Súbor nástrojov s otvoreným zdrojovým kódom

Open-source bezpečnosť, podľa úlohy.

Skenujte váš kód, skontrolujte závislosti, nájdite odhalené tajomstvá alebo pridajte záruky agentom AI. Nájsť cielený projekt, jeho potreby nastavenia a jeho limity.

Nájsť nástroj Začnite s vedením OWASP

Väčšina nástrojov potrebuje developera alebo vlastníka IT, aby ich nastavil a preskúmal zistenia. Každý zoznam odkazov na oficiálny projekt a rýchly štart. Nižšie uvedené odkazy OWASP vám pomôžu rozhodnúť sa, čo skontrolovať.

Chcete, aby tieto nástroje fungovali ako jeden bezpečnostný postup?

Vyberte si nástroj pre konkrétnu medzeru, pomenujte niekoho, kto ju prevádzkuje, a rozhodnite sa, ako sa výsledky opravia. Začnite so svojím existujúcim sledovačom problémov a obchodom s dôkazmi; porovnajte koordinačný softvér alebo riadenú podporu len vtedy, ak sa táto práca stane prekážkou.

Vybudovať pracovné postupy okolo nástrojov, ktoré už používate

Vyberte si úlohu

Nájdi si východiskový bod

Preskúmané zdroje: 2026-10-29

Vyhľadávanie projektov alebo úloh

Iba projekty Shielda

Kategória projektu

Uvedené projekty: 12 / 12

Týždenný čas tímu: plánovanie pre ľudí 1–25

Plánovací scenár: 1–25 ľudia, až 25 počítače a zariadenia, 1–3 úložisko a jeden malý cloud prostredie, kde je to relevantné. Po počiatočnom nastavení, bez aktívneho incidentu alebo hlavného backlogu. Čas je celý zákaznícky tím kombinovaný týždenné zapojenie, nie čas na osobu alebo skener beží čas.

Rozsahy zahŕňajú rutinné preskúmanie, správu a prideľovanie následných-up práce. Pridať na palubu, vykonávanie opravy, incidenty, hlavné upgrady, obnoviť cvičenia a audit/právna práca samostatne. Nástroje zahŕňajú rôzne úlohy: nepridávajte prekrývajúce sa odhady ani ich neporovnávajte ako rýchlostné poradie.

Ide o rozpočet na redakčný čas, nie o pohľadávky dodávateľa, zaznamenané priemery alebo záväzky služby. Pridávame zobrazené kvóty pre dve opakujúce sa úlohy. Prepojená dokumentácia výrobku vysvetľuje úlohy, nie počet hodín. Nahradiť príspevok časovým denníkom od vlastného pilota; väčšie alebo zložitejšie prostredie je mimo tohto scenára.

Kód zdroja skenovania

Semgrep Community Edition

Nájdite podozrivé vzory a bežné chyby v zdrojovom kóde pomocou konfigurovateľných pravidiel.

Použiť pre: Developer, ktorý chce sústredenú kontrolu kódu lokálne alebo v žiadosti o ťahanie.

Týždenné zapojenie zákazníka-tímu

~1–3 h/týždeň

Editorský plánovací príspevok · 1–25 ľudia · tím celkom po nastavení

Čo je zahrnuté v tomto príspevku?

Preskúmať nové zistenia u vlastníkov úložiska: 30–90 min./týždeň
Zachovať pravidlá a kontrolovať pokrytie snímkami: 30–90 min./týždeň

Scenár a vylúčenia

Nastavenie, výkon a limity

Ako ju používať: Vyberte si pravidlá pre váš jazyk, skenujte jeden úložisko a potom prehodnoťte zistenia s majiteľom kódu.
Kto ho vedie?: Nastavenie vývojárov; výber pravidiel a hľadanie preskúmanie.
Čo vedieť: Analýza CE je obmedzená na funkciu alebo súbor. Motor LGPL je open source; Semgrep-udržiavané pravidlá majú samostatnú licenciu obmedzenú na vnútorné použitie. Vlastnosti platformy majú samostatné výrazy.

