Open-source toolbox

Bezpečnost otevřeného zdroje, podle úkolu.

Skenujte svůj kód, zkontrolujte závislosti, najděte odhalená tajemství nebo přidejte záruky agentům AI. Najít cílený projekt, jeho potřeby nastavení a jeho limity.

Najít nástroj Začněte s naváděním OWASP

Většina nástrojů potřebuje developera nebo vlastníka IT, aby je nastavil a přezkoumal zjištění. Každý seznam odkazů na oficiální projekt a rychlý start. Níže uvedené reference OWASP vám pomohou rozhodnout, co zkontrolovat.

Chcete, aby tyto nástroje fungovaly jako jeden bezpečnostní pracovní postup?

Vyberte nástroj pro určitou mezeru, pojmenujte někoho, kdo ji bude ovládat a rozhodněte, jak se zjištění stanou ověřenými opravami. Začněte se svým existujícím vysílačem a skladem důkazů; porovnejte koordinační software nebo spravovanou podporu pouze tehdy, pokud se tato práce stane neprůstřelnou.

Sestavte si pracovní postup kolem nástrojů, které již používáte

Vyberte si práci

Najděte výchozí bod

Přezkoumané zdroje: 2026-10-29

Vyhledávání projektů nebo úkolů

Pouze projekty Shielda

Kategorie projektu

Uvedené projekty: 12 / 12

Týdenní čas týmu: plánování pro 1–25 lidi

Plánovací scénář: 1–25 lidé, až 25 počítače a zařízení, 1–3 repozitáře a případně jedno malé cloudové prostředí. Po počátečním nastavení, bez aktivního incidentu nebo velkého backlogu. Čas je celý zákaznický tým kombinované týdenní zapojení, ne čas na osobu nebo scanner runtime.

Rozsahy pokrývají rutinní recenzi, správu a přiřazení následných prací. Přidat na palubu, implementovat opravy, incidenty, velké upgrady, obnovit cvičení a audit / právní práce odděleně. Nástroje pokrývají různá pracovní místa: nepřidávají překrývající se odhady ani je nesrovnávají jako hodnocení rychlosti.

Jedná se o redakční časové rozpočty, nikoli tvrzení prodávajícího, pozorované průměry nebo závazky služby. Přidáváme zobrazené příspěvky pro dva opakující se úkoly. Propojená dokumentace výrobku vysvětluje úkoly, nikoli počet hodin. Nahradit příspěvek časovým záznamem z vlastního pilota; větší nebo více složitých prostředí jsou mimo tento scénář.

Skenovat zdrojový kód

Semgrep Community Edition

Najít podezřelé vzory a běžné chyby ve zdrojovém kódu pomocí konfigurovatelných pravidel.

Použij to pro: Developer, který chce koncentrovaný kód zkontrolovat lokálně nebo v žádosti o vytažení.

Týdenní zapojení zákazníka a týmu

~1–3 h/ týden

Příspěvek na redakční plánování · lidé 1–25 · celkem po nastavení

Co je součástí tohoto příspěvku?

Prozkoumejte nové poznatky s vlastníky úložiště: 30–90 min/ týden
Udržovat pravidla a kontrolovat pokrytí skenů: 30–90 min/ týden

Scénář a vyloučení

Nastavení, meze intenzity a intenzity

Jak ji používat: Vyberte si pravidla pro svůj jazyk, proskenujte jeden repozitář a potom projděte zjištění u majitele kódu.
Kdo to řídí?: Nastavení vývojáře; výběr pravidel a hledání recenze.
Co vědět?: CE analýza je omezena na funkci nebo soubor. Motor LGPL je otevřeným zdrojem; udržovaná pravidla Semgrep mají samostatnou licenci omezenou na interní použití. Vlastnosti platformy mají samostatné podmínky.

