Avoimen lähdekoodin työkalupakki

Avoimen lähdekoodin turvallisuus tehtävän mukaan.

Skannaa koodisi, tarkista riippuvuudet, etsi paljastuneet salaisuudet tai lisää suojatoimenpiteitä tekoälyagenteille. Etsi keskitetty projekti, sen asettelutarpeet ja sen rajat.

Etsi työkalu Aloita OWASP-ohjauksella

Useimmat työkalut tarvitsevat kehittäjän tai IT-omistajan niiden perustamiseen ja tulosten tarkasteluun. Jokainen listautumislinkki viralliseen projektiin ja pikakäynnistys. Alla olevat OWASP-viitteet auttavat sinua päättämään, mitä tarkistaa.

Haluatko, että nämä työkalut toimivat yhtenä turvallisuustyön virtana?

Valitse työkalu tiettyyn aukkoon, nimeä joku käyttämään sitä ja päätä, miten löydöksistä tulee todennettuja korjauksia. Aloita olemassa olevasta numerohaku- ja todistevarastostasi, vertaile koordinaatioohjelmistoja tai hallinnoi tukea vain, jos siitä työstä tulee pullonkaula.

Rakenna työvirta jo käyttämiesi työkalujen ympärille

Valitse työ

Etsi lähtökohtasi

Lähteet: 2026-10-29

Etsi projekteja tai tehtäviä

Vain Shielda-projektit

Hankeryhmä

Esitetyt hankkeet: 12 / 12

Viikoittainen tiimiaika: 1–25 hengen suunnittelu

Suunnitteluskenaario: 1–25-henkilöt, 25-tietokoneet ja -laitteet, 1–3-varastot ja tarvittaessa yksi pieni pilviympäristö. Alkuperäisen asennuksen jälkeen, ilman aktiivista välikohtausta tai suurta taklausta. Aika on koko asiakasryhmän yhteinen viikoittainen osallistuminen, ei aika per henkilö tai skanneriajo.

Alueet kattavat rutiininomaisen tarkastelun, hoidon ja seurantatyön. Lisää kyytiin, toteuta korjauksia, vaaratilanteita, suuria päivityksiä, palauta harjoitukset ja tilintarkastus/laillinen työ erikseen. Työkalut kattavat eri työt: älä lisää päällekkäisiä arvioita tai vertaa niitä nopeusrankingiin.

Kyse on toimituksellisista aikabudjeteista, ei myyjän vaateista, havainnoiduista keskiarvoista tai palvelusitoumuksista. Lisäämme kahteen toistuvaan tehtävään osoitetut päästöoikeudet. Linkkituotedokumentaatio selittää tehtävät, ei tuntimäärää. Korvaa määräraha oman pilotin aikalokilla. Suuremmat tai monimutkaisemmat ympäristöt eivät ole tämän skenaarion mukaisia.

Skannaa lähdekoodi

Semgrep Community Edition

Etsi epäilyttäviä kuvioita ja yhteisiä virheitä lähdekoodista konfiguroitavilla säännöillä.

Käytä sitä: Kehittäjä, joka haluaa tarkennetun koodin paikan päällä tai vedonlyönnissä.

Viikoittainen asiakastiimien osallistuminen

~1–3 h/viikko

Toimituksen suunnitteluraha · 1–25 henkilöä · tiimi yhteensä asennuksen jälkeen

Mitä tähän korvaukseen sisältyy?

Tarkista uusia havaintoja arkiston omistajien kanssa: 30–90 min/viikko
Säilytä säännöt ja tarkista skannauspeite: 30–90 min/viikko

Skenaariot ja poissulkemiset

Asetukset, ponnistus ja rajat

Miten sitä käytetään: Valitse kielesi säännöt, skannata yksi arkisto ja tarkista löydöt koodin omistajan kanssa.
Kuka sitä pyörittää?: Kehittäjäasetukset; sääntövalinta ja arvostelun löytäminen.
Mitä pitää tietää: CE-analyysi rajoittuu toimintoon tai tiedostoon. LGPL-moottori on avoin lähdekoodi; Semgrep:n ylläpitämillä säännöillä on erillinen lisenssi, joka on rajoitettu sisäiseen käyttöön. Alustan ominaisuuksilla on omat terminsä.

Semgrep & contributors LGPL-2.1 (engine); separate rule licenses

Aloita GitHub Suunnittele tämän työkalun avulla

Tarkista riippuvuudet

OSV-Scanner

Vertaa projektin käyttämiä paketteja tunnettuihin haavoittuvuusneuvojiin OSV:ssä.

