SSC

Orodje za odprti vir

Varnost odprtega izvora, po nalogi.

Skeniraj svojo kodo, preveri odvisnost, poišči razkrite skrivnosti ali dodaj zaščitne ukrepe agentom AI. Poišči osredotočen projekt, njegove potrebe po postavitvi in njegove omejitve.

Poišči orodje Začnite z OWASP

Večina orodij potrebuje razvijalca ali lastnika IT, da bi jih vzpostavili in pregledali ugotovitve. Vsak seznam povezav na uradni projekt in hitri začetek. Spodaj navedene reference OWASP vam pomagajo preveriti, kaj boste.

Hočeš, da ta orodja delujejo kot en varnostni tok dela?

Izberite orodje za določeno vrzel, imenujte nekoga za upravljanje in se odločite, kako ugotovitve postanejo preverjena popravki. Začnite z obstoječimi sledilniki za izdajo in trgovina dokazov; primerjajte programsko programsko opremo za usklajevanje ali upravljano podporo le, če to delo postane ozka grla.

Zgradite delovni tok okoli orodij, ki jih že uporabljate

Izberite nalogo

Najdite svojo izhodno točko

Pregledani viri: 2026-10-29

Prikazani projekti: 12 / 12

Tedenski čas ekipe: načrtovanje za 1–25 oseb

Načrtovalni scenarij: Ljudje 1–25, do 25 računalniki in naprave, 1–3 repozitoriji in po potrebi eno majhno okolje oblaka. Po začetni nastavitvi, brez aktivnega incidenta ali velikega zaostanka. Čas je, da celotna skupina strank skupaj tedensko sodeluje, ne pa čas na osebo ali skenerski tečaj.

Razpon zajema rutinsko pregledovanje, uporabo in dodeljevanje nadaljnjega dela. Dodajanje vkrcanja, izvedbenih popravkov, incidentov, večjih nadgradenj, obnovitev vaje in revizija/pravno delo ločeno. Orodja zajemajo različna delovna mesta: ne dodajajte prekrivajočih ocen ali jih primerjajte kot razvrstitev hitrosti.

To so uredniški časovni proračuni, ne terjatve prodajalcev, upoštevane povprečje ali storitvene obveznosti. Dodamo prikazane pravice za dve ponavljajoči se nalogi. Povezana dokumentacija izdelkov pojasnjuje naloge, ne število ur. Zamenjava dodatka s časovnim dnevnikom iz svojega pilota; večje ali zapletenejše okolja so zunaj tega scenarija.

Šifra izvora

Semgrep Community Edition

Najdite sumljive vzorce in pogoste napake v izvorni kodi z uporabo konfiguriranih pravil.

Uporabi jo za: Razvijalec, ki želi osredotočeno kodo preveriti lokalno ali v zahtevo za povlačenje.

Tedenska udeležba strank-team

~1–3 h/teden

Uredniško načrtovanje dodatek · 1–25 oseb · ekipa skupaj po nastavitvi

Kaj je vključeno v ta dodatek?
  • Pregled novih ugotovitev z lastniki skladišč: 30–90 min/teden
  • Ohranite pravila in preverite pokritost skeniranja: 30–90 min/teden

Razpon zajema rutinsko pregledovanje, uporabo in dodeljevanje nadaljnjega dela. Dodajanje vkrcanja, izvedbenih popravkov, incidentov, večjih nadgradenj, obnovitev vaje in revizija/pravno delo ločeno. Orodja zajemajo različna delovna mesta: ne dodajajte prekrivajočih ocen ali jih primerjajte kot razvrstitev hitrosti.

Scenarij in izključitve
Nastavitev, napor in omejitve
Kako ga uporabljati
Izberite pravila za svoj jezik, skenirajte en repozitorij, nato pregledajte ugotovitve z lastnikom kode.
Kdo ga vodi?
Nastavitev razvijalca; izbira pravil in iskanje pregledov.
Kaj vedeti
Analiza CE je omejena na funkcijo ali datoteko. Motor LGPL je odprt vir; pravila Semgrep, ki so ohranjena, imajo ločeno dovoljenje, omejeno na notranjo uporabo. Prednosti platforme imajo ločene izraze.