Semgrep & contributors LGPL-2.1 (engine); separate rule licenses

Začněte.GitHub Plán s tímto nástrojem

Kontrola závislostí

OSV-Scanner

Shodujte se s balíky, které váš projekt používá ke známým poradcům ohledně zranitelnosti v OSV.

Použij to pro: První kontrola závislosti na úložišti, uzamykatelném souboru nebo obrázku kontejneru.

Týdenní zapojení zákazníka a týmu

~0,5–2 h/ týden

Příspěvek na redakční plánování · lidé 1–25 · celkem po nastavení

Co je součástí tohoto příspěvku?

Přezkum nových poradců a postižených verzí: 15–60 min/ týden
Zkontrolujte skenovací vstupy a přiřaďte upgrady: 15–60 min/ týden

Scénář a vyloučení

Nastavení, meze intenzity a intenzity

Jak ji používat: Skenujte svůj zdrojový adresář nebo podporované balíkové soubory. Přezkum ovlivnil verze a otestoval jakoukoliv navrženou aktualizaci.
Kdo to řídí?: Developerská příkazová linka nebo nastavení CI.
Co vědět?: Pokrytí závisí na podporovaných ekosystémech a poradenských údajích. Čistý výsledek nezahrnuje samoobslužné chybové kódy nebo každou nasazenou součástku.

Google & contributors Apache-2.0

Začněte.GitHub Plán s tímto nástrojem

Kontrola závislostí

OWASP Dependency-Check

Hlášení známých zranitelností spojených se závislostí na aplikaci.

Použij to pro: Týmy, které chtějí zprávy o závislosti v existující budově, včetně Maven nebo Gradle.

Týdenní zapojení zákazníka a týmu

~0,5–2 h/ týden

Příspěvek na redakční plánování · lidé 1–25 · celkem po nastavení

Co je součástí tohoto příspěvku?

Přezkum nových poradců a postižených verzí: 15–60 min/ týden
Zkontrolujte skenovací vstupy a přiřaďte upgrady: 15–60 min/ týden

Scénář a vyloučení

Nastavení, meze intenzity a intenzity

Jak ji používat: Přidejte integraci budování nebo spusťte CLI. Udržujte aktuální poradenské údaje a prohlédněte si shodu balíčků.
Kdo to řídí?: Nastavení vývojáře, data caching a potlačení recenze.
Co vědět?: Identifikace balíku může vyvolat falešné shody. Údaje a limity datového zdroje ovlivňují skenování; velmi se doporučuje klíč NVD API proti proudu.

OWASP project contributors Apache-2.0

Začněte.GitHub Plán s tímto nástrojem

Kontrola závislostí

OWASP Dependency-Track

Riziko složek koleje napříč aplikacemi využívajících softwarové bankovky materiálů (SBOM).

Použij to pro: Tým, který potřebuje trvalou viditelnost v několika projektech, mimo jednorázový sken.

Týdenní zapojení zákazníka a týmu

~1–3 h/ týden

Příspěvek na redakční plánování · lidé 1–25 · celkem po nastavení

Co je součástí tohoto příspěvku?

Přezkum zjištění složek v rámci projektů: 30–90 min/ týden
Zkontrolujte SBOM uploady a zdraví služby: 30–90 min/ týden

Scénář a vyloučení

Nastavení, meze intenzity a intenzity

Jak ji používat: Generovat SBOMs ve svých stavbách, odeslat je do služby a přiřadit majitele k přezkoumání změn.
Kdo to řídí?: Někdo musí hostit službu a udržovat SBOM nahrávání.
Co vědět?: Záleží na kompletních, aktuálních zásobách a poradenských kanálech. Nenahrazuje kontroly zdrojového kódu ani kontroly nasazení.

OWASP project contributors Apache-2.0

Začněte.GitHub Plán s tímto nástrojem

Najít odhalená tajemství

Gitleaks

Údržba: pouze bezpečnostní náplasti

Najít pravděpodobné hesla, API klíče a žetony v historii Git nebo soubory.