Käytä sitä: Ensimmäinen riippuvuustarkistus arkiston, lukitustiedoston tai konttikuvan varalta.

Viikoittainen asiakastiimien osallistuminen

~0,5–2 h/viikko

Toimituksen suunnitteluraha · 1–25 henkilöä · tiimi yhteensä asennuksen jälkeen

Mitä tähän korvaukseen sisältyy?

Tarkista uudet konsultaatiot ja vaikuttavat versiot: 15–60 min/viikko
Tarkista skannaustulot ja määritä päivitykset: 15–60 min/viikko

Skenaariot ja poissulkemiset

Asetukset, ponnistus ja rajat

Miten sitä käytetään: Skannaa lähdehakemistosi tai tukipakettitiedostosi. Tarkista vaikuttavat versiot ja testaa kaikki ehdotetut päivitykset.
Kuka sitä pyörittää?: Kehittäjän komentorivi tai Cl-asetus.
Mitä pitää tietää: Kattavuus riippuu tuetuista ekosysteemeistä ja neuvoa-antavista tiedoista. Puhdas tulos ei kata omia koodivirheitä tai jokaista käytössä olevaa komponenttia.

Google & contributors Apache-2.0

Aloita GitHub Suunnittele tämän työkalun avulla

Tarkista riippuvuudet

OWASP Dependency-Check

Raportoi tunnettuja haavoittuvuuksia, jotka liittyvät sovelluksista riippuvuuteen.

Käytä sitä: Ryhmät haluavat raportteja riippuvuudesta olemassa olevassa rakennuksessa, mukaan lukien Maven tai Gradle.

Viikoittainen asiakastiimien osallistuminen

~0,5–2 h/viikko

Toimituksen suunnitteluraha · 1–25 henkilöä · tiimi yhteensä asennuksen jälkeen

Mitä tähän korvaukseen sisältyy?

Tarkista uudet konsultaatiot ja vaikuttavat versiot: 15–60 min/viikko
Tarkista skannaustulot ja määritä päivitykset: 15–60 min/viikko

Skenaariot ja poissulkemiset

Asetukset, ponnistus ja rajat

Miten sitä käytetään: Lisää rakennusintegraatio tai pyöritä CLI:tä. Pidä neuvontatiedot ajan tasalla ja tarkista pakettien ottelut.
Kuka sitä pyörittää?: Kehittäjäasetukset, tietojen välimuistit ja suppression tarkastelu.
Mitä pitää tietää: Pakettien tunnistaminen voi tuottaa vääriä vastaavuuksia. Datan lähdetiedot ja nopeusrajoitukset vaikuttavat skannauksiin; NVD:n API-avainta suositellaan voimakkaasti vastavirtaan.

OWASP project contributors Apache-2.0

Aloita GitHub Suunnittele tämän työkalun avulla

Tarkista riippuvuudet

OWASP Dependency-Track

Ratakomponenttiriski kaikissa sovelluksissa, joissa käytetään ohjelmistolaskuja materiaaleista (SBOM).

Käytä sitä: Ryhmä, joka tarvitsee jatkuvaa näkyvyyttä useissa projekteissa, kertaskannauksen lisäksi.

Viikoittainen asiakastiimien osallistuminen

~1–3 h/viikko

Toimituksen suunnitteluraha · 1–25 henkilöä · tiimi yhteensä asennuksen jälkeen

Mitä tähän korvaukseen sisältyy?

Komponenttien tulokset eri projekteissa: 30–90 min/viikko
Tarkista SBOM-lataukset ja palveluterveys: 30–90 min/viikko

Skenaariot ja poissulkemiset

Asetukset, ponnistus ja rajat

Miten sitä käytetään: Luo rakennuksissasi SBOM:t, toimita ne palveluun ja anna omistajien tarkistaa muutokset.
Kuka sitä pyörittää?: Jonkun on isännöitävä palvelua ja ylläpidettävä SBOM-latauksia.
Mitä pitää tietää: Se riippuu täydellisistä, nykyisistä kartoituksista ja neuvontasyötteistä. Se ei korvaa lähdekoodin tarkistus- tai käyttöönottotarkastuksia.

OWASP project contributors Apache-2.0

Aloita GitHub Suunnittele tämän työkalun avulla

Etsi paljastuneita salaisuuksia

Gitleaks

Huolto: vain turvalaastarit

Etsi Gitin historiasta tai tiedostoista todennäköisiä salasanoja, API-avaimia ja poletteja.

Käytä sitä: Tarkistan arkiston ennen sen jakamista tai uusien salaisten toimitusten estämistä.