Semgrep & contributors LGPL-2.1 (engine); separate rule licenses

Začnite.GitHubNačrtujte s tem orodjem

Preveri odvisnosti

OSV-Scanner

Upoštevajte pakete, ki jih uporablja vaš projekt, z znanimi svetovalci za ranljivost v OSV.

Uporabi jo za: Prvi pregled odvisnosti za skladišče, ključavnico ali posnetek kontejnerja.

Tedenska udeležba strank-team

~0,5–2 h/teden

Uredniško načrtovanje dodatek · 1–25 oseb · ekipa skupaj po nastavitvi

Kaj je vključeno v ta dodatek?
  • Pregled novih svetovalcev in prizadetih različic: 15–60 min/teden
  • Preverite vhodne vhode in dodelite nadgradnje: 15–60 min/teden

Razpon zajema rutinsko pregledovanje, uporabo in dodeljevanje nadaljnjega dela. Dodajanje vkrcanja, izvedbenih popravkov, incidentov, večjih nadgradenj, obnovitev vaje in revizija/pravno delo ločeno. Orodja zajemajo različna delovna mesta: ne dodajajte prekrivajočih ocen ali jih primerjajte kot razvrstitev hitrosti.

Scenarij in izključitve
Nastavitev, napor in omejitve
Kako ga uporabljati
Preiščite imenik izvora ali podprte paketne datoteke. Pregled prizadetih različic in preskus vseh predlaganih nadgradenj.
Kdo ga vodi?
Ukazna vrstica razvijalca ali nastavitev CI.
Kaj vedeti
Pokritje je odvisno od podprtih ekosistemov in svetovalnih podatkov. Čisti rezultat ne zajema prilagojenih napak kode ali vseh uporabljenih komponent.

Google & contributors Apache-2.0

Začnite.GitHubNačrtujte s tem orodjem

Preveri odvisnosti

OWASP Dependency-Check

Poročajo o znanih ranljivostih, povezanih z odvisnostjo od aplikacije.

Uporabi jo za: Ekipe, ki želijo poročila o odvisnosti v obstoječi gradnji, vključno z Maven ali Gradle.

Tedenska udeležba strank-team

~0,5–2 h/teden

Uredniško načrtovanje dodatek · 1–25 oseb · ekipa skupaj po nastavitvi

Kaj je vključeno v ta dodatek?
  • Pregled novih svetovalcev in prizadetih različic: 15–60 min/teden
  • Preverite vhodne vhode in dodelite nadgradnje: 15–60 min/teden

Razpon zajema rutinsko pregledovanje, uporabo in dodeljevanje nadaljnjega dela. Dodajanje vkrcanja, izvedbenih popravkov, incidentov, večjih nadgradenj, obnovitev vaje in revizija/pravno delo ločeno. Orodja zajemajo različna delovna mesta: ne dodajajte prekrivajočih ocen ali jih primerjajte kot razvrstitev hitrosti.

Scenarij in izključitve
Nastavitev, napor in omejitve
Kako ga uporabljati
Dodaj povezovanje zgradbe ali pokreni CLI. Obdržati svetovalne podatke trenutne in pregledni sveženj ujema.
Kdo ga vodi?
Nastavitev, čiščenje podatkov in pregled supresije razvijalca.
Kaj vedeti
Identifikacija paketa lahko povzroči napačne ujemanje. Vrednost podatkovnih virov in omejitve stopenj vplivajo na skeniranje; ključ API NVD je močno priporočljiv navzgor.

OWASP project contributors Apache-2.0

Začnite.GitHubNačrtujte s tem orodjem

Preveri odvisnosti

OWASP Dependency-Track

Tveganje za komponento sledi med aplikacijami z uporabo računov za programsko opremo materialov (SBOM).

Uporabi jo za: Ekipa, ki potrebuje stalno vidljivost v več projektih, poleg enkratnega skeniranja.