Použij to pro: Kontrola úložiště před sdílením nebo zabránění nových tajných revizí.

Týdenní zapojení zákazníka a týmu

~0,5–1 h/ týden

Příspěvek na redakční plánování · lidé 1–25 · celkem po nastavení

Co je součástí tohoto příspěvku?

Prozkoumejte podezření na tajemství se svými vlastníky: 15–30 min/ týden
Zkontrolujte pokrytí úložiště a výjimky: 15–30 min/ týden

Scénář a vyloučení

Nastavení, meze intenzity a intenzity

Jak ji používat: Skenujte repozitář a přidejte kontrolu před comit nebo CI. Změňte nebo otočte potvrzenou totožnost.
Kdo to řídí?: Nastavení vývojáře a majitel certifikátu pro opravy.
Co vědět?: Detekce nezrušuje pověřovací listiny. Správce nyní omezuje Gitteaks uvolňování na bezpečnostní záplaty; zkontrolujte README před jeho přijetím. Samostatná akce GitHub má své vlastní podmínky.

Gitleaks contributors MIT (CLI)

Začněte.GitHub Plán s tímto nástrojem

Otestovat webovou aplikaci

ZAP

Prohlédněte běžící webovou aplikaci a testujte na běžné webové zranitelnosti.

Použij to pro: Testování toho, jak se vaše aplikace chová po HTTP, vedle kontrol kódu a závislosti.

Týdenní zapojení zákazníka a týmu

~1–3 h/ týden

Příspěvek na redakční plánování · lidé 1–25 · celkem po nastavení

Co je součástí tohoto příspěvku?

Prozkoumejte poznatky z webu a reprodukujte priority: 30–90 min/ týden
Zkontrolujte rozsah zkoušek, autentizaci a konfiguraci skenu: 30–90 min/ týden

Scénář a vyloučení

Nastavení, meze intenzity a intenzity

Jak ji používat: Začněte s vlastním testovacím prostředím. Nastavte přihlášení a rozsah tak, aby skener dosáhl funkcí, které potřebujete zkontrolovat.
Kdo to řídí?: Nastavení vývojáře nebo testera; ověřené skenování vyžaduje více konfigurace.
Co vědět?: Aktivní skeny posílají testovací útoky a mohou změnit stav aplikace. Skenujte pouze schválené cíle; obchodní logika a přístupová pravidla stále potřebují ruční testy.

ZAP by Checkmarx & contributors Apache-2.0

Začněte.GitHub Plán s tímto nástrojem

Kontrolní infrastruktura

Trivy

Skenujte snímky kontejnerů, soubory a definice infrastruktury pro známé slabiny, tajemství a mylné konfigurace.

Použij to pro: Praktická první kontrola úložiště obrázků nebo nasazení kontejnerů.

Týdenní zapojení zákazníka a týmu

~0,5–2 h/ týden

Příspěvek na redakční plánování · lidé 1–25 · celkem po nastavení

Co je součástí tohoto příspěvku?

Přezkum nových poradců a postižených verzí: 15–60 min/ týden
Zkontrolujte skenovací vstupy a přiřaďte upgrady: 15–60 min/ týden

Scénář a vyloučení

Nastavení, meze intenzity a intenzity

Jak ji používat: Vyberte typ cíle a scanneru, spusťte skenování a přiřaďte zjištění lidem, kteří mohou změnit obrázek nebo konfiguraci.
Kdo to řídí?: Vývojář nebo vlastník infrastruktury; aktualizovat data a naladit politiky.
Co vědět?: Výsledky závisí na podporovaných balíčcích a vybraných skenerech. Netvrdí automaticky živou službu ani neprokáže vykořisťitelnost.

Aqua Security & contributors Apache-2.0

Začněte.GitHub Plán s tímto nástrojem

Kontrolní infrastruktura

Checkov

Před nasazením zkontrolujte soubory s kódem infrastruktury pro rizikovou konfiguraci.

