SSC

A caixa de ferramentas de código aberto

Segurança de código aberto, por tarefa.

Analise seu código, verifique dependências, encontre segredos expostos ou adicione salvaguardas aos agentes de IA. Encontre um projeto focado, suas necessidades de configuração e seus limites.

Encontrar uma ferramenta Comece com a orientação OWASP

A maioria das ferramentas necessitam de um desenvolvedor ou dono de TI para configurar e analisar os resultados. Cada lista de links para o projeto oficial e faststart. As referências OWASP abaixo ajudam você a decidir o que verificar.

Quer que essas ferramentas funcionem como um fluxo de trabalho de segurança?

Escolha uma ferramenta para uma lacuna específica, nomeie alguém para o operar e decida como os achados se tornam correções verificadas. Comece com o seu rastreador de problemas e loja de evidências existentes; compare o software de coordenação ou suporte gerenciado apenas se esse trabalho se tornar um engarrafamento.

Construir um fluxo de trabalho em torno das ferramentas que você já usa

Escolha o trabalho

Encontra o teu ponto de partida

Fontes analisadas: 2026-10-29

Projectos apresentados: 12 / 12

Tempo semanal da equipe: planejamento para 1–25 pessoas

Escenário de planejamento: pessoas 1–25, até computadores e dispositivos 25, repositórios 1–3 e um ambiente de nuvem pequeno, quando relevante. Após a configuração inicial, sem incidente ativo ou grande atraso. Tempo é o envolvimento semanal combinado de toda a equipe do cliente, não tempo por pessoa ou tempo de execução do scanner.

Os intervalos cobrem a revisão de rotina, a administração e a atribuição de trabalhos de seguimento. Adicionar a bordo, implementar correções, incidentes, principais atualizações, restabelecer exercícios e auditoria/trabalho legal separadamente. As ferramentas cobrem trabalhos diferentes: não adicionem estimativas sobrepostas ou compará-las como um ranking de velocidade.

Estes são orçamentos de tempo editorial, não reivindicações do vendedor, médias observadas ou compromissos de serviço. Nós adicionamos as licenças exibidas para duas tarefas recorrentes. A documentação de produtos vinculados explica as tarefas, não o número de horas. Substitua a licença por um registro de tempo do seu próprio piloto; ambientes maiores ou mais complexos estão fora deste cenário.

Código-fonte de digitalização

Semgrep Community Edition

Encontre padrões suspeitos e erros comuns no código fonte usando regras configuráveis.

Usa-o para: Um desenvolvedor que quer uma verificação de código focado localmente ou em um pedido de puxação.

Envolvimento semanal cliente-equipa

~1–3 h/semana

Subsídio de planejamento editorial · 1–25 pessoas · total da equipe após a configuração

O que está incluído neste subsídio?
  • Revisar novas descobertas com os donos do repositório: 30–90 min/semana
  • Manter as regras e verificar a cobertura de varredura: 30–90 min/semana

Os intervalos cobrem a revisão de rotina, a administração e a atribuição de trabalhos de seguimento. Adicionar a bordo, implementar correções, incidentes, principais atualizações, restabelecer exercícios e auditoria/trabalho legal separadamente. As ferramentas cobrem trabalhos diferentes: não adicionem estimativas sobrepostas ou compará-las como um ranking de velocidade.

Cenário e exclusões
Configuração, esforço e limites
Como usá-lo
Escolha regras para a sua linguagem, escaneie um repositório e, em seguida, revise os achados com o proprietário do código.
Quem é o responsável
Configuração do desenvolvedor; selecção de regras e revisão de encontrar.
O que saber
A análise CE é limitada a uma função ou arquivo. O motor LGPL é de código aberto; as regras mantidas pelo Semgrep têm uma licença separada restrita ao uso interno. As funcionalidades da plataforma têm termos separados.

Semgrep & contributors LGPL-2.1 (engine); separate rule licenses

ComecemGitHubPlanejar com esta ferramenta

Verificar as dependências

OSV-Scanner

Coaduna os pacotes que seu projeto usa com avisos de vulnerabilidade conhecidos no OSV.

Usa-o para: Uma primeira verificação de dependência para uma imagem de repositório, lockfile ou container.