Semgrep & contributors LGPL-2.1 (engine); separate rule licenses

Začnite GitHub Plán s týmto nástrojom

Kontrola závislostí

OSV-Scanner

Zápas balíčky, ktoré váš projekt používa pre známe rady zraniteľnosti v OSV.

Použiť pre: Prvá kontrola závislosti na snímke úložiska, zámkového súboru alebo kontajnera.

Týždenné zapojenie zákazníka-tímu

~0,5–2 h/týždeň

Editorský plánovací príspevok · 1–25 ľudia · tím celkom po nastavení

Čo je zahrnuté v tomto príspevku?

Preskúmanie nových poradcov a dotknutých verzií: 15–60 min./týždeň
Skontrolovať skenovanie vstupov a priradiť upgrady: 15–60 min./týždeň

Scenár a vylúčenia

Nastavenie, výkon a limity

Ako ju používať: Skenujte zdrojový adresár alebo podporované súbory balíkov. Preskúmať ovplyvnené verzie a otestovať všetky navrhované upgrade.
Kto ho vedie?: Príkazový riadok pre vývojárov alebo nastavenie CI.
Čo vedieť: Pokrytie závisí od podporovaných ekosystémov a poradenských údajov. Čistý výsledok sa nevzťahuje na chyby vlastného kódu ani na každý nasadený komponent.

Google & contributors Apache-2.0

Začnite GitHub Plán s týmto nástrojom

Kontrola závislostí

OWASP Dependency-Check

Uveďte známe slabé miesta súvisiace so závislosťami od aplikácie.

Použiť pre: Tímy, ktoré chcú správy o závislosti v existujúcej budove, vrátane Maven alebo Gradle.

Týždenné zapojenie zákazníka-tímu

~0,5–2 h/týždeň

Editorský plánovací príspevok · 1–25 ľudia · tím celkom po nastavení

Čo je zahrnuté v tomto príspevku?

Preskúmanie nových poradcov a dotknutých verzií: 15–60 min./týždeň
Skontrolovať skenovanie vstupov a priradiť upgrady: 15–60 min./týždeň

Scenár a vylúčenia

Nastavenie, výkon a limity

Ako ju používať: Pridať budovanie integrácie alebo spustiť CLI. Udržujte aktuálne poradenské údaje a prehodnocujte balíček zhody.
Kto ho vedie?: Nastavenie vývojárov, caching dát a potlačenie recenzie.
Čo vedieť: Identifikácia balíčka môže vyvolať falošné zhody. Údaje o zdroji a limity sadzieb ovplyvňujú skeny; kľúč NVD API sa dôrazne odporúča v počiatočnej fáze.

OWASP project contributors Apache-2.0

Začnite GitHub Plán s týmto nástrojom

Kontrola závislostí

OWASP Dependency-Track

Riziko traťových komponentov pri všetkých aplikáciách využívajúcich softvérové účty materiálov (SBOM).

Použiť pre: Tím, ktorý potrebuje neustálu viditeľnosť naprieč niekoľkými projektmi, nad rámec jednorazového skenu.

Týždenné zapojenie zákazníka-tímu

~1–3 h/týždeň

Editorský plánovací príspevok · 1–25 ľudia · tím celkom po nastavení

Čo je zahrnuté v tomto príspevku?

Preskúmať zistenia jednotlivých zložiek projektov: 30–90 min./týždeň
Skontrolujte, či SBOM nahráva a zdravie služby: 30–90 min./týždeň

Scenár a vylúčenia

Nastavenie, výkon a limity

Ako ju používať: Generovať SBOMs vo vašich stavbách, predložiť ich do služby a priradiť majiteľov k preskúmaniu zmien.
Kto ho vedie?: Niekto musí hostiť službu a udržiavať SBOM nahráva.
Čo vedieť: Záleží na kompletných, aktuálnych zásobách a poradenských kanáloch. Nenahrádza preskúmanie zdrojového kódu ani kontroly zavádzania.

OWASP project contributors Apache-2.0

Začnite GitHub Plán s týmto nástrojom

Nájsť odhalené tajomstvá

Gitleaks

Údržba: len bezpečnostné náplasti

Nájdite pravdepodobné heslá, API klávesy a žetóny v histórii Git alebo súbory.

