Open source- værktøjskassen

Open source-sikkerhed, efter opgave.

Scan din kode, tjek afhængigheder, find udsatte hemmeligheder eller tilføje sikkerhedsforanstaltninger til AI agenter. Find et fokuseret projekt, dets setup behov og dens grænser.

Find et værktøj Start med OWASP vejledning

De fleste værktøjer har brug for en udvikler eller it-ejer til at oprette dem og gennemgå resultater. Hver liste links til det officielle projekt og quickstart. OWASP referencer nedenfor hjælper dig med at beslutte, hvad du skal kontrollere.

Vil du have disse værktøjer til at fungere som én sikkerhed workflow?

Vælg et værktøj til et bestemt hul, navngiv nogen til at betjene det og beslut, hvordan resultater bliver verificeret rettelser. Start med din eksisterende problem tracker og bevis butik; sammenligne koordinering software eller forvaltet support kun, hvis det arbejde bliver en flaskehals.

Byg et workflow omkring de værktøjer, du allerede bruger

Vælg jobbet

Find dit udgangspunkt

Gennemgåede kilder: 2026-10-29

Søgeprojekter eller opgaver

Kun Shielda-projekter

Projektkategori

Viste projekter: 12 / 12

Ugentlig team tid: planlægning for 1–25 personer

Planlægning scenario: 1–25 mennesker, op til 25 computere og enheder, 1–3 repositories og en lille cloud miljø, hvor det er relevant. Efter indledende opsætning, uden aktiv hændelse eller større efterslæb. Tiden er hele kundeteamets kombinerede ugentlige engagement, ikke tid pr. person eller scanner runtime.

Ranges dækker rutine gennemgang, administration og tildele opfølgningsarbejde. Tilføj onboarding, gennemførelse af rettelser, hændelser, større opgraderinger, gendanne øvelser og audit / juridisk arbejde separat. Værktøjer dækker forskellige job: ikke tilføje overlappende skøn eller sammenligne dem som en hastighed rangering.

Disse er redaktionelle tid budgetter, ikke sælger krav, observerede gennemsnit eller serviceforpligtelser. Vi tilføjer de viste kvoter for to tilbagevendende opgaver. Tilknyttet produktdokumentation forklarer opgaverne, ikke antallet af timer. Erstat tillægget med en tidslog fra din egen pilot; større eller mere komplekse miljøer er uden for dette scenario.

Scan kildekode

Semgrep Community Edition

Find mistænkelige mønstre og almindelige fejl i kildekoden ved hjælp af konfigurerbare regler.

Brug den til: En udvikler, der ønsker en fokuseret kode check lokalt eller i en pull anmodning.

Ugentlig kundeteam-involvering

~1–3 h/uge

Redaktionelt planlægningstilskud · 1–25 personer · hold i alt efter opsætning

Hvad er inkluderet i denne godtgørelse?

Gennemgå nye resultater med lagerejere: 30–90 min/uge
Oprethold regler og tjek scanning dækning: 30–90 min/uge

Scenarier og udelukkelser

Opsætning, indsats og grænser

Sådan skal du bruge det: Vælg regler for dit sprog, scanne et lager, og derefter gennemgå resultaterne med kodeejeren.
Hvem styrer det?: Udvikler setup; regel udvælgelse og finde gennemgang.
Hvad skal man vide: CE-analyse er begrænset til en funktion eller fil. LGPL-motoren er open source; Semgrep-vedligeholdte regler har en separat licens begrænset til intern brug. Platform funktioner har separate vilkår.

Semgrep & contributors LGPL-2.1 (engine); separate rule licenses

Kom i gang GitHub Planlæg med dette værktøj

Kontrollér afhængigheder

OSV-Scanner

Match de pakker, dit projekt bruger til kendte sårbarhedsbulletiner i OSV.

Brug den til: Et første afhængighedstjek for et lager, en lockfile eller et containerbillede.

Ugentlig kundeteam-involvering

~0,5–2 h/uge

Redaktionelt planlægningstilskud · 1–25 personer · hold i alt efter opsætning

Hvad er inkluderet i denne godtgørelse?

Gennemgå nye bulletiner og berørte versioner: 15–60 min/uge
Tjek scanningsindgange og tildele opgraderinger: 15–60 min/uge

Scenarier og udelukkelser

Opsætning, indsats og grænser

Sådan skal du bruge det: Scan din kildemappe eller understøttede pakkefiler. Gennemgå berørte versioner og teste enhver foreslået opgradering.
Hvem styrer det?: Udviklerkommandolinje eller CI-opsætning.
Hvad skal man vide: Dækning afhænger af understøttede økosystemer og rådgivende data. Et rent resultat dækker ikke brugerdefinerede kode bugs eller hver indsat komponent.