Tedenska udeležba strank-team

~1–3 h/teden

Uredniško načrtovanje dodatek · 1–25 oseb · ekipa skupaj po nastavitvi

Kaj je vključeno v ta dodatek?
  • Rezultati pregleda vseh projektov: 30–90 min/teden
  • Preverite SBOM nalaganja in zdravje storitev: 30–90 min/teden

Razpon zajema rutinsko pregledovanje, uporabo in dodeljevanje nadaljnjega dela. Dodajanje vkrcanja, izvedbenih popravkov, incidentov, večjih nadgradenj, obnovitev vaje in revizija/pravno delo ločeno. Orodja zajemajo različna delovna mesta: ne dodajajte prekrivajočih ocen ali jih primerjajte kot razvrstitev hitrosti.

Scenarij in izključitve
Nastavitev, napor in omejitve
Kako ga uporabljati
Ustvarite SBOMs v vaših zgradbah, jih predložite v službo in dodeliti lastnikom, da pregleda spremembe.
Kdo ga vodi?
Nekdo mora gostiti storitev in vzdrževati SBOM nalaganja.
Kaj vedeti
Odvisno od popolnih sedanjih zalog in svetovalnih krm. Ne nadomešča pregledov izvorne kode ali pregledov uporabe.

OWASP project contributors Apache-2.0

Začnite.GitHubNačrtujte s tem orodjem

Poišči razkrite skrivnosti

Gitleaks

Vzdrževanje: samo varnostni obliži

Najdite verjetne gesla, API ključe in žetone v zgodovini Git ali datotekah.

Uporabi jo za: Preverjanje skladišča pred delitvijo ali preprečevanje novih skrivnostnih zavez.

Tedenska udeležba strank-team

~0,5–1 h/teden

Uredniško načrtovanje dodatek · 1–25 oseb · ekipa skupaj po nastavitvi

Kaj je vključeno v ta dodatek?
  • Preveri sum skrivnosti z lastniki: 15–30 min/teden
  • Preveri pokritost repozitorija in izjeme: 15–30 min/teden

Razpon zajema rutinsko pregledovanje, uporabo in dodeljevanje nadaljnjega dela. Dodajanje vkrcanja, izvedbenih popravkov, incidentov, večjih nadgradenj, obnovitev vaje in revizija/pravno delo ločeno. Orodja zajemajo različna delovna mesta: ne dodajajte prekrivajočih ocen ali jih primerjajte kot razvrstitev hitrosti.

Scenarij in izključitve
Nastavitev, napor in omejitve
Kako ga uporabljati
Skeniraj skladišče in dodaj preverjanje pred obveznostjo ali CI. Odvrzite ali zavrtite potrjena razkrita pooblastila.
Kdo ga vodi?
Nastavitev razvijalca in lastnik verige za popravke.
Kaj vedeti
Odkrivanje ne prekliče pooblastila. Oskrbovalec zdaj omejuje Gitleaks sprošča varnostne obliže; preverite README, preden ga sprejmete. Posamezno dejanje GitHub ima svoje pogoje.

Gitleaks contributors MIT (CLI)

Začnite.GitHubNačrtujte s tem orodjem

Preizkusi spletni program

ZAP

Preverite tekočo spletno aplikacijo in preizkusite skupne spletne ranljivosti.

Uporabi jo za: Preverjanje načina obnašanja vašega programa preko HTTP, skupaj s pregledi kode in odvisnosti.

Tedenska udeležba strank-team

~1–3 h/teden

Uredniško načrtovanje dodatek · 1–25 oseb · ekipa skupaj po nastavitvi

Kaj je vključeno v ta dodatek?
  • Pregled spletnih ugotovitev in reproduciranje prednostnih nalog: 30–90 min/teden
  • Preverite področje uporabe, avtentifikacijo in nastavitev skeniranja: 30–90 min/teden

Razpon zajema rutinsko pregledovanje, uporabo in dodeljevanje nadaljnjega dela. Dodajanje vkrcanja, izvedbenih popravkov, incidentov, večjih nadgradenj, obnovitev vaje in revizija/pravno delo ločeno. Orodja zajemajo različna delovna mesta: ne dodajajte prekrivajočih ocen ali jih primerjajte kot razvrstitev hitrosti.