Viikoittainen asiakastiimien osallistuminen

~0,5–1 h/viikko

Toimituksen suunnitteluraha · 1–25 henkilöä · tiimi yhteensä asennuksen jälkeen

Mitä tähän korvaukseen sisältyy?

Tarkasta epäiltyjä salaisuuksia omistajiensa kanssa: 15–30 min/viikko
Tarkista arkiston kattavuus ja poikkeukset: 15–30 min/viikko

Skenaariot ja poissulkemiset

Asetukset, ponnistus ja rajat

Miten sitä käytetään: Skannaa arkisto ja lisää esivalinta- tai CI-tarkistus. Peru tai kierrä vahvistetut tunnisteet.
Kuka sitä pyörittää?: Kehittäjäasetus ja luotettava omistaja korjauksille.
Mitä pitää tietää: Havaitseminen ei kumoa valtuuksia. Ylläpitäjä rajoittaa nyt Gitleaks-tuotteet turvaliittimiin; tarkista README ennen sen hyväksymistä. Erillisellä GitHub-toiminnolla on omat ehtonsa.

Gitleaks contributors MIT (CLI)

Aloita GitHub Suunnittele tämän työkalun avulla

Testaa web-sovellus

ZAP

Tarkista käynnissä oleva verkkosovellus ja testaa yhteiset verkkohaavoittuvuudet.

Käytä sitä: Testaa, miten sovelluksesi käyttäytyy yli HTTP:n koodi- ja riippuvuustarkistusten ohella.

Viikoittainen asiakastiimien osallistuminen

~1–3 h/viikko

Toimituksen suunnitteluraha · 1–25 henkilöä · tiimi yhteensä asennuksen jälkeen

Mitä tähän korvaukseen sisältyy?

Tarkista verkkolöydökset ja toista ensisijaiset tavoitteet: 30–90 min/viikko
Tarkista testien laajuus, todennus ja skannausasetukset: 30–90 min/viikko

Skenaariot ja poissulkemiset

Asetukset, ponnistus ja rajat

Miten sitä käytetään: Aloita omasta koeympäristöstäsi. Määritä sisäänkirjautuminen ja tähtäys, jotta skanneri saavuttaa tarvitsemasi ominaisuudet.
Kuka sitä pyörittää?: Kehittäjä- tai testaajaasetukset; todennetut skannaukset tarvitsevat lisää kokoonpanoa.
Mitä pitää tietää: Aktiiviset skannaukset lähettävät hyökkäyksiä ja voivat muuttaa sovellustilaa. Skannaa vain sallitut kohteet; liikelogiikka ja kulkusäännöt edellyttävät vielä manuaalisia testejä.

ZAP by Checkmarx & contributors Apache-2.0

Aloita GitHub Suunnittele tämän työkalun avulla

Tarkista infrastruktuuri

Trivy

Skannaa konttikuvia, tiedostoja ja infrastruktuurin määritelmiä tunnetuille haavoittuvuuksille, salaisuuksille ja väärille konfiguraatioille.

Käytä sitä: Konttikuva- tai käyttöönottovaraston käytännön ensimmäinen tarkistus.

Viikoittainen asiakastiimien osallistuminen

~0,5–2 h/viikko

Toimituksen suunnitteluraha · 1–25 henkilöä · tiimi yhteensä asennuksen jälkeen

Mitä tähän korvaukseen sisältyy?

Tarkista uudet konsultaatiot ja vaikuttavat versiot: 15–60 min/viikko
Tarkista skannaustulot ja määritä päivitykset: 15–60 min/viikko

Skenaariot ja poissulkemiset

Asetukset, ponnistus ja rajat

Miten sitä käytetään: Valitse kohde- ja skannerityypit, suorita skannaus ja määritä havainnot henkilöille, jotka voivat muuttaa kuvaa tai kokoonpanoa.
Kuka sitä pyörittää?: Kehittäjä tai infrastruktuurin omistaja; päivitä dataa ja viritä toimintatapoja.
Mitä pitää tietää: Havainnot riippuvat tuetuista paketeista ja valituista skannereista. Se ei automaattisesti koveta live-palvelua eikä todista riitettävyyttä.

Aqua Security & contributors Apache-2.0

Aloita GitHub Suunnittele tämän työkalun avulla

Tarkista infrastruktuuri

Checkov

Tarkista infrastruktuurin kooditiedostot riskikokoonpanon varalta ennen käyttöönottoa.

Käytä sitä: Terraform-, CloudFormation-, Kubernetes-, Helm- tai vastaavia käyttöönottotiedostoja käyttävät tiimit.

