SSC

Setul de instrumente open-source

Securitate open-source, de sarcină.

Scanează-ţi codul, verifică dependenţa, găseşte secretele expuse sau adaugă garanţii agenţilor AI. Găsiți un proiect concentrat, nevoile sale de configurare și limitele sale.

Găsește un instrument Începeți cu ghidul OWASP

Cele mai multe instrumente au nevoie de un dezvoltator sau proprietar IT pentru a le configura și a revizui constatările. Fiecare listare link-uri la proiectul oficial și quickstart. Referințe OWASP de mai jos vă ajută să decideți ce să verificați.

Vrei ca aceste instrumente să funcționeze ca un flux de lucru de securitate?

Alegeți un instrument pentru un anumit decalaj, nume cineva să-l opereze și să decidă modul în care constatările devin remediate. Începeți cu dispozitivul de urmărire a emisiunilor și depozitul de probe existent; comparați software-ul de coordonare sau suport gestionat numai dacă această lucrare devine un blocaj.

Construiți un flux de lucru în jurul instrumentelor pe care le utilizați deja

Alege slujba.

Găsiţi punctul de plecare

Surse revizuite: 2026-10-29

Proiecte prezentate: 12 / 12

Timp de echipa saptamana: planificare pentru persoanele 1–25

Scenariu de planificare: 1–25 oameni, până la 25 calculatoare și dispozitive, 1–3 depozite și un mediu cloud mic, după caz. După configurarea inițială, cu nici un incident activ sau backlog majore. Timpul este implicarea săptămânală combinată a întregii echipe de clienți, nu timpul pe persoană sau timpul de funcționare scaner.

Range-urile acoperă revizuirea de rutină, administrarea și atribuirea de lucru follow-up. Se adaugă la bord, se pun în aplicare soluții, incidente, îmbunătățiri majore, se restabilesc exercițiile și lucrările/lucrările juridice separat. Uneltele acoperă diferite locuri de muncă: nu adăugați estimări suprapuse și nu le comparați ca pe un clasament al vitezei.

Acestea sunt bugete de timp editoriale, nu revendicări de vânzători, medii observate sau angajamente de servicii. Adăugăm certificatele afișate pentru două sarcini recurente. Documentaţia legată a produsului explică sarcinile, nu numărul de ore. Înlocuiți alocația cu un jurnal de timp de la propriul pilot; medii mai mari sau mai complexe sunt în afara acestui scenariu.

Scanează codul sursă

Semgrep Community Edition

Găsiți modele suspecte și greșeli comune în codul sursă folosind reguli configurabile.

Foloseşte-l pentru...: Un dezvoltator care vrea un control de cod focalizat local sau într-o cerere de tragere.

Implicarea săptămânală a echipei de clienți

~1–3 h/săptămână

Alocația de planificare editorială · 1–25 oameni · total de echipă după configurare

Ce este inclus în această alocaţie?
  • Revizuire noi constatări cu proprietarii de depozite: 30–90 min/săptămână
  • Mențineți regulile și verificați acoperirea scanării: 30–90 min/săptămână

Range-urile acoperă revizuirea de rutină, administrarea și atribuirea de lucru follow-up. Se adaugă la bord, se pun în aplicare soluții, incidente, îmbunătățiri majore, se restabilesc exercițiile și lucrările/lucrările juridice separat. Uneltele acoperă diferite locuri de muncă: nu adăugați estimări suprapuse și nu le comparați ca pe un clasament al vitezei.

Scenariu și excluderi
Configurare, efort și limite
Cum să-l utilizați
Alegeți reguli pentru limba dumneavoastră, scanați un depozit, apoi revizuiți constatările cu proprietarul de cod.
Cine-l conduce
Setare dezvoltator; alegerea regulii și revizuirea găsirii.
Ce sa stiu
Analiza CE este limitată la o funcție sau un fișier. Motorul LGPL este open source; Semgrep-menținut regulile au o licență separată limitată la utilizarea internă. Caracteristicile platformei au termeni separaţi.

