Verktygslådan med öppen källkod

Öppen källkod, efter uppgift.

Skanna din kod, kontrollera beroenden, hitta utsatta hemligheter eller lägga till skyddsåtgärder till AI-agenter. Hitta ett fokuserat projekt, dess installationsbehov och dess gränser.

Hitta ett verktyg Börja med OWASP vägledning

De flesta verktyg behöver en utvecklare eller IT-ägare för att sätta upp dem och granska resultat. Varje lista länkar till det officiella projektet och snabbstart. OWASP referenser nedan hjälper dig att bestämma vad du ska kontrollera.

Vill du att dessa verktyg ska fungera som ett säkerhetsflöde?

Välj ett verktyg för en specifik lucka, namnge någon för att driva den och bestäm hur fynd blir verifierade korrigeringar. Börja med din befintliga problem tracker och bevis butik; jämför samordning programvara eller hanterat stöd endast om det arbetet blir en flaskhals.

Bygg ett arbetsflöde runt de verktyg du redan använder

Välj jobb

Hitta din utgångspunkt

Reviderade källor: 2026-10-29

Sök projekt eller uppgifter

Endast Shielda-projekt

Projektkategori

Visade projekt: 12 / 12

Veckovis lagtid: planering för 1–25 personer

Planeringsscenario: 1–25 personer, upp till 25 datorer och enheter, 1–3 arkiv och en liten molnmiljö där det är relevant. Efter inledande installation, utan aktiv incident eller större eftersläpning. Tiden är hela kundteamets kombinerade veckoengagemang, inte tid per person eller skannertid.

Ranger omfattar rutingranskning, administration och tilldelning av uppföljningsarbete. Lägga till ombord, genomföra korrigeringar, incidenter, större uppgraderingar, återställa övningar och revision/juridiskt arbete separat. Verktygen täcker olika jobb: lägg inte till överlappande uppskattningar eller jämför dem som en hastighetsrankning.

Detta är redaktionella tidsbudgetar, inte påståenden från leverantörer, observerade genomsnitt eller tjänsteåtaganden. Vi lägger till de angivna utsläppsrätterna för två återkommande uppgifter. Länkad produktdokumentation förklarar uppgifterna, inte antalet timmar. Ersätt bidraget med en tidslogg från din egen pilot; större eller mer komplexa miljöer ligger utanför detta scenario.

Sök källkod

Semgrep Community Edition

Hitta misstänkta mönster och vanliga misstag i källkod med hjälp av konfigurerbara regler.

Använd den till: En utvecklare som vill ha en fokuserad kodkontroll lokalt eller i en pull begäran.

Deltagande av kundteam per vecka

~1–3 h/vecka

Redaktionell planeringsersättning · 1–25 personer · team totalt efter uppläggning

Vad ingår i detta bidrag?

Granska nya rön med arkivägare: 30–90 min/vecka
Behåll regler och kontrollera scan täckning: 30–90 min/vecka

Scenario och undantag

Inställning, ansträngning och begränsningar

Hur du använder den: Välj regler för ditt språk, skanna ett arkiv, och sedan granska resultaten med kodägaren.
Vem driver det?: Utvecklare setup; regelval och hitta granskning.
Vad man ska veta: CE-analys är begränsad till en funktion eller fil. LGPL-motorn är öppen källkod; Semgrep-underhållna regler har en separat licens begränsad till intern användning. Plattformsfunktioner har separata villkor.

Semgrep & contributors LGPL-2.1 (engine); separate rule licenses

Kom igång GitHub Planera med detta verktyg

Kontrollberoenden

OSV-Scanner

Matcha de paket som ditt projekt använder till kända sårbarhetsbulletiner i OSV.

Använd den till: En första beroendekontroll för ett arkiv, en låsfil eller en containerbild.

Deltagande av kundteam per vecka

~0,5–2 h/vecka

Redaktionell planeringsersättning · 1–25 personer · team totalt efter uppläggning

Vad ingår i detta bidrag?