Viikoittainen asiakastiimien osallistuminen

~0,5–2 h/viikko

Toimituksen suunnitteluraha · 1–25 henkilöä · tiimi yhteensä asennuksen jälkeen

Mitä tähän korvaukseen sisältyy?

Tarkista konfiguraatiotulokset infrastruktuurin omistajien kanssa: 15–60 min/viikko
Skannauksen kattavuuden ja toimintaperiaatteiden poikkeusten säilyttäminen: 15–60 min/viikko

Skenaariot ja poissulkemiset

Asetukset, ponnistus ja rajat

Miten sitä käytetään: Skannaa infrastruktuurihakemisto paikallisesti tai CI:ssä. Ympäristöstä vastaavan henkilön toimintatavat epäonnistuivat.
Kuka sitä pyörittää?: Infrastruktuuriosaaminen; politiikan virittäminen ja perustellut poikkeukset.
Mitä pitää tietää: Konfiguraatioskannaus ei voi todistaa live-ympäristön vastaavan tiedostoja. Isännöidyillä alustapalveluilla ja joillakin dataintegraatioilla on omat vaatimuksensa.

Prisma Cloud / Bridgecrew & contributors Apache-2.0

Aloita GitHub Suunnittele tämän työkalun avulla

Projektin käytäntöjen tarkistaminen

OpenSSF Scorecard

Tarkista arkiston käytännöt, kuten koodin tarkistus, riippuvuuspäivitykset ja suojausten rakentaminen.

Käytä sitä: Avoimen lähdekoodin riippuvuuden valitseminen tai oman projektin ylläpitotavan parantaminen.

Viikoittainen asiakastiimien osallistuminen

~0,5–1 h/viikko

Toimituksen suunnitteluraha · 1–25 henkilöä · tiimi yhteensä asennuksen jälkeen

Mitä tähän korvaukseen sisältyy?

Katsaus muutti projektin käytäntöjä: 15–30 min/viikko
Määritä arkiston asetusseuranta: 15–30 min/viikko

Skenaariot ja poissulkemiset

Asetukset, ponnistus ja rajat

Miten sitä käytetään: Tarkista arkiston yksittäiset sekit ja päätä, mitkä aukot vaikuttavat käyttötapaukseesi.
Kuka sitä pyörittää?: Ylläpitäjä tai kehittäjä, joka osaa tulkita arkistoasetuksia.
Mitä pitää tietää: Tarkastukset ovat heuristeja, joissa on vääriä positiivisia ja negatiivisia piirteitä. Korkea pistemäärä ei ole todiste siitä, että koodi on turvallinen tai haavoittuvuudeltaan vapaa.

OpenSSF & contributors Apache-2.0

Aloita GitHub Suunnittele tämän työkalun avulla

Seuraa järjestelmiä ja neuvoja

Wazuh

Kerää tietoturvatapahtumat ja seuraa tietokoneita ja laitteita konfigurointiin, tiedostomuutoksiin ja tunnettuihin haavoittuvuuksiin.

Käytä sitä: Tiimi, jolla on käytettävissä joku, joka valvoo ja tutkii hälytyksiä.

Viikoittainen asiakastiimien osallistuminen

~3–6 h/viikko

Toimituksen suunnitteluraha · 1–25 henkilöä · tiimi yhteensä asennuksen jälkeen

Mitä tähän korvaukseen sisältyy?

Triage-turvatapahtumat ja vastausten antaminen: 120–240 min/viikko
Toimijoiden, sääntöjen ja palveluterveyden ylläpitäminen: 60–120 min/viikko

Skenaariot ja poissulkemiset

Asetukset, ponnistus ja rajat

Miten sitä käytetään: Ota käyttöön keskeiset osat ja laiteagentit, viritä säännöt ja määrittele, kuka reagoi jokaiseen hälytykseen.
Kuka sitä pyörittää?: Järjestelmähallinto ja turvallisuusoperaatiot käynnissä.
Mitä pitää tietää: Hosting, päivitykset, hälytystarkistukset ja reagointi ovat edelleen työtäsi. Lisenssit vaihtelevat komponenttikohtaisesti: nykyinen arkisto sisältää GPL-2.0:n ja AGPL-3.0:n moottorikoodin.

Wazuh & contributors GPL-2.0 / AGPL-3.0 by component

Aloita GitHub Suunnittele tämän työkalun avulla

Valvo tekoälyä

Shielda:n mukaan

Agent Guard

Kokeellinen alfa

TypeScript-kirjastot, jotka rajoittavat tekoälyagentin käytössä olevia työkaluja, mitä resursseja ja millä hyväksyntöjä.