Použiť pre: Kontrola úložiska pred zdieľaním alebo zamedzením novým tajným záväzkom.

Týždenné zapojenie zákazníka-tímu

~0,5–1 h/týždeň

Editorský plánovací príspevok · 1–25 ľudia · tím celkom po nastavení

Čo je zahrnuté v tomto príspevku?

Preskúmať podozrivé tajomstvá s ich majiteľmi: 15–30 min./týždeň
Kontrola pokrytia úložiska a výnimky: 15–30 min./týždeň

Scenár a vylúčenia

Nastavenie, výkon a limity

Ako ju používať: Skenovať úložisko a pridať pre-commit alebo CI kontrolu. Zrušte alebo striedajte potvrdené ožiarené osvedčenia.
Kto ho vedie?: Developerské nastavenie a dôveryhodný vlastník pre opravy.
Čo vedieť: Detekcia neodvolá poverovacie listiny. Správca teraz obmedzuje Gitleaks uvoľňovanie na bezpečnostné záplaty; skontrolujte README pred prijatím. Samostatné GitHub Action má svoje vlastné podmienky.

Gitleaks contributors MIT (CLI)

Začnite GitHub Plán s týmto nástrojom

Otestujte webovú aplikáciu

ZAP

Skontrolujte bežiacu webovú aplikáciu a test na spoločné webové zraniteľnosti.

Použiť pre: Testovanie, ako sa vaša aplikácia správa cez HTTP, spolu s kontrolou kódu a závislosti.

Týždenné zapojenie zákazníka-tímu

~1–3 h/týždeň

Editorský plánovací príspevok · 1–25 ľudia · tím celkom po nastavení

Čo je zahrnuté v tomto príspevku?

Preskúmanie webových zistení a reprodukovanie priorít: 30–90 min./týždeň
Kontrola rozsahu skúšok, autentifikácia a konfigurácia skenovania: 30–90 min./týždeň

Scenár a vylúčenia

Nastavenie, výkon a limity

Ako ju používať: Začnite s vlastným testovacím prostredím. Nastaviť prihlásenie a rozsah, takže skener dosiahne funkcie, ktoré potrebujete skontrolovať.
Kto ho vedie?: Vývojár alebo tester nastavenie; overené skeny potrebujú viac konfigurácie.
Čo vedieť: Aktívne skeny vysielajú testovacie útoky a môžu zmeniť stav aplikácie. Skenovať len povolené ciele; obchodné logika a prístup pravidlá stále potrebujú ručné testy.

ZAP by Checkmarx & contributors Apache-2.0

Začnite GitHub Plán s týmto nástrojom

Kontrolná infraštruktúra

Trivy

Skenovanie kontajnerových obrázkov, súborov a definícií infraštruktúry pre známe zraniteľnosti, tajomstvá a mylné konfigurácie.

Použiť pre: Praktická prvá kontrola pre obraz kontajnera alebo úložisko nasadenia.

Týždenné zapojenie zákazníka-tímu

~0,5–2 h/týždeň

Editorský plánovací príspevok · 1–25 ľudia · tím celkom po nastavení

Čo je zahrnuté v tomto príspevku?

Preskúmanie nových poradcov a dotknutých verzií: 15–60 min./týždeň
Skontrolovať skenovanie vstupov a priradiť upgrady: 15–60 min./týždeň

Scenár a vylúčenia

Nastavenie, výkon a limity

Ako ju používať: Vyberte cieľové a skener typy, spustite sken a priradiť zistenia ľuďom, ktorí môžu zmeniť obrázok alebo konfiguráciu.
Kto ho vedie?: Developer alebo vlastník infraštruktúry; aktualizácia údajov a vyladenie politík.
Čo vedieť: Zistenia závisia od podporovaných balíkov a vybraných skenerov. To automaticky nestvrdne živé služby alebo dokázať vykorisťovateľnosť.

Aqua Security & contributors Apache-2.0

Začnite GitHub Plán s týmto nástrojom

Kontrolná infraštruktúra

Checkov

Pred nasadením skontrolujte súbory infraštruktúry ako kód pre riskantnú konfiguráciu.

