La casella degli strumenti open-source

Sicurezza open-source, per compito.

Scansiona il tuo codice, controlla le dipendenze, trova segreti esposti o aggiungi garanzie agli agenti AI. Trova un progetto mirato, le sue esigenze di configurazione e i suoi limiti.

Trova uno strumento Inizia con la guida OWASP

La maggior parte degli strumenti hanno bisogno di uno sviluppatore o di un proprietario IT per impostarli e rivedere i risultati. Ogni elenco link al progetto ufficiale e quickstart. I riferimenti OWASP qui sotto ti aiutano a decidere cosa controllare.

Vuoi che questi strumenti funzionino come un flusso di lavoro di sicurezza?

Scegliere uno strumento per uno specifico gap, chiamare qualcuno per operarlo e decidere come i risultati diventano correzioni verificate. Iniziate con il vostro tracker di problemi e negozio di prove esistenti; confrontate il software di coordinamento o il supporto gestito solo se questo lavoro diventa un collo di bottiglia.

Crea un flusso di lavoro intorno agli strumenti che già usi

Scegli il lavoro

Trova il tuo punto di partenza

Sorgenti esaminate: 2026-10-29

Ricerca di progetti o attività

Solo progetti Shielda

Categoria di progetto

Progetti presentati: 12 / 12

Tempo settimanale del team: pianificazione per le persone 1–25

Scenario di pianificazione: 1–25 persone, fino a 25 computer e dispositivi, 1–3 repository e un piccolo ambiente cloud, se pertinente. Dopo la configurazione iniziale, senza incidenti attivi o ritardi rilevanti. Il tempo è il coinvolgimento settimanale combinato del team clienti, non il tempo per persona o il runtime dello scanner.

Gli intervalli coprono la revisione di routine, l'amministrazione e l'assegnazione dei lavori di follow-up. Aggiungi a bordo, implementazione di correzioni, incidenti, aggiornamenti importanti, esercizi di ripristino e di audit / lavoro legale separatamente. Gli strumenti coprono lavori diversi: non aggiungere stime sovrapposte o confrontarle come una classificazione della velocità.

Si tratta di bilanci editoriali, non di reclami dei venditori, di medie osservate o di impegni di servizio. Aggiungiamo le quote visualizzate per due attività ricorrenti. La documentazione del prodotto collegata spiega i compiti, non il numero di ore. Sostituire la quota con un time log dal proprio pilota; ambienti più grandi o più complessi sono al di fuori di questo scenario.

Scansiona il codice sorgente

Semgrep Community Edition

Trova modelli sospetti e errori comuni nel codice sorgente usando regole configurabili.

Usalo per: Uno sviluppatore che vuole un controllo di codice focalizzato localmente o in una richiesta di prelievo.

Partecipazione settimanale della squadra clienti

~1–3 h/settimana

Indennità di pianificazione editoriale · Persone 1–25 · Totale squadra dopo l'installazione

Che cosa è incluso in questa indennità?

Rivedere i nuovi risultati con i proprietari dei repository: 30–90 min/settimana
Mantenere regole e controllare la copertura della scansione: 30–90 min/settimana

Scenario ed esclusioni

Impostazione, sforzo e limiti

Come usarlo: Scegli le regole per la tua lingua, scansiona un repository, poi controlla i risultati con il proprietario del codice.
Chi lo gestisce?: Impostazione sviluppatore; selezione delle regole e recensione.
Cosa sapere: L'analisi CE è limitata a una funzione o a un file. Il motore LGPL è open source; le regole di manutenzione Semgrep hanno una licenza separata limitata all'uso interno. Le funzionalità della piattaforma hanno termini separati.

Semgrep & contributors LGPL-2.1 (engine); separate rule licenses

Inizia GitHub Pianifica con questo strumento

Controlla le dipendenze

OSV-Scanner

Corrispondere i pacchetti che il progetto utilizza ai consulenti di vulnerabilità conosciuti in OSV.