Použij to pro: Týmy používající soubory Terraform, CloudFormation, Kubernetes, Helm nebo podobné soubory pro nasazení.

Týdenní zapojení zákazníka a týmu

~0,5–2 h/ týden

Příspěvek na redakční plánování · lidé 1–25 · celkem po nastavení

Co je součástí tohoto příspěvku?

Přezkum zjištění konfigurace s vlastníky infrastruktury: 15–60 min/ týden
Udržet pokrytí skenem a výjimky z politiky: 15–60 min/ týden

Scénář a vyloučení

Nastavení, meze intenzity a intenzity

Jak ji používat: Skenujte adresář infrastruktury lokálně nebo v CI. Přezkum neúspěšných politik s osobou odpovědnou za životní prostředí.
Kdo to řídí?: Znalosti infrastruktury; doladění politiky a odůvodněné výjimky.
Co vědět?: Konfigurační sken nemůže prokázat, že živé prostředí odpovídá souborům. Hostované služby platformy a některé integrace dat mají samostatné požadavky.

Prisma Cloud / Bridgecrew & contributors Apache-2.0

Začněte.GitHub Plán s tímto nástrojem

Přezkum postupů projektu

OpenSSF Scorecard

Revizní postupy úložiště, jako je přezkum kódů, aktualizace závislosti a budování ochrany.

Použij to pro: Výběr závislosti na otevřených zdrojích nebo zlepšení způsobu, jakým je váš vlastní projekt udržován.

Týdenní zapojení zákazníka a týmu

~0,5–1 h/ týden

Příspěvek na redakční plánování · lidé 1–25 · celkem po nastavení

Co je součástí tohoto příspěvku?

Přezkum změněných kontrol v praxi projektu: 15–30 min/ týden
Přiřadit následné sledování nastavení úložiště: 15–30 min/ týden

Scénář a vyloučení

Nastavení, meze intenzity a intenzity

Jak ji používat: Prohlédněte jednotlivé kontroly úložiště a rozhodněte se, které mezery jsou důležité pro váš případ použití.
Kdo to řídí?: Správce nebo vývojář, který umí interpretovat nastavení úložiště.
Co vědět?: Šeky jsou heuristiky s falešnými pozitivy a negativy. Vysoké skóre není důkazem, že kód je bezpečný nebo bez zranitelnosti.

OpenSSF & contributors Apache-2.0

Začněte.GitHub Plán s tímto nástrojem

Monitorovací systémy a poradenství

Wazuh

Sbírejte bezpečnostní události a monitorujte počítače a zařízení pro konfigurační problémy, změny souborů a známé zranitelnosti.

Použij to pro: Tým s někým, kdo je k dispozici pro sledování a vyšetřování upozornění.

Týdenní zapojení zákazníka a týmu

~3–6 h/ týden

Příspěvek na redakční plánování · lidé 1–25 · celkem po nastavení

Co je součástí tohoto příspěvku?

Třídění bezpečnostních událostí a přiřazení odezvy: 120–240 min/ týden
Udržování agentů, pravidel a zdraví služeb: 60–120 min/ týden

Scénář a vyloučení

Nastavení, meze intenzity a intenzity

Jak ji používat: Nasadit centrální komponenty a agenty zařízení, naladit pravidla a definovat, kdo reaguje na každý poplach.
Kdo to řídí?: Probíhající systémová správa a bezpečnostní operace.
Co vědět?: Hosting, aktualizace, přehled a odpověď zůstávají vaší prací. Licence se liší podle složky: aktuální úložiště obsahuje kód motoru GPL-2.0 a AGPL-3.0.

Wazuh & contributors GPL-2.0 / AGPL-3.0 by component

Začněte.GitHub Plán s tímto nástrojem

Kontrolní agenti AI

Podle Shielda

Agent Guard

Experimentální alfa

Knihovny TypeScript, které omezují nástroje agenta AI, mohou spustit, na které zdroje a s jejichž schválením.