Käytä sitä: Kehittäjät lisäävät agenttisovellukseen ohjatun työkalun suorituksen tai MCP-integraatiot.

Viikoittainen asiakastiimien osallistuminen

Ei vielä mitattu

Vahvista vastuut ja aika lentäjässä

Kokeellinen kirjasto, jossa on sovelluskohtaiset pääsy- ja hyväksymissäännöt. Mittaa avustusten tarkastelu, linjaukset ja tapausten käsittely kotoutumisessasi; toistuvaa viikkovertailua ei ole.

Skenaariot ja poissulkemiset

Asetukset, ponnistus ja rajat

Miten sitä käytetään: Rekisteröi työkalut, myönnä tehtäväyhteys ja reittipuhelut vartijan kautta. Lisää oma todennettu hyväksyntävirtasi aroille toimille.
Kuka sitä pyörittää?: TypeScript-integraatio ja uhkamallin tarkastelu.
Mitä pitää tietää: Kokeellinen alfa. Se valvoo rekisteröityjä puheluita yhdessä prosessissa; se ei ole OS-hiekkalaatikko eikä maailmanlaajuinen pikaruiskutusilmaisin. Kestävä tai hajautettu täytäntöönpano edellyttää lisäinfrastruktuuria.

ShieldaAI Apache-2.0

Aloita GitHub Suunnittele tämän työkalun avulla

Seuraa järjestelmiä ja neuvoja

Shielda:n mukaan

Security Watch

Kokeellinen alfa

Vastaa turvallisuusneuvonantoja ja uutisia ilmoitettuun inventaarioon, säilytä todisteet ja lähetä havaintoja Slackille tai sähköpostiin.

Käytä sitä: Pieni installaatio, joka tarvitsee kirjastoilleen ja järjestelmilleen kohdennettua neuvontaa.

Viikoittainen asiakastiimien osallistuminen

~0,5–2 h/viikko

Toimituksen suunnitteluraha · 1–25 henkilöä · tiimi yhteensä asennuksen jälkeen

Mitä tähän korvaukseen sisältyy?

Tarkistetaan sovitetut konsultaatiot ja osoitetaan toiminta: 15–60 min/viikko
Päivitä inventaario ja tarkista toimitusterveys: 15–60 min/viikko

Skenaariot ja poissulkemiset

Asetukset, ponnistus ja rajat

Miten sitä käytetään: Anna pakettien nimet ja tarkat asennetut versiot, jos ne ovat tiedossa. Aloita kuiva-ajolla; jäsennetyt kirjastotarkistukset voivat toimia ilman tekoälyä.
Kuka sitä pyörittää?: Node.js-palveluasetus, nykyinen inventaario ja joku, joka tarkistaa hälytykset.
Mitä pitää tietää: Kokeellinen alfa. Se ei paikkaa ohjelmistoa eikä todista, että järjestelmä on turvallinen. Puuttuvat versiot, kannattamattomat valikoimat ja tuotenimet vaativat arvostelua.

ShieldaAI Apache-2.0

Aloita GitHub Suunnittele tämän työkalun avulla

Ohjeet ja tarkistuslistat

Tiedä, mitä etsiä OWASP-laitteesta

Nämä viittaukset selittävät riskit, turvallisemman toteuttamisen ja todentamisen vaatimukset. Käytä niitä skannerin havaintojen tarkistamiseen ja tulkitsemiseen.

OWASP Top 10

Ymmärrä suuret verkkosovellusriskit ja käytä niitä kehystämään keskustelua kehittäjäsi kanssa. Tämä on tietoisuusopas, ei skanneri tai täydellinen testaussuunnitelma.

Lue oppaasta

OWASP Cheat Sheet Series

Etsi käytännön toteutusohjeistusta tunnistamiseen, kulunvalvontaan, salaisuuksiin, tekoälyagentteihin ja muihin erityisiin turvallisuusaiheisiin.

Lue oppaasta

OWASP ASVS

Muuta sovellusturvallisuus määritellyiksi vaatimuksiksi ja todentamistehtäviksi. Valitse tähtäin rakennuttajan tai arvioijan kanssa ja tallenna todisteet.

Lue oppaasta

Shielda ylläpitää Shielda:n tunnuksella merkittyjä projekteja ja julkaisee tämän oppaan. Listaukset kuvaavat projektin alkupään dokumentteja; ne eivät ole itsenäisiä turvallisuustodistuksia.

Tarvitsetko täydellisen pinon?