключения

Настройка, усилие и ограничения

Как да го използвате: Добавяне на изграждане на интеграция или стартирате CLI. Поддържайте консултативните данни актуални и прегледайте съвпадението на пакетите.
Кой го управлява?: Настройване на разработчиците, обработка на данни и потискане на прегледа.
Какво да знам?: Идентификацията на пакета може да доведе до фалшиви съвпадения. Акредитивите и лимитите на скоростта на източника на данни влияят върху сканирането; клавишът за API за NVD е силно препоръчан нагоре по веригата.

OWASP project contributors Apache-2.0

Започвайте.GitHub План с този инструмент

Проверка на зависимостите

OWASP Dependency-Track

Риск от компоненти на коловоза при приложения, използващи софтуерни сметки за материали (SBOMs).

Използвай го за: Екип, който се нуждае от постоянна видимост по няколко проекта, отвъд еднократен скенер.

Участие на клиентите и екипите в седмичните сесии

~1–3 h/седмица

Надбавка за редакционно планиране · 1–25 човека · общо за екипа след настройка

Какво е включено в тази издръжка?

Преглед на констатациите на компонентите в проектите: 30–90 мин/ седмица
Проверете ъплоудовете на SBOM и здравето на услугите: 30–90 мин/ седмица

Сценарий и изключения

Настройка, усилие и ограничения

Как да го използвате: Генериране на SBOM в своите конструкции, да ги представи на услугата и да възложи на собствениците да преразгледат промените.
Кой го управлява?: Някой трябва да бъде домакин на услугата и да поддържа SBOM качване.
Какво да знам?: Това зависи от пълните, текущи инвентаризации и консултативните фуражи. Той не заменя проверките на изходния код или на разполагането.

OWASP project contributors Apache-2.0

Започвайте.GitHub План с този инструмент

Търсене на разкрити тайни

Gitleaks

Поддържане: само защитени пластири

Намерете вероятни пароли, API ключове и символи в Git история или файлове.

Използвай го за: Проверка на хранилището преди споделяне или предотвратяване на нови ангажименти.

Участие на клиентите и екипите в седмичните сесии

~0,5–1 h/седмица

Надбавка за редакционно планиране · 1–25 човека · общо за екипа след настройка

Какво е включено в тази издръжка?

Преглед на предполагаеми тайни с техните собственици: 15–30 мин/ седмица
Проверка на покритието на хранилището и изключенията: 15–30 мин/ седмица

Сценарий и изключения

Настройка, усилие и ограничения

Как да го използвате: Сканиране на хранилището и добавяне на предварителен ангажимент или CI проверка. Превъртане или завъртане на потвърдените експонирани пълномощия.
Кой го управлява?: Настройки на разработчиците и притежател на документи за поправки.
Какво да знам?: Засичането не отменя пълномощията. Подръжникът сега ограничава освобождаването на Gitleaks за сигурност лепенки; проверете README преди да го приемете. Отделното GitHub действие има свои собствени условия.

Gitleaks contributors MIT (CLI)

Започвайте.GitHub План с този инструмент

Тестване на уеб приложение

ZAP

Огледайте работещо уеб приложение и тест за общи уеб уязвимости.

Използвай го за: Тестване как вашето приложение се държи над HTTP, заедно с код и проверки зависимост.

Участие на клиентите и екипите в седмичните сесии

~1–3 h/седмица

Надбавка за редакционно планиране · 1–25 човека · общо за екипа след настройка

Какво е включено в тази издръжка?

Преглед на уеб констатациите и възпроизвеждане на приоритети: 30–90 мин/ седмица
Проверка на обхвата на изпитването, конфигурацията за удостоверяване и сканиране: 30–90 мин/ седмица

Сценарий и изключения

Настройка, усилие и ограничения

Как да го използвате: Започнете със собствената си среда за тестване. Настройване на вход и обхват, така че скенерът достига до функциите, които трябва да проверите.
Кой го управлява?: Настройване на разработчиците или тестерите; заверените сканирания се нуждаят от повече конфигурация.
Какво да знам?: Активните сканирания изпращат тестови атаки и могат да променят състоянието на приложението. Сканирайте само разрешени цели, бизнес логиката и правилата за достъп все още се нуждаят от ръчни тестове.