Google & contributors Apache-2.0

Kom i gang GitHub Planlæg med dette værktøj

Kontrollér afhængigheder

OWASP Dependency-Check

Rapporter kendte sårbarheder forbundet med applikationsafhængigheder.

Brug den til: Teams, der ønsker afhængighedsrapporter i en eksisterende bygning, herunder Maven eller Gradle.

Ugentlig kundeteam-involvering

~0,5–2 h/uge

Redaktionelt planlægningstilskud · 1–25 personer · hold i alt efter opsætning

Hvad er inkluderet i denne godtgørelse?

Gennemgå nye bulletiner og berørte versioner: 15–60 min/uge
Tjek scanningsindgange og tildele opgraderinger: 15–60 min/uge

Scenarier og udelukkelser

Opsætning, indsats og grænser

Sådan skal du bruge det: Tilføj bygningen integration eller køre CLI. Holde rådgivende data aktuelle og gennemgang pakke matcher.
Hvem styrer det?: Udvikler setup, data caching og undertrykkelse gennemgang.
Hvad skal man vide: Pakke identifikation kan producere falske matches. Data-kilde legitimationsoplysninger og satsgrænser påvirker scanninger; en NVD API-tasten anbefales kraftigt opstrøms.

OWASP project contributors Apache-2.0

Kom i gang GitHub Planlæg med dette værktøj

Kontrollér afhængigheder

OWASP Dependency-Track

Spor komponent risiko på tværs af applikationer ved hjælp af software regninger af materialer (SBOMs).

Brug den til: Et team, der har brug for løbende synlighed på tværs af flere projekter, ud over en engangsscanning.

Ugentlig kundeteam-involvering

~1–3 h/uge

Redaktionelt planlægningstilskud · 1–25 personer · hold i alt efter opsætning

Hvad er inkluderet i denne godtgørelse?

Undersøgelse af resultaterne af komponenten på tværs af projekterne: 30–90 min/uge
Tjek SBOM uploads og service sundhed: 30–90 min/uge

Scenarier og udelukkelser

Opsætning, indsats og grænser

Sådan skal du bruge det: Generere SBOMs i dine bygger, indsende dem til tjenesten og tildele ejere til at gennemgå ændringer.
Hvem styrer det?: Nogen skal være vært for tjenesten og vedligeholde SBOM uploads.
Hvad skal man vide: Det afhænger af komplette, aktuelle lagerbeholdninger og rådgivningsfeeds. Det erstatter ikke kildekode gennemgang eller implementering kontrol.

OWASP project contributors Apache-2.0

Kom i gang GitHub Planlæg med dette værktøj

Find udsatte hemmeligheder

Gitleaks

Vedligeholdelse: kun sikkerhedsplastre

Find sandsynlige adgangskoder, API-nøgler og tokens i Git historie eller filer.

Brug den til: Kontrol af et lager, før du deler det eller forhindrer nye hemmelige forpligtelser.

Ugentlig kundeteam-involvering

~0,5–1 h/uge

Redaktionelt planlægningstilskud · 1–25 personer · hold i alt efter opsætning

Hvad er inkluderet i denne godtgørelse?

Gennemse formodede hemmeligheder med deres ejere: 15–30 min/uge
Check repository dækning og undtagelser: 15–30 min/uge

Scenarier og udelukkelser

Opsætning, indsats og grænser

Sådan skal du bruge det: Scan lageret og tilføje en præ-commit eller CI kontrol. Genoptag eller rotere bekræftede udsatte legitimationsoplysninger.
Hvem styrer det?: Udvikler setup og en legitimationær ejer til rettelser.
Hvad skal man vide: Detection tilbagekalder ikke legitimationsoplysninger. Vedligeholderen begrænser nu Gitleaks udgivelser til sikkerhedsrettelser; tjek README før du vedtager det. Den separate GitHub Action har sine egne vilkår.

Gitleaks contributors MIT (CLI)

Kom i gang GitHub Planlæg med dette værktøj

Test en web- app

ZAP

Undersøg en kørende webapplikation og test for fælles web sårbarheder.

Brug den til: Teste, hvordan din applikation opfører sig over HTTP, sammen med kode og afhængighed kontrol.

Ugentlig kundeteam-involvering

~1–3 h/uge

Redaktionelt planlægningstilskud · 1–25 personer · hold i alt efter opsætning

Hvad er inkluderet i denne godtgørelse?