Semgrep & contributors LGPL-2.1 (engine); separate rule licenses

Începeţi.GitHubPlanifică cu acest instrument

Verificați dependențele

OSV-Scanner

Potriviți pachetele pe care proiectul dvs. le utilizează consilierilor de vulnerabilitate cunoscuți în OSV.

Foloseşte-l pentru...: O primă verificare a dependenței pentru un depozit, fișier de blocare sau imagine container.

Implicarea săptămânală a echipei de clienți

~0,5–2 h/săptămână

Alocația de planificare editorială · 1–25 oameni · total de echipă după configurare

Ce este inclus în această alocaţie?
  • Revizuirea noilor consilieri și a versiunilor afectate: 15–60 min/săptămână
  • Verificați intrările de scanare și atribuiți actualizări: 15–60 min/săptămână

Range-urile acoperă revizuirea de rutină, administrarea și atribuirea de lucru follow-up. Se adaugă la bord, se pun în aplicare soluții, incidente, îmbunătățiri majore, se restabilesc exercițiile și lucrările/lucrările juridice separat. Uneltele acoperă diferite locuri de muncă: nu adăugați estimări suprapuse și nu le comparați ca pe un clasament al vitezei.

Scenariu și excluderi
Configurare, efort și limite
Cum să-l utilizați
Scanați directorul sursă sau fișierele de pachete acceptate. Revizuire versiuni afectate și de a testa orice actualizare propusă.
Cine-l conduce
Linia de comandă a dezvoltatorului sau configurarea CI.
Ce sa stiu
Acoperirea depinde de ecosistemele sprijinite și de datele consultative. Un rezultat curat nu acoperă bug-uri de cod personalizate sau fiecare componentă implementată.

Google & contributors Apache-2.0

Începeţi.GitHubPlanifică cu acest instrument

Verificați dependențele

OWASP Dependency-Check

Raportați vulnerabilitățile cunoscute asociate dependențelor de aplicații.

Foloseşte-l pentru...: Echipele care doresc rapoarte de dependență într-o clădire existentă, inclusiv Maven sau Gradle.

Implicarea săptămânală a echipei de clienți

~0,5–2 h/săptămână

Alocația de planificare editorială · 1–25 oameni · total de echipă după configurare

Ce este inclus în această alocaţie?
  • Revizuirea noilor consilieri și a versiunilor afectate: 15–60 min/săptămână
  • Verificați intrările de scanare și atribuiți actualizări: 15–60 min/săptămână

Range-urile acoperă revizuirea de rutină, administrarea și atribuirea de lucru follow-up. Se adaugă la bord, se pun în aplicare soluții, incidente, îmbunătățiri majore, se restabilesc exercițiile și lucrările/lucrările juridice separat. Uneltele acoperă diferite locuri de muncă: nu adăugați estimări suprapuse și nu le comparați ca pe un clasament al vitezei.

Scenariu și excluderi
Configurare, efort și limite
Cum să-l utilizați
Adăugaţi integrarea de construcţie sau executaţi CLI. Păstrați datele consultative actuale și recenzia pachetelor meciuri.
Cine-l conduce
Setare dezvoltator, cache de date și revizuire suprimare.
Ce sa stiu
Identificarea pachetelor poate produce chibrituri false. Acreditările și limitele datelor afectează scanările; o cheie API NVD este puternic recomandată în amonte.

OWASP project contributors Apache-2.0

Începeţi.GitHubPlanifică cu acest instrument

Verificați dependențele

OWASP Dependency-Track

Riscul de componentă de cale în cadrul aplicațiilor care utilizează facturile de software ale materialelor (SBOM).

Foloseşte-l pentru...: O echipă care are nevoie de vizibilitate continuă în mai multe proiecte, dincolo de o scanare one-off.