Envolvimento semanal cliente-equipa

~0,5–2 h/semana

Subsídio de planejamento editorial · 1–25 pessoas · total da equipe após a configuração

O que está incluído neste subsídio?
  • Revisar novos avisos e versões afetadas: 15–60 min/semana
  • Verifique as entradas de digitalização e atribua atualizações: 15–60 min/semana

Os intervalos cobrem a revisão de rotina, a administração e a atribuição de trabalhos de seguimento. Adicionar a bordo, implementar correções, incidentes, principais atualizações, restabelecer exercícios e auditoria/trabalho legal separadamente. As ferramentas cobrem trabalhos diferentes: não adicionem estimativas sobrepostas ou compará-las como um ranking de velocidade.

Cenário e exclusões
Configuração, esforço e limites
Como usá-lo
Examine o seu diretório de fonte ou arquivos de pacotes suportados. Revisar versões afetadas e testar qualquer atualização proposta.
Quem é o responsável
Linha de comando do desenvolvedor ou configuração do CI.
O que saber
A cobertura depende dos ecossistemas apoiados e dos dados de aconselhamento. Um resultado limpo não cobre bugs de código personalizados ou todos os componentes implantados.

Google & contributors Apache-2.0

ComecemGitHubPlanejar com esta ferramenta

Verificar as dependências

OWASP Dependency-Check

Relatório de vulnerabilidades conhecidas associadas às dependências de aplicativos.

Usa-o para: Equipes que querem relatórios de dependência em uma construção existente, incluindo Maven ou Gradle.

Envolvimento semanal cliente-equipa

~0,5–2 h/semana

Subsídio de planejamento editorial · 1–25 pessoas · total da equipe após a configuração

O que está incluído neste subsídio?
  • Revisar novos avisos e versões afetadas: 15–60 min/semana
  • Verifique as entradas de digitalização e atribua atualizações: 15–60 min/semana

Os intervalos cobrem a revisão de rotina, a administração e a atribuição de trabalhos de seguimento. Adicionar a bordo, implementar correções, incidentes, principais atualizações, restabelecer exercícios e auditoria/trabalho legal separadamente. As ferramentas cobrem trabalhos diferentes: não adicionem estimativas sobrepostas ou compará-las como um ranking de velocidade.

Cenário e exclusões
Configuração, esforço e limites
Como usá-lo
Adicione a integração de build ou execute o CLI. Mantenha os dados de aconselhamento atual e revise as correspondências dos pacotes.
Quem é o responsável
Configuração do desenvolvedor, cache de dados e revisão de supressão.
O que saber
A identificação do pacote pode produzir falsas correspondências. Credenciais de fonte de dados e limites de taxa afetam varreduras; uma chave API NVD é fortemente recomendada a montante.

OWASP project contributors Apache-2.0

ComecemGitHubPlanejar com esta ferramenta

Verificar as dependências

OWASP Dependency-Track

Rastrear o risco de componentes em diferentes aplicações usando contas de software de materiais (SBOMs).

Usa-o para: Uma equipe que precisa de visibilidade contínua em vários projetos, além de um scan único.

Envolvimento semanal cliente-equipa

~1–3 h/semana

Subsídio de planejamento editorial · 1–25 pessoas · total da equipe após a configuração

O que está incluído neste subsídio?
  • Revisar os resultados dos componentes em todos os projectos: 30–90 min/semana
  • Verifique os uploads da SBOM e serviços de saúde: 30–90 min/semana

Os intervalos cobrem a revisão de rotina, a administração e a atribuição de trabalhos de seguimento. Adicionar a bordo, implementar correções, incidentes, principais atualizações, restabelecer exercícios e auditoria/trabalho legal separadamente. As ferramentas cobrem trabalhos diferentes: não adicionem estimativas sobrepostas ou compará-las como um ranking de velocidade.

Cenário e exclusões
Configuração, esforço e limites
Como usá-lo
Gerar SBOMs em suas construções, enviá-las para o serviço e atribuir proprietários para rever alterações.
Quem é o responsável
Alguém deve hospedar o serviço e manter os uploads da SBOM.
O que saber
Depende de inventários completos, atuais e feeds de aconselhamento. Não substitui a revisão do código-fonte nem os controlos de implantação.

OWASP project contributors Apache-2.0

ComecemGitHubPlanejar com esta ferramenta

Encontrar segredos expostos

Gitleaks

Manutenção: apenas patches de segurança

Encontre senhas prováveis, chaves API e fichas no histórico ou arquivos do Git.

Usa-o para: Verificar um repositório antes de compartilhá-lo ou prevenir novos commits secretos.