Gennemgå web-resultater og gengive prioriteter: 30–90 min/uge
Kontrollér testområde, autentificering og scan-konfiguration: 30–90 min/uge

Scenarier og udelukkelser

Opsætning, indsats og grænser

Sådan skal du bruge det: Start med dit eget testmiljø. Indstil login og omfang, så scanneren når de funktioner, du skal kontrollere.
Hvem styrer det?: Udvikler eller tester setup; autentificerede scanninger har brug for mere konfiguration.
Hvad skal man vide: Aktive scanninger sende testangreb og kan ændre ansøgning tilstand. Scan kun godkendte mål; forretningslogik og adgangsregler stadig har brug for manuelle tests.

ZAP by Checkmarx & contributors Apache-2.0

Kom i gang GitHub Planlæg med dette værktøj

Tjek infrastruktur

Trivy

Scan containerbilleder, filer og infrastrukturdefinitioner for kendte sårbarheder, hemmeligheder og fejlkonfigurationer.

Brug den til: En praktisk første check for et containerbillede eller implementeringsarkiv.

Ugentlig kundeteam-involvering

~0,5–2 h/uge

Redaktionelt planlægningstilskud · 1–25 personer · hold i alt efter opsætning

Hvad er inkluderet i denne godtgørelse?

Gennemgå nye bulletiner og berørte versioner: 15–60 min/uge
Tjek scanningsindgange og tildele opgraderinger: 15–60 min/uge

Scenarier og udelukkelser

Opsætning, indsats og grænser

Sådan skal du bruge det: Vælg mål- og scannertyper, køre en scanning og tildele resultaterne til de mennesker, der kan ændre billedet eller konfigurationen.
Hvem styrer det?: Udvikler eller infrastruktur ejer; opdatere data og tune politikker.
Hvad skal man vide: Resultater afhænger af understøttede pakker og de valgte scannere. Det gør ikke automatisk en live service eller bevise udnyttelighed.

Aqua Security & contributors Apache-2.0

Kom i gang GitHub Planlæg med dette værktøj

Tjek infrastruktur

Checkov

Tjek infrastruktur-som-kode filer for risikabel konfiguration før implementering.

Brug den til: Teams bruger Terraform, CloudFormation, Kubernetes, Helm eller lignende implementeringsfiler.

Ugentlig kundeteam-involvering

~0,5–2 h/uge

Redaktionelt planlægningstilskud · 1–25 personer · hold i alt efter opsætning

Hvad er inkluderet i denne godtgørelse?

Revision af konfigurationsresultater med infrastrukturejere: 15–60 min/uge
Oprethold scanningsdækning og politiske undtagelser: 15–60 min/uge

Scenarier og udelukkelser

Opsætning, indsats og grænser

Sådan skal du bruge det: Scan en infrastruktur mappe lokalt eller i CI. Revision mislykkedes politikker med den person, der er ansvarlig for miljøet.
Hvem styrer det?: Infrastrukturviden; politiske tilpasninger og berettigede undtagelser.
Hvad skal man vide: En konfigurationsscanning kan ikke bevise, at det levende miljø matcher filerne. Hosted platform tjenester og nogle dataintegrationer har separate krav.

Prisma Cloud / Bridgecrew & contributors Apache-2.0

Kom i gang GitHub Planlæg med dette værktøj

Revision af projektpraksis

OpenSSF Scorecard

Gennemgå praksis for kodearkiver, herunder kodegennemgang, opdatering af afhængigheder og beskyttelse af byggeprocessen.

Brug den til: Vælge en open source afhængighed eller forbedre den måde, dit eget projekt vedligeholdes.

Ugentlig kundeteam-involvering

~0,5–1 h/uge

Redaktionelt planlægningstilskud · 1–25 personer · hold i alt efter opsætning

Hvad er inkluderet i denne godtgørelse?

Revision ændret kontrol af projektpraksis: 15–30 min/uge
Tildel opfølgende opfølgende repository- opsætning: 15–30 min/uge

Scenarier og udelukkelser

Opsætning, indsats og grænser

Sådan skal du bruge det: Undersøg de enkelte kontroller for et lager og afgøre, hvilke huller der er vigtige for din brug case.
Hvem styrer det?: En vedligeholder eller udvikler, der kan fortolke lagerindstillinger.
Hvad skal man vide: Kontrollen er heuristik med falske positive og negative. En høj score er ikke bevis på, at kode er sikker eller fri for sårbarheder.

OpenSSF & contributors Apache-2.0

Kom i gang GitHub Planlæg med dette værktøj

Monitorsystemer og bulletiner

Wazuh

Saml sikkerhedsbegivenheder og overvåge computere og enheder til konfigurationsproblemer, filændringer og kendte sårbarheder.

Brug den til: Et team med nogen til rådighed til at overvåge og undersøge advarsler.

Ugentlig kundeteam-involvering

~3–6 h/uge

Redaktionelt planlægningstilskud · 1–25 personer · hold i alt efter opsætning

Hvad er inkluderet i denne godtgørelse?