Implicarea săptămânală a echipei de clienți

~1–3 h/săptămână

Alocația de planificare editorială · 1–25 oameni · total de echipă după configurare

Ce este inclus în această alocaţie?
  • Concluziile privind componenta de revizuire la nivelul proiectelor: 30–90 min/săptămână
  • Verificați uploadurile SBOM și sănătatea serviciilor: 30–90 min/săptămână

Range-urile acoperă revizuirea de rutină, administrarea și atribuirea de lucru follow-up. Se adaugă la bord, se pun în aplicare soluții, incidente, îmbunătățiri majore, se restabilesc exercițiile și lucrările/lucrările juridice separat. Uneltele acoperă diferite locuri de muncă: nu adăugați estimări suprapuse și nu le comparați ca pe un clasament al vitezei.

Scenariu și excluderi
Configurare, efort și limite
Cum să-l utilizați
Genera SBOMs în construirile tale, trimite-le la serviciu și atribuie proprietarii pentru a revizui modificările.
Cine-l conduce
Cineva trebuie să găzduiască serviciul și să mențină SBOM upload-uri.
Ce sa stiu
Depinde de inventarele complete și actuale și de furajele consultative. Aceasta nu înlocuiește verificările de revizuire sau de implementare a codurilor sursă.

OWASP project contributors Apache-2.0

Începeţi.GitHubPlanifică cu acest instrument

Găsi secrete expuse

Gitleaks

Întreținere: numai plasturi de securitate

Găsiți parole probabil, taste API și jetoane în istoria Git sau fișiere.

Foloseşte-l pentru...: Verificarea unui depozit înainte de a-l partaja sau prevenirea noilor angajamente secrete.

Implicarea săptămânală a echipei de clienți

~0,5–1 h/săptămână

Alocația de planificare editorială · 1–25 oameni · total de echipă după configurare

Ce este inclus în această alocaţie?
  • Revizuire secrete suspectate cu proprietarii lor: 15–30 min/săptămână
  • Verificați acoperirea depozitului și excepțiile: 15–30 min/săptămână

Range-urile acoperă revizuirea de rutină, administrarea și atribuirea de lucru follow-up. Se adaugă la bord, se pun în aplicare soluții, incidente, îmbunătățiri majore, se restabilesc exercițiile și lucrările/lucrările juridice separat. Uneltele acoperă diferite locuri de muncă: nu adăugați estimări suprapuse și nu le comparați ca pe un clasament al vitezei.

Scenariu și excluderi
Configurare, efort și limite
Cum să-l utilizați
Scanați depozitul și adăugați o verificare prealabilă sau CI. Revocaţi sau rotiţi acreditările confirmate.
Cine-l conduce
Setare dezvoltator și un proprietar credibil pentru remedieri.
Ce sa stiu
Detectarea nu revocă acreditările. Responsabilul limitează acum eliberarea Gitleaks la patch-uri de securitate; verificați README înainte de a-l adopta. Actiunea separata GitHub are propriii termeni.

Gitleaks contributors MIT (CLI)

Începeţi.GitHubPlanifică cu acest instrument

Testați o aplicație web

ZAP

Inspectaţi o aplicaţie web de funcţionare şi de testare pentru vulnerabilităţi web comune.

Foloseşte-l pentru...: Testarea modului în care aplicaţia dumneavoastră se comportă peste HTTP, alături de verificarea codului şi a dependenţei.

Implicarea săptămânală a echipei de clienți

~1–3 h/săptămână

Alocația de planificare editorială · 1–25 oameni · total de echipă după configurare

Ce este inclus în această alocaţie?
  • Revizuirea constatărilor site-ului web și reproducerea priorităților: 30–90 min/săptămână
  • Verificați domeniul de aplicare al încercării, autentificarea și configurarea scanării: 30–90 min/săptămână

Range-urile acoperă revizuirea de rutină, administrarea și atribuirea de lucru follow-up. Se adaugă la bord, se pun în aplicare soluții, incidente, îmbunătățiri majore, se restabilesc exercițiile și lucrările/lucrările juridice separat. Uneltele acoperă diferite locuri de muncă: nu adăugați estimări suprapuse și nu le comparați ca pe un clasament al vitezei.