Envolvimento semanal cliente-equipa

~0,5–1 h/semana

Subsídio de planejamento editorial · 1–25 pessoas · total da equipe após a configuração

O que está incluído neste subsídio?
  • Revisar os segredos suspeitos com seus proprietários: 15–30 min/semana
  • Verificar a cobertura do repositório e as exceções: 15–30 min/semana

Os intervalos cobrem a revisão de rotina, a administração e a atribuição de trabalhos de seguimento. Adicionar a bordo, implementar correções, incidentes, principais atualizações, restabelecer exercícios e auditoria/trabalho legal separadamente. As ferramentas cobrem trabalhos diferentes: não adicionem estimativas sobrepostas ou compará-las como um ranking de velocidade.

Cenário e exclusões
Configuração, esforço e limites
Como usá-lo
Analise o repositório e adicione uma verificação pré-commit ou CI. Revogar ou girar credenciais expostas confirmadas.
Quem é o responsável
Configuração do desenvolvedor e dono de um credencial para correções.
O que saber
A detecção não revoga as credenciais. O mantenedor agora limita as liberações do Gitleaks aos patches de segurança; verifique o README antes de adotá-lo. A ação GitHub separada tem seus próprios termos.

Gitleaks contributors MIT (CLI)

ComecemGitHubPlanejar com esta ferramenta

Teste um aplicativo web

ZAP

Inspeccione uma aplicação da web em execução e teste para vulnerabilidades comuns da web.

Usa-o para: Testando como a sua aplicação se comporta sobre o HTTP, ao lado de verificações de código e de dependência.

Envolvimento semanal cliente-equipa

~1–3 h/semana

Subsídio de planejamento editorial · 1–25 pessoas · total da equipe após a configuração

O que está incluído neste subsídio?
  • Revisar os resultados da web e reproduzir as prioridades: 30–90 min/semana
  • Verificar o escopo de teste, a autenticação e a configuração de varredura: 30–90 min/semana

Os intervalos cobrem a revisão de rotina, a administração e a atribuição de trabalhos de seguimento. Adicionar a bordo, implementar correções, incidentes, principais atualizações, restabelecer exercícios e auditoria/trabalho legal separadamente. As ferramentas cobrem trabalhos diferentes: não adicionem estimativas sobrepostas ou compará-las como um ranking de velocidade.

Cenário e exclusões
Configuração, esforço e limites
Como usá-lo
Comece com o seu próprio ambiente de teste. Configure o login e o escopo para que o scanner alcance as funcionalidades que você precisa verificar.
Quem é o responsável
Configuração do desenvolvedor ou testador; as varreduras autenticadas precisam de mais configuração.
O que saber
Os exames ativos enviam ataques de teste e podem mudar o estado da aplicação. Examine apenas os alvos autorizados; a lógica de negócio e as regras de acesso ainda precisam de testes manuais.

ZAP by Checkmarx & contributors Apache-2.0

ComecemGitHubPlanejar com esta ferramenta

Verificação da infra-estrutura

Trivy

Analise imagens de container, arquivos e definições de infraestrutura para vulnerabilidades conhecidas, segredos e configurações erradas.

Usa-o para: Uma primeira verificação prática para uma imagem de contentor ou repositório de implantação.

Envolvimento semanal cliente-equipa

~0,5–2 h/semana

Subsídio de planejamento editorial · 1–25 pessoas · total da equipe após a configuração

O que está incluído neste subsídio?
  • Revisar novos avisos e versões afetadas: 15–60 min/semana
  • Verifique as entradas de digitalização e atribua atualizações: 15–60 min/semana

Os intervalos cobrem a revisão de rotina, a administração e a atribuição de trabalhos de seguimento. Adicionar a bordo, implementar correções, incidentes, principais atualizações, restabelecer exercícios e auditoria/trabalho legal separadamente. As ferramentas cobrem trabalhos diferentes: não adicionem estimativas sobrepostas ou compará-las como um ranking de velocidade.

Cenário e exclusões
Configuração, esforço e limites
Como usá-lo
Escolha os tipos de alvo e de scanner, execute um scan e atribua os achados às pessoas que podem alterar a imagem ou configuração.
Quem é o responsável
Desenvolvedor ou dono da infraestrutura; atualizar dados e políticas de sintonização.
O que saber
Os achados dependem de pacotes suportados e dos scanners selecionados. Não endurece automaticamente um serviço ao vivo ou prova a sua exploração.