Scenarij in izključitve
Nastavitev, napor in omejitve
Kako ga uporabljati
Začni s svojim preizkusnim okoljem. Nastavite prijavo in področje uporabe, tako da skener doseže funkcije, ki jih morate preveriti.
Kdo ga vodi?
Nastavitev razvijalca ali testerja; avtentikirani skeniranje potrebuje več nastavitev.
Kaj vedeti
Aktivna skeniranja pošiljajo testne napade in lahko spremenijo stanje aplikacije. Skeniraj samo dovoljene cilje; pravila poslovne logike in dostopa še vedno potrebujejo ročne teste.

ZAP by Checkmarx & contributors Apache-2.0

Začnite.GitHubNačrtujte s tem orodjem

Preverjanje infrastrukture

Trivy

Skeniraj posnetke, datoteke in opredelitve infrastrukture za znane ranljivosti, skrivnosti in napačne konfiguracije.

Uporabi jo za: Praktično prvo preverjanje za posnetek zabojnika ali repozitorij za uporabo.

Tedenska udeležba strank-team

~0,5–2 h/teden

Uredniško načrtovanje dodatek · 1–25 oseb · ekipa skupaj po nastavitvi

Kaj je vključeno v ta dodatek?
  • Pregled novih svetovalcev in prizadetih različic: 15–60 min/teden
  • Preverite vhodne vhode in dodelite nadgradnje: 15–60 min/teden

Razpon zajema rutinsko pregledovanje, uporabo in dodeljevanje nadaljnjega dela. Dodajanje vkrcanja, izvedbenih popravkov, incidentov, večjih nadgradenj, obnovitev vaje in revizija/pravno delo ločeno. Orodja zajemajo različna delovna mesta: ne dodajajte prekrivajočih ocen ali jih primerjajte kot razvrstitev hitrosti.

Scenarij in izključitve
Nastavitev, napor in omejitve
Kako ga uporabljati
Izberite ciljne tipe in tipe skenerjev, poženite skeniranje in dodelite ugotovitve ljudem, ki lahko spremenijo sliko ali nastavitev.
Kdo ga vodi?
Razvijalec ali lastnik infrastrukture; posodabljanje podatkov in politik melodije.
Kaj vedeti
Ugotovitve so odvisne od podprtih paketov in izbranih skenerjev. Ne samodejno otežuje storitve v živo ali ne dokaže izkoriščanja.

Aqua Security & contributors Apache-2.0

Začnite.GitHubNačrtujte s tem orodjem

Preverjanje infrastrukture

Checkov

Preverite datoteke infrastrukture kot kode za tvegano nastavitev pred uporabo.

Uporabi jo za: Ekipe, ki uporabljajo Terraform, CloudFormation, Kubernetes, Helm ali podobne datoteke za uporabo.

Tedenska udeležba strank-team

~0,5–2 h/teden

Uredniško načrtovanje dodatek · 1–25 oseb · ekipa skupaj po nastavitvi

Kaj je vključeno v ta dodatek?
  • Pregled ugotovitev konfiguracije z lastniki infrastrukture: 15–60 min/teden
  • Ohraniti pregledovanje pokritosti in izjeme politike: 15–60 min/teden

Razpon zajema rutinsko pregledovanje, uporabo in dodeljevanje nadaljnjega dela. Dodajanje vkrcanja, izvedbenih popravkov, incidentov, večjih nadgradenj, obnovitev vaje in revizija/pravno delo ločeno. Orodja zajemajo različna delovna mesta: ne dodajajte prekrivajočih ocen ali jih primerjajte kot razvrstitev hitrosti.

Scenarij in izključitve
Nastavitev, napor in omejitve
Kako ga uporabljati
Skeniraj imenik infrastrukture lokalno ali v CI. Preučitev neuspešnih politik z osebo, odgovorno za okolje.
Kdo ga vodi?
Znanje infrastrukture; prilagoditev politike in upravičene izjeme.
Kaj vedeti
Skeniranje nastavitev ne more dokazati, da se okolje v živo ujema z datotekami. Storitve platforme gostiteljice in nekatere integracije podatkov imajo ločene zahteve.