Scenariu și excluderi
Configurare, efort și limite
Cum să-l utilizați
Începe cu propriul mediu de testare. Configurează login-ul și domeniul de aplicare astfel încât scanerul să ajungă la caracteristicile pe care trebuie să le verificați.
Cine-l conduce
Developer sau setup tester; scanări autentificate au nevoie de mai multă configurare.
Ce sa stiu
Scanările active trimit atacuri de test și pot modifica starea de aplicare. Scanați numai ținte autorizate; logica de afaceri și regulile de acces încă nevoie de teste manuale.

ZAP by Checkmarx & contributors Apache-2.0

Începeţi.GitHubPlanifică cu acest instrument

Verificați infrastructura

Trivy

Scanează imaginile containerului, fișierele și definițiile infrastructurii pentru vulnerabilitățile cunoscute, secretele și configurațiile greșite.

Foloseşte-l pentru...: O primă verificare practică a imaginii unui container sau a depozitului de implementare.

Implicarea săptămânală a echipei de clienți

~0,5–2 h/săptămână

Alocația de planificare editorială · 1–25 oameni · total de echipă după configurare

Ce este inclus în această alocaţie?
  • Revizuirea noilor consilieri și a versiunilor afectate: 15–60 min/săptămână
  • Verificați intrările de scanare și atribuiți actualizări: 15–60 min/săptămână

Range-urile acoperă revizuirea de rutină, administrarea și atribuirea de lucru follow-up. Se adaugă la bord, se pun în aplicare soluții, incidente, îmbunătățiri majore, se restabilesc exercițiile și lucrările/lucrările juridice separat. Uneltele acoperă diferite locuri de muncă: nu adăugați estimări suprapuse și nu le comparați ca pe un clasament al vitezei.

Scenariu și excluderi
Configurare, efort și limite
Cum să-l utilizați
Alegeți tipurile de țintă și scaner, executați o scanare și atribuiți rezultatele persoanelor care pot schimba imaginea sau configurația.
Cine-l conduce
Dezvoltator sau proprietar de infrastructură; actualizarea datelor și a politicilor de tonare.
Ce sa stiu
Constatări depind de pachetele acceptate și de scanerele selectate. Ea nu întăreşte automat un serviciu live sau nu dovedeşte exploatare.

Aqua Security & contributors Apache-2.0

Începeţi.GitHubPlanifică cu acest instrument

Verificați infrastructura

Checkov

Verificați fișierele de infrastructură ca cod pentru configurarea riscantă înainte de implementare.

Foloseşte-l pentru...: Echipe care utilizează Terraform, CloudFormation, Kubernetes, Helm sau fișiere similare de implementare.

Implicarea săptămânală a echipei de clienți

~0,5–2 h/săptămână

Alocația de planificare editorială · 1–25 oameni · total de echipă după configurare

Ce este inclus în această alocaţie?
  • Revizuirea constatărilor privind configurația cu proprietarii de infrastructură: 15–60 min/săptămână
  • Menținerea acoperirii scanării și a excepțiilor de politică: 15–60 min/săptămână

Range-urile acoperă revizuirea de rutină, administrarea și atribuirea de lucru follow-up. Se adaugă la bord, se pun în aplicare soluții, incidente, îmbunătățiri majore, se restabilesc exercițiile și lucrările/lucrările juridice separat. Uneltele acoperă diferite locuri de muncă: nu adăugați estimări suprapuse și nu le comparați ca pe un clasament al vitezei.

Scenariu și excluderi
Configurare, efort și limite
Cum să-l utilizați
Scanează un director de infrastructură local sau în CI. Revizuirea politicilor eşuate cu persoana responsabilă pentru mediu.
Cine-l conduce
Cunoașterea infrastructurii; adaptarea politicilor și excepții justificate.
Ce sa stiu
O scanare a configuraţiei nu poate dovedi că mediul live se potriveşte cu fişierele. Serviciile de platformă găzduite și unele integrări de date au cerințe separate.