Granska nya råd och berörda versioner: 15–60 min/vecka
Kontrollera indata för genomsökning och tilldela uppgraderingar: 15–60 min/vecka

Scenario och undantag

Inställning, ansträngning och begränsningar

Hur du använder den: Skanna din källkodskatalog eller paketfiler som stöds. Granska berörda versioner och testa alla föreslagna uppgraderingar.
Vem driver det?: Kommandorad för utvecklare eller CI- inställning.
Vad man ska veta: Täckningen är beroende av ekosystem som får stöd och rådgivande data. Ett rent resultat täcker inte anpassade kodfel eller varje utplacerad komponent.

Google & contributors Apache-2.0

Kom igång GitHub Planera med detta verktyg

Kontrollberoenden

OWASP Dependency-Check

Rapportera kända sårbarheter i samband med applikationsberoenden.

Använd den till: Lag som vill ha beroenderapporter i en befintlig byggnad, inklusive Maven eller Gradle.

Deltagande av kundteam per vecka

~0,5–2 h/vecka

Redaktionell planeringsersättning · 1–25 personer · team totalt efter uppläggning

Vad ingår i detta bidrag?

Granska nya råd och berörda versioner: 15–60 min/vecka
Kontrollera indata för genomsökning och tilldela uppgraderingar: 15–60 min/vecka

Scenario och undantag

Inställning, ansträngning och begränsningar

Hur du använder den: Lägg till byggintegrationen eller kör CLI. Håll rådgivande data aktuella och granska paket matchar.
Vem driver det?: Utvecklarinställning, data caching och dämpning granskning.
Vad man ska veta: Paketidentifikation kan ge falska matchningar. Data-källkodskoder och hastighetsgränser påverkar skanningar; en NVD API-nyckel rekommenderas starkt uppströms.

OWASP project contributors Apache-2.0

Kom igång GitHub Planera med detta verktyg

Kontrollberoenden

OWASP Dependency-Track

Spårkomponentrisk för alla applikationer med hjälp av programvaruräkningar av material (SBOM).

Använd den till: Ett team som behöver ständig synlighet över flera projekt, utöver en engångssökning.

Deltagande av kundteam per vecka

~1–3 h/vecka

Redaktionell planeringsersättning · 1–25 personer · team totalt efter uppläggning

Vad ingår i detta bidrag?

Granskningsresultat för projekt: 30–90 min/vecka
Kontrollera SBOM-uppladdningar och servicehälsa: 30–90 min/vecka

Scenario och undantag

Inställning, ansträngning och begränsningar

Hur du använder den: Skapa SBOM i dina byggen, skicka in dem till tjänsten och tilldela ägare att granska ändringar.
Vem driver det?: Någon måste vara värd för tjänsten och underhålla SBOM-uppladdningar.
Vad man ska veta: Det beror på kompletta, aktuella inventeringar och rådgivningsflöden. Den ersätter inte kontroll av källkod eller utplacering.

OWASP project contributors Apache-2.0

Kom igång GitHub Planera med detta verktyg

Hitta avslöjade hemligheter

Gitleaks

Underhåll: endast säkerhetslappar

Hitta sannolika lösenord, API-nycklar och polletter i Git historia eller filer.

Använd den till: Kontrollerar ett arkiv innan det delas eller förhindrar nya hemliga åtaganden.

Deltagande av kundteam per vecka

~0,5–1 h/vecka

Redaktionell planeringsersättning · 1–25 personer · team totalt efter uppläggning

Vad ingår i detta bidrag?

Granska misstänkta hemligheter med sina ägare: 15–30 min/vecka
Kontrollera arkivets täckning och undantag: 15–30 min/vecka

Scenario och undantag

Inställning, ansträngning och begränsningar

Hur du använder den: Skanna arkivet och lägg till en förhandskontroll eller CI-kontroll. Återuppta eller rotera bekräftade exponerade referenser.
Vem driver det?: Utvecklarinställning och en kreditvärdig ägare för rättelser.
Vad man ska veta: Detektion återkallar inte referenser. Utvecklaren begränsar nu Gitleaks släpp till säkerhetsplåster; kontrollera README innan du antar den. Den separata GitHub Action har sina egna villkor.