Prisma Cloud / Bridgecrew & contributors Apache-2.0

Začnite.GitHubNačrtujte s tem orodjem

Pregled projektnih praks

OpenSSF Scorecard

Pregled praks repozitorija, kot so pregled kode, posodobitev odvisnosti in gradnja zaščite.

Uporabi jo za: Izbira odvisnosti od odprtega vira ali izboljšanje načina, kako se vaš projekt ohranja.

Tedenska udeležba strank-team

~0,5–1 h/teden

Uredniško načrtovanje dodatek · 1–25 oseb · ekipa skupaj po nastavitvi

Kaj je vključeno v ta dodatek?
  • Pregled spremenjenih pregledov projektov: 15–30 min/teden
  • Dodeli nastavitev repozitorija: 15–30 min/teden

Razpon zajema rutinsko pregledovanje, uporabo in dodeljevanje nadaljnjega dela. Dodajanje vkrcanja, izvedbenih popravkov, incidentov, večjih nadgradenj, obnovitev vaje in revizija/pravno delo ločeno. Orodja zajemajo različna delovna mesta: ne dodajajte prekrivajočih ocen ali jih primerjajte kot razvrstitev hitrosti.

Scenarij in izključitve
Nastavitev, napor in omejitve
Kako ga uporabljati
Preverite individualne preglede za skladišče in se odločite, katere vrzeli so pomembne za vašo uporabo.
Kdo ga vodi?
Oskrbnik ali razvijalec, ki lahko tolmači nastavitve repozitorijev.
Kaj vedeti
Pregledi so heuristični z lažnimi pozitivnimi in negativnimi. Najvišji rezultat ni dokaz, da je koda varna ali brez ranljivosti.

OpenSSF & contributors Apache-2.0

Začnite.GitHubNačrtujte s tem orodjem

Spremljanje sistemov in svetovalnic

Wazuh

Zbrati varnostne dogodke in spremljati računalnike in naprave za vprašanja konfiguracije, spremembe datotek in znane ranljivosti.

Uporabi jo za: Ekipa z nekom, ki je na voljo za spremljanje in raziskovanje opozoril.

Tedenska udeležba strank-team

~3–6 h/teden

Uredniško načrtovanje dodatek · 1–25 oseb · ekipa skupaj po nastavitvi

Kaj je vključeno v ta dodatek?
  • Varnostni dogodki za triažo in dodelite odgovor: 120–240 min/teden
  • Ohraniti zastopnike, pravila in zdravje storitev: 60–120 min/teden

Razpon zajema rutinsko pregledovanje, uporabo in dodeljevanje nadaljnjega dela. Dodajanje vkrcanja, izvedbenih popravkov, incidentov, večjih nadgradenj, obnovitev vaje in revizija/pravno delo ločeno. Orodja zajemajo različna delovna mesta: ne dodajajte prekrivajočih ocen ali jih primerjajte kot razvrstitev hitrosti.

Scenarij in izključitve
Nastavitev, napor in omejitve
Kako ga uporabljati
Razporedite centralne komponente in naprave, nastavite pravila in določite, kdo se odzove na vsak razpis ukrepa.
Kdo ga vodi?
Upravljanje sistema in varnostne operacije.
Kaj vedeti
Hostovanje, posodobitve, pregled opozarjanja in odziv ostajajo vaše delo. Licence se razlikujejo glede na komponento: trenutno skladišče vključuje GPL- 2.0 in AGPL-3.0 kodo motorja.

Wazuh & contributors GPL-2.0 / AGPL-3.0 by component

Začnite.GitHubNačrtujte s tem orodjem

Upravljalni agenti AI

po Shielda

Agent Guard

Eksperimentalna alfa

TypeScript knjižnice, ki omejujejo, katere orodja lahko upravlja agent AI, na katerih virih in s katerimi odobritve.

Uporabi jo za: Razvijalci, ki dodajajo nadzorovano izvrševanje orodja ali vključevanje MCP v aplikacijo zastopnika.