ZAP by Checkmarx & contributors Apache-2.0

Започвайте.GitHub План с този инструмент

Проверка на инфраструктурата

Trivy

Сканиране на изображения на контейнери, файлове и инфраструктурни дефиниции за известни уязвимости, тайни и погрешно конфигуриране.

Използвай го за: Практична първа проверка за изображение на контейнер или хранилище за разполагане.

Участие на клиентите и екипите в седмичните сесии

~0,5–2 h/седмица

Надбавка за редакционно планиране · 1–25 човека · общо за екипа след настройка

Какво е включено в тази издръжка?

Преглед на нови консултации и засегнати версии: 15–60 мин/ седмица
Проверка на входовете за сканиране и присвояване на ъпгрейди: 15–60 мин/ седмица

Сценарий и изключения

Настройка, усилие и ограничения

Как да го използвате: Изберете вида на целта и скенера, стартирайте сканиране и да зададете констатациите на хората, които могат да променят изображението или конфигурацията.
Кой го управлява?: Разработчик или собственик на инфраструктура; актуализиране на данните и политики мелодия.
Какво да знам?: Констатациите зависят от поддържаните пакети и избраните скенери. Тя не втвърдява автоматично услуга на живо или не доказва експлоатативност.

Aqua Security & contributors Apache-2.0

Започвайте.GitHub План с този инструмент

Проверка на инфраструктурата

Checkov

Проверка на файлове с инфраструктурни кодове за рискова конфигурация преди внедряване.

Използвай го за: Екипи, които използват тераформени, CloudFormation, Kubernetes, Helm или подобни файлове за разгръщане.

Участие на клиентите и екипите в седмичните сесии

~0,5–2 h/седмица

Надбавка за редакционно планиране · 1–25 човека · общо за екипа след настройка

Какво е включено в тази издръжка?

Преглед на констатациите от конфигурацията със собствениците на инфраструктура: 15–60 мин/ седмица
Поддържане на обхвата на сканирането и изключенията от политиката: 15–60 мин/ седмица

Сценарий и изключения

Настройка, усилие и ограничения

Как да го използвате: Сканиране на инфраструктурна директория локално или в CI. Прегледът на неуспешните политики с лицето, отговарящо за околната среда.
Кой го управлява?: Инфраструктурни знания; настройка на политиката и оправдани изключения.
Какво да знам?: Конфигурационното сканиране не може да докаже, че средата на живо съвпада с файловете. Хостуваните услуги на платформите и някои интеграции на данни имат отделни изисквания.

Prisma Cloud / Bridgecrew & contributors Apache-2.0

Започвайте.GitHub План с този инструмент

Преглед на практиките на проекта

OpenSSF Scorecard

Преглед на практиките на хранилището, като преглед на кодовете, актуализиране на зависимостта и изграждане на защитни мерки.

Използвай го за: Избиране на зависимост от отворен източник или подобряване на начина, по който се поддържа собственият ви проект.

Участие на клиентите и екипите в седмичните сесии

~0,5–1 h/седмица

Надбавка за редакционно планиране · 1–25 човека · общо за екипа след настройка

Какво е включено в тази издръжка?

Прегледът промени проверките на изпълнението на проектите: 15–30 мин/ седмица
Задаване на последващи действия във връзка с определяне на хранилището: 15–30 мин/ седмица

Сценарий и изключения

Настройка, усилие и ограничения

Как да го използвате: Огледайте отделните проверки за хранилище и да реши кои пропуски имат значение за вашия случай на използване.
Кой го управлява?: Поддръжник или разработчик, който може да интерпретира настройките на хранилището.
Какво да знам?: Чековете са евристика с фалшиви положителни и отрицателни резултати. Високият резултат не е доказателство, че кодът е безопасен или не е уязвим.

OpenSSF & contributors Apache-2.0

Започвайте.GitHub План с този инструмент

Наблюдение на системи и съвети

Wazuh

Събиране на събития за сигурност и наблюдение на компютри и устройства за конфигурационни въпроси, файлови промени и известни уязвимости.

Използвай го за: Екип с някой на разположение за наблюдение и разследване на сигнали.

Участие на клиентите и екипите в седмичните сесии

~3–6 h/седмица

Надбавка за редакционно планиране · 1–25 човека · общо за екипа след настройка

Какво е включено в тази издръжка?