Gitleaks contributors MIT (CLI)

Kom igång GitHub Planera med detta verktyg

Testa en webbapp

ZAP

Inspektera ett löpande webbprogram och testa för vanliga webbsårbarheter.

Använd den till: Testa hur din ansökan beter sig över HTTP, tillsammans med kod och beroendekontroller.

Deltagande av kundteam per vecka

~1–3 h/vecka

Redaktionell planeringsersättning · 1–25 personer · team totalt efter uppläggning

Vad ingår i detta bidrag?

Granska webbresultat och återge prioriteringar: 30–90 min/vecka
Kontrollera testomfång, autentisering och avsökningskonfiguration: 30–90 min/vecka

Scenario och undantag

Inställning, ansträngning och begränsningar

Hur du använder den: Börja med din egen testmiljö. Konfigurera inloggning och räckvidd så att skannern når de funktioner du behöver för att kontrollera.
Vem driver det?: Installation av utvecklare eller testare; autentiserade skanningar kräver mer konfiguration.
Vad man ska veta: Aktiva skanningar skickar testattacker och kan ändra applikationstillstånd. Skanna endast auktoriserade mål; affärslogik och åtkomstregler behöver fortfarande manuella tester.

ZAP by Checkmarx & contributors Apache-2.0

Kom igång GitHub Planera med detta verktyg

Kontrollera infrastrukturen

Trivy

Skanna containerbilder, filer och infrastrukturdefinitioner för kända sårbarheter, hemligheter och felkonfigurationer.

Använd den till: En praktisk första kontroll av en containerbild eller ett distributionsarkiv.

Deltagande av kundteam per vecka

~0,5–2 h/vecka

Redaktionell planeringsersättning · 1–25 personer · team totalt efter uppläggning

Vad ingår i detta bidrag?

Granska nya råd och berörda versioner: 15–60 min/vecka
Kontrollera indata för genomsökning och tilldela uppgraderingar: 15–60 min/vecka

Scenario och undantag

Inställning, ansträngning och begränsningar

Hur du använder den: Välj mål och skannertyper, kör en scan och tilldela resultaten till de personer som kan ändra bilden eller konfigurationen.
Vem driver det?: Utvecklare eller infrastrukturägare; uppdatera data och melodipolicyer.
Vad man ska veta: Resultaten beror på paket som stöds och de valda skannrarna. Det härdar inte automatiskt en live-tjänst eller bevisar att den kan utnyttjas.

Aqua Security & contributors Apache-2.0

Kom igång GitHub Planera med detta verktyg

Kontrollera infrastrukturen

Checkov

Kontrollera infrastructure-as-code-filer för riskfylld konfiguration före utplacering.

Använd den till: Lag som använder Terraform, CloudFormation, Kubernetes, Helm eller liknande distributionsfiler.

Deltagande av kundteam per vecka

~0,5–2 h/vecka

Redaktionell planeringsersättning · 1–25 personer · team totalt efter uppläggning

Vad ingår i detta bidrag?

Granska konfigurationsrön med infrastrukturägare: 15–60 min/vecka
Behåll scan täckning och policyundantag: 15–60 min/vecka

Scenario och undantag

Inställning, ansträngning och begränsningar

Hur du använder den: Skanna en infrastrukturkatalog lokalt eller i CI. Granska misslyckad politik med den person som ansvarar för miljön.
Vem driver det?: Kunskap om infrastruktur, politisk anpassning och motiverade undantag.
Vad man ska veta: En konfigurationssökning kan inte bevisa att den levande miljön matchar filerna. Host-plattformstjänster och vissa dataintegrationer har separata krav.

Prisma Cloud / Bridgecrew & contributors Apache-2.0

Kom igång GitHub Planera med detta verktyg

Översyn av projektpraxis

OpenSSF Scorecard

Granska arkiv praxis såsom kod översyn, uppdateringar beroende och bygga skydd.

Använd den till: Välja ett beroende av öppen källkod eller förbättra hur ditt eget projekt upprätthålls.