Aqua Security & contributors Apache-2.0

ComecemGitHubPlanejar com esta ferramenta

Verificação da infra-estrutura

Checkov

Verifique os arquivos de infraestrutura como código para configuração arriscada antes da implantação.

Usa-o para: Equipes usando arquivos de implantação Terraform, CloudFormation, Kubernetes, Helm ou similares.

Envolvimento semanal cliente-equipa

~0,5–2 h/semana

Subsídio de planejamento editorial · 1–25 pessoas · total da equipe após a configuração

O que está incluído neste subsídio?
  • Revisar os resultados da configuração com os proprietários da infraestrutura: 15–60 min/semana
  • Manter cobertura de varredura e exceções de política: 15–60 min/semana

Os intervalos cobrem a revisão de rotina, a administração e a atribuição de trabalhos de seguimento. Adicionar a bordo, implementar correções, incidentes, principais atualizações, restabelecer exercícios e auditoria/trabalho legal separadamente. As ferramentas cobrem trabalhos diferentes: não adicionem estimativas sobrepostas ou compará-las como um ranking de velocidade.

Cenário e exclusões
Configuração, esforço e limites
Como usá-lo
Analise um diretório de infraestrutura localmente ou em CI. Revisar as políticas fracassadas com a pessoa responsável pelo ambiente.
Quem é o responsável
Conhecimento da infra-estrutura; adaptação das políticas e excepções justificadas.
O que saber
Um scan de configuração não pode provar que o ambiente ao vivo corresponde aos arquivos. Os serviços de plataforma hospedada e algumas integrações de dados têm requisitos separados.

Prisma Cloud / Bridgecrew & contributors Apache-2.0

ComecemGitHubPlanejar com esta ferramenta

Revisar as práticas dos projectos

OpenSSF Scorecard

Revisar práticas de repositório como revisão de código, atualizações de dependência e build protections.

Usa-o para: Escolher uma dependência de código aberto ou melhorar a forma como seu próprio projeto é mantido.

Envolvimento semanal cliente-equipa

~0,5–1 h/semana

Subsídio de planejamento editorial · 1–25 pessoas · total da equipe após a configuração

O que está incluído neste subsídio?
  • Revisar os controlos da prática do projecto alterados: 15–30 min/semana
  • Atribuir um seguimento de configuração de repositório: 15–30 min/semana

Os intervalos cobrem a revisão de rotina, a administração e a atribuição de trabalhos de seguimento. Adicionar a bordo, implementar correções, incidentes, principais atualizações, restabelecer exercícios e auditoria/trabalho legal separadamente. As ferramentas cobrem trabalhos diferentes: não adicionem estimativas sobrepostas ou compará-las como um ranking de velocidade.

Cenário e exclusões
Configuração, esforço e limites
Como usá-lo
Inspeccione as verificações individuais para um repositório e decida quais lacunas importam para o seu caso de uso.
Quem é o responsável
Um mantenedor ou desenvolvedor que pode interpretar as configurações do repositório.
O que saber
Os cheques são heurísticos com falsos positivos e negativos. Uma pontuação elevada não é prova de que o código é seguro ou livre de vulnerabilidades.

OpenSSF & contributors Apache-2.0

ComecemGitHubPlanejar com esta ferramenta

Monitorar sistemas e avisos

Wazuh

Colete eventos de segurança e monitore computadores e dispositivos para problemas de configuração, alterações de arquivos e vulnerabilidades conhecidas.

Usa-o para: Uma equipa com alguém disponível para operar monitorização e investigar alertas.

Envolvimento semanal cliente-equipa

~3–6 h/semana

Subsídio de planejamento editorial · 1–25 pessoas · total da equipe após a configuração

O que está incluído neste subsídio?
  • Triagem de eventos de segurança e atribuição de resposta: 120–240 min/semana
  • Manter agentes, regras e serviços de saúde: 60–120 min/semana

Os intervalos cobrem a revisão de rotina, a administração e a atribuição de trabalhos de seguimento. Adicionar a bordo, implementar correções, incidentes, principais atualizações, restabelecer exercícios e auditoria/trabalho legal separadamente. As ferramentas cobrem trabalhos diferentes: não adicionem estimativas sobrepostas ou compará-las como um ranking de velocidade.