Обработване на събития за сигурност и определяне на отговор: 120–240 мин/ седмица
Поддържане на агенти, правила и здраве на обслужването: 60–120 мин/ седмица

Сценарий и изключения

Настройка, усилие и ограничения

Как да го използвате: Използвайте централните компоненти и устройства, настройте правилата и определяйте кой отговаря на всеки сигнал.
Кой го управлява?: Текуща система за управление и операции по сигурността.
Какво да знам?: Хостинг, новини, преглед на сигналите и отговор остават вашата работа. Лицензите се различават по компонент: текущото хранилище включва кода на двигателя GPL-2.0 и AGPL-3.0.

Wazuh & contributors GPL-2.0 / AGPL-3.0 by component

Започвайте.GitHub План с този инструмент

Контролни AI агенти

От Shielda

Agent Guard

Експериментален алфа

TypeScript библиотеки, които ограничават това, което инструменти AI агент може да работи, на които ресурси, и с които одобрява.

Използвай го за: Разработчиците добавят контролирани инструменти за изпълнение или MCP интеграции към приложение за агент.

Участие на клиентите и екипите в седмичните сесии

Все още не е измерено

Потвърждение на отговорностите и времето на пилота

Експериментална библиотека с специфични правила за достъп и одобрение. Мярка преглед на безвъзмездна помощ, промени в политиката и работа с инциденти във вашата интеграция; не се установява периодично седмичен бенчмарк.

Сценарий и изключения

Настройка, усилие и ограничения

Как да го използвате: Регистрирайте инструменти, дайте достъп до задачите и маршрут разговори чрез пазача. Добавете свой собствен автентичен поток за одобрение за чувствителни действия.
Кой го управлява?: Интеграция на TypeScript и преглед на модела на заплаха.
Какво да знам?: Експериментален алфа. Тя контролира регистрираните повиквания в рамките на един процес; тя не е OS пясъчник или универсален детектор за бързо инжектиране. Издръжливите или разпределените мерки за изпълнение се нуждаят от допълнителна инфраструктура.

ShieldaAI Apache-2.0

Започвайте.GitHub План с този инструмент

Наблюдение на системи и съвети

От Shielda

Security Watch

Експериментален алфа

Съвпадение на съветите за сигурност и новини за деклариран инвентар, запази доказателствата и изпрати констатации на Slack или имейл.

Използвай го за: Малка инсталация, която се нуждае от фокусиран консултативен фураж за своите библиотеки и системи.

Участие на клиентите и екипите в седмичните сесии

~0,5–2 h/седмица

Надбавка за редакционно планиране · 1–25 човека · общо за екипа след настройка

Какво е включено в тази издръжка?

Преразглеждане, придружено от консултации и възлагане на действие: 15–60 мин/ седмица
Актуализиране на инвентара и проверка на здравето на доставката: 15–60 мин/ седмица

Сценарий и изключения

Настройка, усилие и ограничения

Как да го използвате: Посочете имената на пакетите и точните инсталирани версии, ако са известни. Започнете със сух пробег; структурираните чекове библиотека може да работи без AI.
Кой го управлява?: Настройка на обслужването на Node.js, настоящ инвентар и някой, който да прегледа сигналите.
Какво да знам?: Експериментален алфа. Той не залепва софтуер или доказва, че системата е безопасна. Липсващите версии, неподдържаните диапазони и продуктовите мачове изискват преразглеждане.

ShieldaAI Apache-2.0

Започвайте.GitHub План с този инструмент

Ръководство и контролни списъци

Знаете ли какво да търсите с OWASP

Тези препратки обясняват рисковете, по-безопасните изисквания за изпълнение и проверка. Използвайте ги, за да планирате преглед и интерпретиране на резултатите от скенера.

OWASP Top 10

Разберете големи рискове уеб приложения и да ги използвате, за да рамкира разговор с вашия разработчик. Това е наръчник за информираност, не скенер или пълен тестов план.

Прочети ръководството.

OWASP Cheat Sheet Series

Намерете практически насоки за изпълнение за установяване на автентичността, контрол на достъпа, тайни, агенти на ИИ и други специфични теми за сигурност.

Прочети ръководството.

OWASP ASVS

Превръщане на сигурността на заявлението в определен набор от изисквания и задачи по проверката. Изберете обхвата с вашия разработчик или рецензент и запишете доказателствата.

Прочети ръководството.

Shielda поддържа проектите с надпис „By Shielda“ и публикува това ръководство. В списъците се описва документацията за проекта нагоре по веригата; те не са независими сертификати за сигурност.

Трябва ли ти пълен пакет?