Usalo per: Un primo controllo di dipendenza per un repository, un file di blocco o un'immagine del contenitore.

Partecipazione settimanale della squadra clienti

~0,5–2 h/settimana

Indennità di pianificazione editoriale · Persone 1–25 · Totale squadra dopo l'installazione

Che cosa è incluso in questa indennità?

Rivedere le nuove consulenze e le versioni interessate: 15–60 min/settimana
Controlla gli ingressi di scansione e assegna aggiornamenti: 15–60 min/settimana

Scenario ed esclusioni

Impostazione, sforzo e limiti

Come usarlo: Scansiona la tua directory sorgente o i file dei pacchetti supportati. Esaminare le versioni interessate e testare qualsiasi aggiornamento proposto.
Chi lo gestisce?: Linea di comando sviluppatore o configurazione CI.
Cosa sapere: La copertura dipende dagli ecosistemi supportati e dai dati consultivi. Un risultato pulito non copre i bug di codice personalizzati o ogni componente distribuito.

Google & contributors Apache-2.0

Inizia GitHub Pianifica con questo strumento

Controlla le dipendenze

OWASP Dependency-Check

Segnala vulnerabilità note associate alle dipendenze dell'applicazione.

Usalo per: Squadre che vogliono rapporti di dipendenza in un edificio esistente, tra cui Maven o Gradle.

Partecipazione settimanale della squadra clienti

~0,5–2 h/settimana

Indennità di pianificazione editoriale · Persone 1–25 · Totale squadra dopo l'installazione

Che cosa è incluso in questa indennità?

Rivedere le nuove consulenze e le versioni interessate: 15–60 min/settimana
Controlla gli ingressi di scansione e assegna aggiornamenti: 15–60 min/settimana

Scenario ed esclusioni

Impostazione, sforzo e limiti

Come usarlo: Aggiungi l'integrazione di build o esegui la CLI. Mantenere aggiornati i dati consultivi e rivedere le corrispondenze dei pacchetti.
Chi lo gestisce?: Configurazione degli sviluppatori, caching dei dati e revisione della soppressione.
Cosa sapere: L'identificazione del pacchetto può produrre corrispondenze false. Le credenziali data-source e i limiti di velocità influenzano le scansioni; una chiave API NVD è fortemente raccomandata a monte.

OWASP project contributors Apache-2.0

Inizia GitHub Pianifica con questo strumento

Controlla le dipendenze

OWASP Dependency-Track

Tracciare il rischio di componenti tra le applicazioni utilizzando fatture software di materiali (SBOM).

Usalo per: Un team che ha bisogno di visibilità continua su diversi progetti, oltre ad una scansione una tantum.

Partecipazione settimanale della squadra clienti

~1–3 h/settimana

Indennità di pianificazione editoriale · Persone 1–25 · Totale squadra dopo l'installazione

Che cosa è incluso in questa indennità?

Rivedere i risultati della componente tra i progetti: 30–90 min/settimana
Controllare gli upload SBOM e la salute dei servizi: 30–90 min/settimana

Scenario ed esclusioni

Impostazione, sforzo e limiti

Come usarlo: Genera gli SBOM nei tuoi build, inviali al servizio e assegna ai proprietari le modifiche da rivedere.
Chi lo gestisce?: Qualcuno deve ospitare il servizio e mantenere gli upload SBOM.
Cosa sapere: Dipende da inventari completi e attuali e da feed consultivi. Esso non sostituisce il controllo del codice sorgente o dei controlli di distribuzione.

OWASP project contributors Apache-2.0

Inizia GitHub Pianifica con questo strumento

Trova segreti esposti

Gitleaks

Manutenzione: solo cerotti di sicurezza

Trova password probabili, chiavi API e token nella cronologia Git o nei file.

Usalo per: Controllare un repository prima di condividerlo o prevenire nuovi commit segreti.