Použiť pre: Tímy používajúce súbory Terraform, CloudFormation, Kubernetes, Helm alebo podobné súbory.

Týždenné zapojenie zákazníka-tímu

~0,5–2 h/týždeň

Editorský plánovací príspevok · 1–25 ľudia · tím celkom po nastavení

Čo je zahrnuté v tomto príspevku?

Preskúmanie zistení o konfigurácii s vlastníkmi infraštruktúry: 15–60 min./týždeň
Zachovať pokrytie skenovaním a politické výnimky: 15–60 min./týždeň

Scenár a vylúčenia

Nastavenie, výkon a limity

Ako ju používať: Skenovať adresár infraštruktúry lokálne alebo v CI. Preskúmanie neúspešných politík s osobou zodpovednou za životné prostredie.
Kto ho vedie?: Poznatky o infraštruktúre; vyladenie politiky a odôvodnené výnimky.
Čo vedieť: Konfiguračný sken nemôže dokázať, že živé prostredie sa zhoduje so súbormi. Služby hostiteľskej platformy a niektoré dátové integrácie majú samostatné požiadavky.

Prisma Cloud / Bridgecrew & contributors Apache-2.0

Začnite GitHub Plán s týmto nástrojom

Preskúmanie postupov projektov

OpenSSF Scorecard

Postupy preverovania archívov, ako je preskúmanie kódu, aktualizácia závislosti a budovanie ochrany.

Použiť pre: Výber závislosti od otvoreného zdroja alebo zlepšenie spôsobu, akým sa udržiava váš vlastný projekt.

Týždenné zapojenie zákazníka-tímu

~0,5–1 h/týždeň

Editorský plánovací príspevok · 1–25 ľudia · tím celkom po nastavení

Čo je zahrnuté v tomto príspevku?

Preskúmanie zmenených kontrol projektových postupov: 15–30 min./týždeň
Priradiť následné sledovanie nastavenia úložiska: 15–30 min./týždeň

Scenár a vylúčenia

Nastavenie, výkon a limity

Ako ju používať: Skontrolujte jednotlivé kontroly úložiska a rozhodnúť, ktoré medzery záleží na vašom prípade použitia.
Kto ho vedie?: Správca alebo vývojár, ktorý dokáže interpretovať nastavenia úložiska.
Čo vedieť: Kontroly sú heuristické s falošnými pozitívami a negatívami. Vysoké skóre nie je dôkazom toho, že kód je bezpečný alebo bez slabých miest.

OpenSSF & contributors Apache-2.0

Začnite GitHub Plán s týmto nástrojom

Monitorovacie systémy a poradcovia

Wazuh

Zbierajte bezpečnostné udalosti a sledovať počítače a zariadenia pre konfiguráciu problémy, zmeny súborov a známe zraniteľnosti.

Použiť pre: Tím s niekým, kto je k dispozícii na prevádzkovanie monitoringu a vyšetrovanie varovaní.

Týždenné zapojenie zákazníka-tímu

~3–6 h/týždeň

Editorský plánovací príspevok · 1–25 ľudia · tím celkom po nastavení

Čo je zahrnuté v tomto príspevku?

Bezpečnostné udalosti triage a priradiť odpoveď: 120–240 min./týždeň
Zachovať agentov, pravidlá a zdravie služieb: 60–120 min./týždeň

Scenár a vylúčenia

Nastavenie, výkon a limity

Ako ju používať: Nainštalujte centrálne komponenty a jednotky zariadenia, vymeňte pravidlá a definujte, kto odpovedá na každé upozornenie.
Kto ho vedie?: Prebieha správa systému a bezpečnostné operácie.
Čo vedieť: Hostiteľstvo, aktualizácie, kontrola výstrahy a reakcia zostávajú vašou prácou. Licencie sa líšia podľa komponentov: aktuálne úložisko obsahuje kód motora GPL-2.0 a AGPL-3.0.

Wazuh & contributors GPL-2.0 / AGPL-3.0 by component

Začnite GitHub Plán s týmto nástrojom

Ovládacie činidlá AI

Podľa Shielda

Agent Guard

Experimentálne alfa

Knižnice TypeScript, ktoré obmedzujú, ktoré nástroje môže agent AI spustiť, na ktorých zdrojoch, a s ktorými schválenia.