Cenário e exclusões
Configuração, esforço e limites
Como usá-lo
Desloque os componentes centrais e os agentes do dispositivo, ajuste as regras e defina quem responde a cada alerta.
Quem é o responsável
Administração do sistema em curso e operações de segurança.
O que saber
Hospedagem, atualizações, revisão de alerta e resposta permanecem seu trabalho. As licenças diferem por componente: o repositório atual inclui o código do motor GPL-2.0 e AGPL-3.0.

Wazuh & contributors GPL-2.0 / AGPL-3.0 by component

ComecemGitHubPlanejar com esta ferramenta

Agentes de controlo da IA

Por Shielda

Agent Guard

Alfa experimental

Bibliotecas TypeScript que limitam as ferramentas que um agente de IA pode executar, em quais recursos e com quais aprovações.

Usa-o para: Desenvolvedores adicionando execução de ferramenta controlada ou integrações MCP a um aplicativo de agente.

Envolvimento semanal cliente-equipa

Ainda não medido

Confirme as responsabilidades e o tempo em um piloto

Biblioteca experimental com regras específicas de acesso e aprovação de aplicações. Medir a revisão das subvenções, as alterações das políticas e o tratamento dos incidentes na sua integração; não é estabelecido um parâmetro de referência semanal recorrente.

Cenário e exclusões
Configuração, esforço e limites
Como usá-lo
Registrar ferramentas, conceder acesso à tarefa e chamadas de rota através do guarda. Adicione seu próprio fluxo de aprovação autenticado para ações sensíveis.
Quem é o responsável
Integração TypeScript e revisão do modelo de ameaça.
O que saber
Alfa experimental. Ele controla as chamadas registradas dentro de um processo; não é um sistema operacional de sandbox ou um detector universal de injeção rápida. A aplicação durável ou distribuída necessita de infra-estruturas adicionais.

ShieldaAI Apache-2.0

ComecemGitHubPlanejar com esta ferramenta

Monitorar sistemas e avisos

Por Shielda

Security Watch

Alfa experimental

Confronte avisos de segurança e notícias a um inventário declarado, mantenha as provas e envie as conclusões para o Slack ou e-mail.

Usa-o para: Uma pequena instalação que precisa de um feed de aconselhamento focado para suas bibliotecas e sistemas.

Envolvimento semanal cliente-equipa

~0,5–2 h/semana

Subsídio de planejamento editorial · 1–25 pessoas · total da equipe após a configuração

O que está incluído neste subsídio?
  • Revisar os avisos correspondentes e atribuir a ação: 15–60 min/semana
  • Atualizar o inventário e verificar a saúde do parto: 15–60 min/semana

Os intervalos cobrem a revisão de rotina, a administração e a atribuição de trabalhos de seguimento. Adicionar a bordo, implementar correções, incidentes, principais atualizações, restabelecer exercícios e auditoria/trabalho legal separadamente. As ferramentas cobrem trabalhos diferentes: não adicionem estimativas sobrepostas ou compará-las como um ranking de velocidade.

Cenário e exclusões
Configuração, esforço e limites
Como usá-lo
Forneça nomes de pacotes e versões instaladas exatas quando conhecidas. Comece com uma execução seca; as verificações estruturadas da biblioteca podem funcionar sem IA.
Quem é o responsável
Configuração do serviço Node.js, inventário atual e alguém para rever alertas.
O que saber
Alfa experimental. Ele não patch software ou provar que um sistema é seguro. As versões que faltam, gamas não suportadas e jogos de nome de produto requerem revisão.

ShieldaAI Apache-2.0

ComecemGitHubPlanejar com esta ferramenta

Orientação e listas de controlo

Saber o que procurar com OWASP

Estas referências explicam os riscos, os requisitos de implementação e verificação mais seguros. Use-os para planejar uma revisão e interpretar os achados do scanner.

OWASP Top 10

Entender os principais riscos de aplicativos web e usá-los para enquadrar uma conversa com o seu desenvolvedor. Este é um guia de consciência, não um scanner ou um plano de teste completo.

Leia o guia

OWASP Cheat Sheet Series

Encontre orientações práticas de implementação para autenticação, controle de acesso, segredos, agentes de IA e outros tópicos de segurança específicos.

Leia o guia

OWASP ASVS

Transforme a segurança da aplicação em um conjunto definido de requisitos e tarefas de verificação. Selecione o escopo com o seu desenvolvedor ou revisor e registre as evidências.

Leia o guia

O Shielda mantém os projetos rotulados por Shielda e publica este guia. As listas descrevem a documentação do projeto a montante; não são certificações de segurança independentes.

Precisas de uma pilha completa?