Partecipazione settimanale della squadra clienti

~0,5–1 h/settimana

Indennità di pianificazione editoriale · Persone 1–25 · Totale squadra dopo l'installazione

Che cosa è incluso in questa indennità?

Rivedere sospetti segreti con i loro proprietari: 15–30 min/settimana
Controlla la copertura del deposito e le eccezioni: 15–30 min/settimana

Scenario ed esclusioni

Impostazione, sforzo e limiti

Come usarlo: Scansiona il repository e aggiungi un pre-commit o un controllo CI. Revoca o ruota credenziali confermate esposte.
Chi lo gestisce?: Configurazione sviluppatore e un proprietario credenziale per le correzioni.
Cosa sapere: Il rilevamento non revoca le credenziali. Il manutentore ora limita i rilasci di Gitleaks alle patch di sicurezza; controllare il README prima di adottarlo. L'azione GitHub separata ha i suoi termini.

Gitleaks contributors MIT (CLI)

Inizia GitHub Pianifica con questo strumento

Provare un'app web

ZAP

Ispezionare un'applicazione web in esecuzione e testare per le vulnerabilità web comuni.

Usalo per: Verificare come l'applicazione si comporta su HTTP, insieme ai controlli di codice e dipendenza.

Partecipazione settimanale della squadra clienti

~1–3 h/settimana

Indennità di pianificazione editoriale · Persone 1–25 · Totale squadra dopo l'installazione

Che cosa è incluso in questa indennità?

Rivedere i risultati del web e riprodurre le priorità: 30–90 min/settimana
Controlla lo scopo del test, l'autenticazione e la configurazione della scansione: 30–90 min/settimana

Scenario ed esclusioni

Impostazione, sforzo e limiti

Come usarlo: Inizia con il tuo ambiente di test. Configurare il login e lo scopo in modo che lo scanner raggiunga le funzionalità che è necessario controllare.
Chi lo gestisce?: Impostazione sviluppatore o tester; le scansioni autenticate necessitano di più configurazione.
Cosa sapere: Scansioni attive inviano attacchi di test e possono cambiare lo stato dell'applicazione. Scansione solo bersagli autorizzati; logica aziendale e regole di accesso richiedono ancora test manuali.

ZAP by Checkmarx & contributors Apache-2.0

Inizia GitHub Pianifica con questo strumento

Controllare l'infrastruttura

Trivy

Scansiona le immagini, i file e le definizioni dell'infrastruttura per le vulnerabilità, i segreti e le configurazioni errate note.

Usalo per: Un primo controllo pratico per un'immagine del contenitore o un repository di distribuzione.

Partecipazione settimanale della squadra clienti

~0,5–2 h/settimana

Indennità di pianificazione editoriale · Persone 1–25 · Totale squadra dopo l'installazione

Che cosa è incluso in questa indennità?

Rivedere le nuove consulenze e le versioni interessate: 15–60 min/settimana
Controlla gli ingressi di scansione e assegna aggiornamenti: 15–60 min/settimana

Scenario ed esclusioni

Impostazione, sforzo e limiti

Come usarlo: Scegliere i tipi di destinazione e scanner, eseguire una scansione e assegnare i risultati alle persone che possono cambiare l'immagine o la configurazione.
Chi lo gestisce?: Sviluppatore o proprietario dell'infrastruttura; aggiornare i dati e le politiche di sintonia.
Cosa sapere: I risultati dipendono dai pacchetti supportati e dagli scanner selezionati. Non indurisce automaticamente un servizio dal vivo o ne dimostra l'utilità.

Aqua Security & contributors Apache-2.0

Inizia GitHub Pianifica con questo strumento

Controllare l'infrastruttura

Checkov

Controllare i file infrastruttura-come-codice per la configurazione rischiosa prima dell'implementazione.

Usalo per: Squadre che utilizzano Terraform, CloudFormazione, Kubernetes, Helm o file di distribuzione simili.