Forhør sikkerhed begivenheder og tildele svar: 120–240 min/uge
Oprethold agenter, regler og sundhedstjenester: 60–120 min/uge

Scenarier og udelukkelser

Opsætning, indsats og grænser

Sådan skal du bruge det: Deploy de centrale komponenter og udstyr agenter, tune reglerne og definere, hvem der reagerer på hver alarm.
Hvem styrer det?: Løbende systemadministration og sikkerhedsoperationer.
Hvad skal man vide: Hosting, opdateringer, alarm gennemgang og svar forbliver dit arbejde. Licenser varierer efter komponent: det nuværende lager indeholder GPL-2.0 og AGPL-3.0 motorkode.

Wazuh & contributors GPL-2.0 / AGPL-3.0 by component

Kom i gang GitHub Planlæg med dette værktøj

Kontrol AI agenter

Af Shielda

Agent Guard

Eksperimentel alfa

TypeScript-biblioteker, der begrænser, hvilke værktøjer en AI-agent kan køre på, hvilke ressourcer og med hvilke godkendelser.

Brug den til: Udviklere tilføjer kontrolleret værktøj udførelse eller MCP integrationer til en agent program.

Ugentlig kundeteam-involvering

Endnu ikke målt

Bekræft ansvar og tid i en pilot

Eksperimentelt bibliotek med applikationsspecifikke adgangs- og godkendelsesregler. Måler grant review, politiske ændringer og håndtering af hændelser i din integration; der er ikke etableret nogen tilbagevendende ugentlig benchmark.

Scenarier og udelukkelser

Opsætning, indsats og grænser

Sådan skal du bruge det: Registrer værktøjer, give opgave adgang og ruteopkald gennem vagten. Tilføj din egen godkendte godkendelsesflow for følsomme handlinger.
Hvem styrer det?: TypeScript integration og en gennemgang af truslen model.
Hvad skal man vide: Eksperimentel alfa. Det styrer registrerede opkald inden for én proces; det er ikke en OS sandkasse eller en universel prompt-injektion detektor. Holdbar eller distribueret håndhævelse har brug for yderligere infrastruktur.

ShieldaAI Apache-2.0

Kom i gang GitHub Planlæg med dette værktøj

Monitorsystemer og bulletiner

Af Shielda

Security Watch

Eksperimentel alfa

Match sikkerhedsbulletiner og nyheder til en anmeldt opgørelse, holde beviser og sende resultater til Slack eller e-mail.

Brug den til: En lille installation, der har brug for en fokuseret rådgivningsfeed til sine biblioteker og systemer.

Ugentlig kundeteam-involvering

~0,5–2 h/uge

Redaktionelt planlægningstilskud · 1–25 personer · hold i alt efter opsætning

Hvad er inkluderet i denne godtgørelse?

Gennemgå matchede bulletiner og tildele handling: 15–60 min/uge
Opdater opgørelse og tjek levering sundhed: 15–60 min/uge

Scenarier og udelukkelser

Opsætning, indsats og grænser

Sådan skal du bruge det: Give pakkenavne og nøjagtige installerede versioner, hvor kendt. Start med en tørkørsel; strukturerede bibliotekstjek kan fungere uden AI.
Hvem styrer det?: Node.js service setup, aktuel opgørelse og nogen til at gennemgå advarsler.
Hvad skal man vide: Eksperimentel alfa. Det ikke lappe software eller bevise et system er sikkert. Manglende versioner, ikke-understøttede intervaller og produkt-navn kampe kræver gennemgang.

ShieldaAI Apache-2.0

Kom i gang GitHub Planlæg med dette værktøj

Vejledningstjeklister

Vide, hvad du skal kigge efter med OWASP

Disse referencer forklarer risici, sikrere gennemførelses- og verifikationskrav. Brug dem til at planlægge en gennemgang og fortolke scanner resultater.

OWASP Top 10

Forstå større webapplikationsrisici og brug dem til at indramme en samtale med din udvikler. Dette er en oplysningsguide, ikke en scanner eller en komplet testplan.

Læs vejledningen

OWASP Cheat Sheet Series

Find praktisk vejledning til implementering af autentificering, adgangskontrol, hemmeligheder, AI-agenter og andre specifikke sikkerhedsemner.

Læs vejledningen

OWASP ASVS

Gør applikationssikkerhed til et defineret sæt krav og verifikationsopgaver. Vælg omfanget med din udvikler eller anmelder og registrere beviserne.

Læs vejledningen

Shielda vedligeholder de projekter, der er mærket med Shielda og udgiver denne guide. Listings beskriver opstrøms projektdokumentation; de er ikke uafhængige sikkerhedscertificeringer.

Har du brug for en komplet stak?