Použiť pre: Vývojári pridávajú do aplikácie agenta riadené nástroje alebo MCP integrácie.

Týždenné zapojenie zákazníka-tímu

Zatiaľ nemerané

Potvrdiť zodpovednosť a čas pilota

Experimentálna knižnica s pravidlami prístupu a schvaľovania špecifickými pre aplikáciu. Opatrenie grantov preskúmanie, zmeny politiky a riešenie incidentov vo vašej integrácii; žiadne opakujúce sa týždenné referenčné hodnoty sú stanovené.

Scenár a vylúčenia

Nastavenie, výkon a limity

Ako ju používať: Zaregistrujte nástroje, grantový prístup k úlohám a presmerovanie hovorov cez stráž. Pridajte svoj vlastný overený schvaľovací tok pre citlivé akcie.
Kto ho vedie?: Typová integrácia a prehľad modelu ohrozenia.
Čo vedieť: Experimentálna alfa. Kontroluje registrované hovory v rámci jedného procesu; nie je to OS pieskovisko alebo univerzálny rýchlo-injekčný detektor. Trvalé alebo distribuované presadzovanie si vyžaduje dodatočnú infraštruktúru.

ShieldaAI Apache-2.0

Začnite GitHub Plán s týmto nástrojom

Monitorovacie systémy a poradcovia

Podľa Shielda

Security Watch

Experimentálne alfa

Zápas bezpečnostné poradcovia a novinky do deklarovaného inventára, udržať dôkazy a poslať zistenia do Slack alebo e-mailu.

Použiť pre: Malé zariadenie, ktoré potrebuje pre svoje knižnice a systémy cielené poradenské krmivo.

Týždenné zapojenie zákazníka-tímu

~0,5–2 h/týždeň

Editorský plánovací príspevok · 1–25 ľudia · tím celkom po nastavení

Čo je zahrnuté v tomto príspevku?

Preskúmanie zosúladených poradcov a priradenie akcie: 15–60 min./týždeň
Aktualizácia inventára a kontrola stavu dodávok: 15–60 min./týždeň

Scenár a vylúčenia

Nastavenie, výkon a limity

Ako ju používať: Uveďte názvy balíkov a presné nainštalované verzie, ak sú známe. Začnite suchým behom; štruktúrované šeky knižnice môžu fungovať bez AI.
Kto ho vedie?: Uzol.js služby nastavenie, aktuálny inventár a niekto skontrolovať upozornenia.
Čo vedieť: Experimentálna alfa. To nie je patch softvér alebo dokázať, že systém je bezpečný. Chýbajúce verzie, nepodporované rozsahy a zhody produktov si vyžadujú preskúmanie.

ShieldaAI Apache-2.0

Začnite GitHub Plán s týmto nástrojom

Usmerňujúce a kontrolné zoznamy

Vedieť, čo hľadať s OWASP

Tieto odkazy vysvetľujú riziká, bezpečnejšie požiadavky na vykonávanie a overovanie. Použite ich na plánovanie preskúmania a interpretáciu nálezov skenera.

OWASP Top 10

Pochopiť hlavné riziká webovej aplikácie a použiť ich na rámovanie rozhovor s vaším vývojárom. To je návod na uvedomenie si, nie skener alebo kompletný plán testu.

Prečítajte si návod

OWASP Cheat Sheet Series

Nájdite praktické vykonávacie usmernenia pre autentifikáciu, kontrolu prístupu, tajomstvá, agentov AI a iné špecifické bezpečnostné témy.

Prečítajte si návod

OWASP ASVS

Premeniť bezpečnosť aplikácie na vymedzený súbor požiadaviek a overovacích úloh. Vyberte rozsah so svojím vývojárom alebo recenzentom a zaznamenajte dôkazy.

Prečítajte si návod

Shielda udržuje projekty označené Shielda a zverejní túto príručku. V zoznamoch sa opisuje projektová dokumentácia v počiatočnej fáze; nejde o nezávislé bezpečnostné osvedčenia.

Potrebuješ kompletnú kopu?