Partecipazione settimanale della squadra clienti

~0,5–2 h/settimana

Indennità di pianificazione editoriale · Persone 1–25 · Totale squadra dopo l'installazione

Che cosa è incluso in questa indennità?

Rivedere i risultati della configurazione con i proprietari dell'infrastruttura: 15–60 min/settimana
Mantenere la copertura della scansione e le eccezioni politiche: 15–60 min/settimana

Scenario ed esclusioni

Impostazione, sforzo e limiti

Come usarlo: Scansiona una directory dell'infrastruttura localmente o in CI. Rivedere le politiche fallite con la persona responsabile per l'ambiente.
Chi lo gestisce?: Conoscenza delle infrastrutture; adeguamento delle politiche e eccezioni giustificate.
Cosa sapere: Una scansione di configurazione non può dimostrare che l'ambiente live corrisponda ai file. I servizi di piattaforma ospitati e alcune integrazioni dati hanno requisiti separati.

Prisma Cloud / Bridgecrew & contributors Apache-2.0

Inizia GitHub Pianifica con questo strumento

Rivedere le pratiche dei progetti

OpenSSF Scorecard

Rivedere le pratiche di deposito, come la revisione del codice, gli aggiornamenti della dipendenza e le protezioni di compilazione.

Usalo per: Scegliere una dipendenza open-source o migliorare il modo in cui il proprio progetto viene mantenuto.

Partecipazione settimanale della squadra clienti

~0,5–1 h/settimana

Indennità di pianificazione editoriale · Persone 1–25 · Totale squadra dopo l'installazione

Che cosa è incluso in questa indennità?

Revisione dei controlli delle procedure di progetto modificate: 15–30 min/settimana
Assegna il follow-up alla creazione del deposito: 15–30 min/settimana

Scenario ed esclusioni

Impostazione, sforzo e limiti

Come usarlo: Ispezionare i controlli individuali per un repository e decidere quali lacune sono importanti per il vostro caso di utilizzo.
Chi lo gestisce?: Un manutentore o uno sviluppatore in grado di interpretare le impostazioni del repository.
Cosa sapere: I controlli sono euristici con falsi positivi e negativi. Un punteggio più alto non è la prova che il codice è sicuro o privo di vulnerabilità.

OpenSSF & contributors Apache-2.0

Inizia GitHub Pianifica con questo strumento

Monitorare i sistemi e i consulenti

Wazuh

Raccogliere eventi di sicurezza e monitorare computer e dispositivi per problemi di configurazione, modifiche dei file e vulnerabilità note.

Usalo per: Un team con qualcuno a disposizione per monitorare e indagare gli avvisi.

Partecipazione settimanale della squadra clienti

~3–6 h/settimana

Indennità di pianificazione editoriale · Persone 1–25 · Totale squadra dopo l'installazione

Che cosa è incluso in questa indennità?

Eventi di sicurezza del triage e assegnazione della risposta: 120–240 min/settimana
Mantenere agenti, norme e servizi sanitari: 60–120 min/settimana

Scenario ed esclusioni

Impostazione, sforzo e limiti

Come usarlo: Distribuisci i componenti centrali e gli agenti del dispositivo, sintonizza le regole e definisci chi risponde ad ogni allarme.
Chi lo gestisce?: Amministrazione e operazioni di sicurezza del sistema in corso.
Cosa sapere: L'ospitalità, gli aggiornamenti, la revisione degli avvisi e la risposta rimangono il vostro lavoro. Le licenze differiscono per componente: il repository attuale include GPL-2.0 e il codice motore AGPL-3.0.

Wazuh & contributors GPL-2.0 / AGPL-3.0 by component

Inizia GitHub Pianifica con questo strumento

Agenti AI di controllo

Per Shielda

Agent Guard

Alfa sperimentale

TipoScript librerie che limitano quali strumenti un agente AI può eseguire, su quali risorse, e con quali omologazioni.