Tedenska udeležba strank-team

Še ni izmerjen

Potrditi odgovornosti in čas v pilotu

Eksperimentalna knjižnica s pravili o dostopu in odobritvi, specifičnim za uporabo. Pregled nepovratnih sredstev, spremembe politike in ravnanje z incidenti v zvezi z vključevanjem; ponavljajoča se tedenska referenčna vrednost ni določena.

Scenarij in izključitve
Nastavitev, napor in omejitve
Kako ga uporabljati
Registrirajte orodja, odobrite dostop do nalog in pot klice skozi stražo. Dodajte svoj lastni potrjeni tok odobritve za občutljive ukrepe.
Kdo ga vodi?
Vključevanje TypeScripta in pregled modela nevarnosti.
Kaj vedeti
Eksperimentalna alfa. Nadzoruje registrirane klice v enem procesu; to ni OS peskovnik ali univerzalni detektor za vbrizgavanje. Dolgotrajna ali razdeljena izvršitev zahteva dodatno infrastrukturo.

ShieldaAI Apache-2.0

Začnite.GitHubNačrtujte s tem orodjem

Spremljanje sistemov in svetovalnic

po Shielda

Security Watch

Eksperimentalna alfa

Upoštevajte varnostne svetovalce in novice z deklariranim inventarom, hranite dokaze in pošljete ugotovitve Slack ali e-poštni naslov.

Uporabi jo za: Majhna naprava, ki potrebuje osredotočeno svetovalno krmilo za svoje knjižnice in sisteme.

Tedenska udeležba strank-team

~0,5–2 h/teden

Uredniško načrtovanje dodatek · 1–25 oseb · ekipa skupaj po nastavitvi

Kaj je vključeno v ta dodatek?
  • Pregled ustreznih svetovalcev in dodelitev ukrepa: 15–60 min/teden
  • Posodobitev inventarja in preverjanje zdravstvenega stanja: 15–60 min/teden

Razpon zajema rutinsko pregledovanje, uporabo in dodeljevanje nadaljnjega dela. Dodajanje vkrcanja, izvedbenih popravkov, incidentov, večjih nadgradenj, obnovitev vaje in revizija/pravno delo ločeno. Orodja zajemajo različna delovna mesta: ne dodajajte prekrivajočih ocen ali jih primerjajte kot razvrstitev hitrosti.

Scenarij in izključitve
Nastavitev, napor in omejitve
Kako ga uporabljati
Navedite imena paketov in natančno nameščene različice, kjer so znane. Začnite s suho vožnjo; strukturirane preverjanja knjižnice lahko delujejo brez AI.
Kdo ga vodi?
Node.js nastavitev storitev, trenutni inventar in nekdo za pregled razpisov ukrepov.
Kaj vedeti
Eksperimentalna alfa. Ne ovira programske opreme ali dokazuje, da je sistem varen. Manjkajoče različice, nepodprte različice in ujemanja z imenom izdelkov zahtevajo pregled.

ShieldaAI Apache-2.0

Začnite.GitHubNačrtujte s tem orodjem

Smernice in seznami

Vedite, kaj iskati z OWASP

Ta sklicevanja pojasnjujejo tveganja, varnejše zahteve za izvajanje in preverjanje. Uporabite jih, da načrtujete pregled in tolmačite ugotovitve skenerja.

OWASP Top 10

Razumeti velike spletne aplikacije tveganja in jih uporabite za okvir pogovora s svojim razvijalcem. To je vodič za ozaveščanje, ne skener ali popoln testni načrt.

Preberite navodilo

OWASP Cheat Sheet Series

Poiščite praktične smernice za izvajanje avtentifikacije, nadzor dostopa, skrivnosti, agenti AI in druge posebne varnostne teme.

Preberite navodilo

OWASP ASVS

Varnost vloge spremeni v opredeljen sklop zahtev in nalog preverjanja. Izberite področje uporabe s svojim razvijalcem ali recenzentom in zabeležite dokaze.

Preberite navodilo

Shielda vzdržuje projekte z oznako “By Shielda” in objavi ta vodnik. Izpisi opisujejo projektno dokumentacijo vnaprej; niso neodvisna varnostna spričevala.

Potrebuješ celoten kup?