Prisma Cloud / Bridgecrew & contributors Apache-2.0

Începeţi.GitHubPlanifică cu acest instrument

Revizuire practicilor proiectului

OpenSSF Scorecard

Practicile de revizuire a arhivelor, cum ar fi revizuirea codurilor, actualizările dependenței și protecția clădirilor.

Foloseşte-l pentru...: Alegerea unei dependențe open-source sau îmbunătățirea modului în care este menținut propriul proiect.

Implicarea săptămânală a echipei de clienți

~0,5–1 h/săptămână

Alocația de planificare editorială · 1–25 oameni · total de echipă după configurare

Ce este inclus în această alocaţie?
  • Revizuirea a modificat controalele de proiect-practică: 15–30 min/săptămână
  • Atribuiți o monitorizare de stabilire a depozitului: 15–30 min/săptămână

Range-urile acoperă revizuirea de rutină, administrarea și atribuirea de lucru follow-up. Se adaugă la bord, se pun în aplicare soluții, incidente, îmbunătățiri majore, se restabilesc exercițiile și lucrările/lucrările juridice separat. Uneltele acoperă diferite locuri de muncă: nu adăugați estimări suprapuse și nu le comparați ca pe un clasament al vitezei.

Scenariu și excluderi
Configurare, efort și limite
Cum să-l utilizați
Inspectaţi verificările individuale pentru un depozit şi decideţi care sunt lacunele pentru cazul dumneavoastră de utilizare.
Cine-l conduce
Un responsabil sau dezvoltator care poate interpreta setările depozitului.
Ce sa stiu
Controalele sunt euristice cu fals pozitive și negative. Un scor mare nu este dovada că codul este sigur sau fără vulnerabilităţi.

OpenSSF & contributors Apache-2.0

Începeţi.GitHubPlanifică cu acest instrument

Monitorizează sistemele și consilierii

Wazuh

Colecta evenimente de securitate și de a monitoriza computere și dispozitive pentru probleme de configurare, modificări de fișier și vulnerabilități cunoscute.

Foloseşte-l pentru...: O echipă cu cineva disponibil pentru a opera monitorizarea și investigarea alertelor.

Implicarea săptămânală a echipei de clienți

~3–6 h/săptămână

Alocația de planificare editorială · 1–25 oameni · total de echipă după configurare

Ce este inclus în această alocaţie?
  • Evenimente de securitate triaj și atribuirea răspunsului: 120–240 min/săptămână
  • Menținerea agenților, a regulilor și a sănătății serviciilor: 60–120 min/săptămână

Range-urile acoperă revizuirea de rutină, administrarea și atribuirea de lucru follow-up. Se adaugă la bord, se pun în aplicare soluții, incidente, îmbunătățiri majore, se restabilesc exercițiile și lucrările/lucrările juridice separat. Uneltele acoperă diferite locuri de muncă: nu adăugați estimări suprapuse și nu le comparați ca pe un clasament al vitezei.

Scenariu și excluderi
Configurare, efort și limite
Cum să-l utilizați
Desfăşuraţi componentele centrale şi agenţii de dispozitiv, reglaţi regulile şi definiţi cine răspunde la fiecare alertă.
Cine-l conduce
Gestionarea în curs a sistemului și operațiunile de securitate.
Ce sa stiu
Gazduire, actualizări, revizuire alertă și răspuns rămâne munca ta. Licențele diferă în funcție de componentă: depozitul curent include codul motorului GPL-2.0 și AGPL-3.0.

Wazuh & contributors GPL-2.0 / AGPL-3.0 by component

Începeţi.GitHubPlanifică cu acest instrument

Agenți AI de control

Prin Shielda

Agent Guard

Alfa experimentală

Biblioteci tipScript care limitează instrumentele pe care un agent AI le poate rula, pe care resurse și cu care aprobări.

Foloseşte-l pentru...: Dezvoltatori care adauga executie de instrumente controlate sau integrari MCP la o aplicatie agent.