Usalo per: Sviluppatori che aggiungono l'esecuzione controllata di strumenti o integrazioni MCP ad un'applicazione agente.

Partecipazione settimanale della squadra clienti

Non ancora misurato

Confermare le responsabilità e il tempo in un pilota

Biblioteca sperimentale con regole di accesso e approvazione specifiche per le applicazioni. Misurare la revisione delle sovvenzioni, le modifiche delle politiche e la gestione degli incidenti nella vostra integrazione; non è stabilito alcun benchmark settimanale ricorrente.

Scenario ed esclusioni

Impostazione, sforzo e limiti

Come usarlo: Registrare strumenti, concedere l'accesso alle attività e le chiamate di rotta attraverso la guardia. Aggiungi il tuo flusso di approvazione autenticato per azioni sensibili.
Chi lo gestisce?: Integrazione TypeScript e revisione del modello di minaccia.
Cosa sapere: Alpha sperimentale. Controlla le chiamate registrate all'interno di un processo; non si tratta di una sandbox OS o di un rilevatore di pronta iniezione universale. L'applicazione durevole o distribuita richiede un'infrastruttura aggiuntiva.

ShieldaAI Apache-2.0

Inizia GitHub Pianifica con questo strumento

Monitorare i sistemi e i consulenti

Per Shielda

Security Watch

Alfa sperimentale

Corrispondere gli avvisi di sicurezza e le notizie ad un inventario dichiarato, tenere le prove e inviare i risultati a Slack o e-mail.

Usalo per: Una piccola installazione che ha bisogno di un feed di consulenza focalizzato per le sue biblioteche e sistemi.

Partecipazione settimanale della squadra clienti

~0,5–2 h/settimana

Indennità di pianificazione editoriale · Persone 1–25 · Totale squadra dopo l'installazione

Che cosa è incluso in questa indennità?

Rivedere i consulenti abbinati e assegnare l'azione: 15–60 min/settimana
Aggiornare l'inventario e verificare lo stato di consegna: 15–60 min/settimana

Scenario ed esclusioni

Impostazione, sforzo e limiti

Come usarlo: Fornire i nomi dei pacchetti e le versioni installate esatte dove note. Inizia con un'esecuzione a secco; i controlli strutturati della libreria possono funzionare senza AI.
Chi lo gestisce?: Installazione del servizio Node.js, inventario corrente e qualcuno da rivedere avvisi.
Cosa sapere: Alpha sperimentale. Non patch software o dimostrare che un sistema è sicuro. Le versioni mancanti, le gamme non supportate e le corrispondenze prodotto-nome richiedono una revisione.

ShieldaAI Apache-2.0

Inizia GitHub Pianifica con questo strumento

Guida e checklist

Sapere cosa cercare con OWASP

Questi riferimenti spiegano i rischi, i requisiti di attuazione e verifica più sicuri. Usali per pianificare una revisione e interpretare i risultati dello scanner.

OWASP Top 10

Comprendere i principali rischi di applicazione web e usarli per incorniciare una conversazione con il vostro sviluppatore. Si tratta di una guida alla consapevolezza, non di uno scanner o di un piano di test completo.

Leggi la guida

OWASP Cheat Sheet Series

Trova una guida pratica per l'implementazione di autenticazione, controllo accessi, segreti, agenti AI e altri argomenti specifici di sicurezza.

Leggi la guida

OWASP ASVS

Trasformare la sicurezza dell'applicazione in un insieme definito di requisiti e compiti di verifica. Selezionare il campo di applicazione con il vostro sviluppatore o recensore e registrare le prove.

Leggi la guida

Shielda mantiene i progetti contrassegnati con l'etichetta Shielda e pubblica questa guida. Gli elenchi descrivono la documentazione del progetto a monte; non sono certificazioni di sicurezza indipendenti.

Ti serve una pila completa?