Použij to pro: Vývojáři přidávají řízené provedení nástroje nebo MCP integrace do aplikace agenta.

Týdenní zapojení zákazníka a týmu

Zatím neměřeno

Potvrdit povinnosti a čas v pilotním prostoru

Experimentální knihovna s aplikačními pravidly pro přístup a schvalování. Recenze grantů na opatření, změny politiky a řešení incidentů ve vaší integraci; není stanovena žádná opakující se týdenní referenční hodnota.

Scénář a vyloučení

Nastavení, meze intenzity a intenzity

Jak ji používat: Zaregistrovat nástroje, poskytnout přístup k úkolům a trasu volání přes stráž. Přidejte svůj vlastní ověřený schvalovací tok pro citlivé akce.
Kdo to řídí?: Integrace TypeScriptu a revize modelu hrozeb.
Co vědět?: Experimentální alfa. Ovládá registrované hovory v rámci jednoho procesu; nejedná se o OS pískoviště nebo univerzální detektor rychlé injektáže. Trvalé nebo distribuované vymáhání potřebuje další infrastrukturu.

ShieldaAI Apache-2.0

Začněte.GitHub Plán s tímto nástrojem

Monitorovací systémy a poradenství

Podle Shielda

Security Watch

Experimentální alfa

Shoda bezpečnostních poradců a novinky na deklarovaný inventář, udržet důkazy a poslat zjištění na Slack nebo e-mail.

Použij to pro: Malá instalace, která potřebuje specializovaný poradní kanál pro své knihovny a systémy.

Týdenní zapojení zákazníka a týmu

~0,5–2 h/ týden

Příspěvek na redakční plánování · lidé 1–25 · celkem po nastavení

Co je součástí tohoto příspěvku?

Přezkum odpovídajících poradců a přidělení opatření: 15–60 min/ týden
Aktualizace inventury a kontrola dodávek zdraví: 15–60 min/ týden

Scénář a vyloučení

Nastavení, meze intenzity a intenzity

Jak ji používat: Uveďte názvy balíků a přesně nainstalované verze, pokud jsou známy. Začněte s dry run; strukturované kontroly knihovny mohou fungovat bez AI.
Kdo to řídí?: Nastavení služby Uzel, aktuální inventář a někdo, kdo prověří upozornění.
Co vědět?: Experimentální alfa. To není patch software nebo prokázat, že systém je bezpečný. Chybějící verze, nepodporované rozsahy a shoda s názvem produktu vyžadují přezkum.

ShieldaAI Apache-2.0

Začněte.GitHub Plán s tímto nástrojem

Pokyny a kontrolní seznamy

Víte, co hledat s OWASP

Tyto odkazy vysvětlují rizika, bezpečnější požadavky na provádění a ověřování. Použijte je k naplánování přehledu a interpretaci výsledků skeneru.

OWASP Top 10

Pochopte velké riziko webové aplikace a použijte je k zarámování konverzace s vaším vývojářem. Tohle je informační příručka, ne skener nebo kompletní testovací plán.

Přečti si průvodce.

OWASP Cheat Sheet Series

Najít praktické pokyny pro implementaci pro ověřování, kontrolu přístupu, tajemství, agenty AI a další konkrétní bezpečnostní témata.

Přečti si průvodce.

OWASP ASVS

Změnit bezpečnost aplikace na definovaný soubor požadavků a ověřovacích úkolů. Vyberte rozsah s vaším vývojářem nebo recenzentem a zaznamenejte důkazy.

Přečti si průvodce.

Shielda udržuje projekty označené Shielda a vydává tuto příručku. Seznamy popisují projektovou dokumentaci; nejsou to nezávislé bezpečnostní certifikáty.

Potřebujete kompletní stoh?