Implicarea săptămânală a echipei de clienți

Nemăsurat încă

Confirmă responsabilitățile și timpul petrecut într-un pilot

Biblioteca experimentală cu reguli de acces și aprobare specifice aplicației. Măsurați revizuirea granturilor, schimbările de politică și gestionarea incidentelor în integrarea dumneavoastră; nu se stabilește niciun criteriu de referință săptămânal recurent.

Scenariu și excluderi
Configurare, efort și limite
Cum să-l utilizați
Înregistrează unelte, acordă acces la sarcină și apeluri de rută prin intermediul paznicului. Adăugați propriul flux de aprobare autentificat pentru acțiuni sensibile.
Cine-l conduce
Integrarea tipScript și o revizuire a modelului de amenințare.
Ce sa stiu
Experimental alfa. Acesta controlează apelurile înregistrate într-un singur proces; nu este o cutie de nisip cu sistem de operare sau un detector universal de injecţie rapidă. Punerea în aplicare durabilă sau distribuită necesită o infrastructură suplimentară.

ShieldaAI Apache-2.0

Începeţi.GitHubPlanifică cu acest instrument

Monitorizează sistemele și consilierii

Prin Shielda

Security Watch

Alfa experimentală

Potriviți consilierii de securitate și știri la un inventar declarat, păstrați dovezile și trimite constatări la Slack sau e-mail.

Foloseşte-l pentru...: O mica instalatie care are nevoie de o alimentare consultativa focalizata pentru bibliotecile si sistemele sale.

Implicarea săptămânală a echipei de clienți

~0,5–2 h/săptămână

Alocația de planificare editorială · 1–25 oameni · total de echipă după configurare

Ce este inclus în această alocaţie?
  • Revizuire corespunzătoare consilierilor și atribuirea acțiunii: 15–60 min/săptămână
  • Actualizarea inventarului și verificarea sănătății de livrare: 15–60 min/săptămână

Range-urile acoperă revizuirea de rutină, administrarea și atribuirea de lucru follow-up. Se adaugă la bord, se pun în aplicare soluții, incidente, îmbunătățiri majore, se restabilesc exercițiile și lucrările/lucrările juridice separat. Uneltele acoperă diferite locuri de muncă: nu adăugați estimări suprapuse și nu le comparați ca pe un clasament al vitezei.

Scenariu și excluderi
Configurare, efort și limite
Cum să-l utilizați
Furnizați numele pachetelor și versiunile instalate exact acolo unde este cunoscut. Începeţi cu o alergare uscată; verificările structurate ale bibliotecii pot funcţiona fără AI.
Cine-l conduce
Node.js service setup, inventar curent și cineva pentru a revizui alerte.
Ce sa stiu
Experimental alfa. Acesta nu patch-uri software sau dovedi un sistem este sigur. Versiunile lipsă, gamele nesusţinute şi meciurile cu numele de produs necesită revizuire.

ShieldaAI Apache-2.0

Începeţi.GitHubPlanifică cu acest instrument

Ghidare și liste de verificare

Știți ce să căutați cu OWASP

Aceste referințe explică riscurile, cerințele de punere în aplicare și de verificare mai sigure. Foloseşte-le pentru a planifica o revizuire şi a interpreta rezultatele scanerelor.

OWASP Top 10

Înțelege riscurile majore de aplicare web și să le folosească pentru a încadra o conversație cu dezvoltatorul dumneavoastră. Acesta este un ghid de conştientizare, nu un scaner sau un plan complet de testare.

Citeste ghidul

OWASP Cheat Sheet Series

Găsiți orientări practice de punere în aplicare pentru autentificare, control acces, secrete, agenți AI și alte subiecte specifice de securitate.

Citeste ghidul

OWASP ASVS

Transforma securitatea aplicației într-un set definit de cerințe și sarcini de verificare. Selectați domeniul de aplicare cu dezvoltatorul sau revizorul și înregistrați dovezile.

Citeste ghidul

Shielda menţine proiectele etichetate de Shielda şi publică acest ghid. Lista descrie documentaţia proiectului în amonte; acestea nu sunt certificări de securitate independente.

Ai nevoie de un teanc complet?