Deltagande av kundteam per vecka

~0,5–1 h/vecka

Redaktionell planeringsersättning · 1–25 personer · team totalt efter uppläggning

Vad ingår i detta bidrag?

Översyn av ändrade kontroller av projektpraxis: 15–30 min/vecka
Tilldela uppföljning för arkivinställning: 15–30 min/vecka

Scenario och undantag

Inställning, ansträngning och begränsningar

Hur du använder den: Inspektera de enskilda kontrollerna för ett arkiv och bestäm vilka luckor som är viktiga för ditt användningsfall.
Vem driver det?: En utvecklare eller utvecklare som kan tolka arkivinställningar.
Vad man ska veta: Kontrollerna är heuristiker med falska positiva och negativa. En hög poäng är inte bevis på att koden är säker eller fri från sårbarheter.

OpenSSF & contributors Apache-2.0

Kom igång GitHub Planera med detta verktyg

Övervaka system och råd

Wazuh

Samla in säkerhetshändelser och övervaka datorer och enheter för konfigurationsproblem, filändringar och kända sårbarheter.

Använd den till: Ett team med någon tillgänglig för övervakning och utredning av varningar.

Deltagande av kundteam per vecka

~3–6 h/vecka

Redaktionell planeringsersättning · 1–25 personer · team totalt efter uppläggning

Vad ingår i detta bidrag?

Triage säkerhet händelser och tilldela svar: 120–240 min/vecka
Bibehålla agenter, regler och servicehälsa: 60–120 min/vecka

Scenario och undantag

Inställning, ansträngning och begränsningar

Hur du använder den: Koppla in de centrala komponenterna och enhetsagenterna, justera reglerna och definiera vem som svarar på varje varning.
Vem driver det?: Pågående systemadministration och säkerhetsoperationer.
Vad man ska veta: Hosting, uppdateringar, varning översyn och svar förblir ditt arbete. Licenserna skiljer sig åt beroende på komponent: det nuvarande arkivet innehåller GPL-2.0 och AGPL-3.0 motorkod.

Wazuh & contributors GPL-2.0 / AGPL-3.0 by component

Kom igång GitHub Planera med detta verktyg

Kontrollmedel för AI

Genom Shielda

Agent Guard

Experimentell alfa

TypeScript bibliotek som begränsar vilka verktyg en AI agent kan köra, på vilka resurser, och med vilka godkännanden.

Använd den till: Utvecklare som lägger till kontrollerad verktygsutförande eller MCP-integrationer till en agentapplikation.

Deltagande av kundteam per vecka

Ännu ej mätt

Bekräfta ansvar och tid i en pilot

Experimentellt bibliotek med tillämpningsspecifika regler för åtkomst och godkännande. Åtgärda granskning av bidrag, policyändringar och incidenthantering i din integration; inget återkommande veckoriktmärke har fastställts.

Scenario och undantag

Inställning, ansträngning och begränsningar

Hur du använder den: Registrera verktyg, bevilja aktivitetsåtkomst och ruttsamtal via vakten. Lägg till ditt egen autentiserade godkännandeflöde för känsliga åtgärder.
Vem driver det?: TypeScript integration och en översyn av hotmodellen.
Vad man ska veta: Experimentell alfa. Det styr registrerade samtal inom en process; det är inte en OS sandlåda eller en universell snabbinsprutningsdetektor. Ett hållbart eller distribuerat genomförande kräver ytterligare infrastruktur.

ShieldaAI Apache-2.0

Kom igång GitHub Planera med detta verktyg

Övervaka system och råd

Genom Shielda

Security Watch

Experimentell alfa

Matcha säkerhetsbulletiner och nyheter till en deklarerad inventering, hålla bevis och skicka resultat till Slack eller e-post.

Använd den till: En liten installation som behöver ett fokuserat rådgivningsflöde för sina bibliotek och system.

Deltagande av kundteam per vecka

~0,5–2 h/vecka

Redaktionell planeringsersättning · 1–25 personer · team totalt efter uppläggning

Vad ingår i detta bidrag?

Granska matchade råd och tilldela åtgärder: 15–60 min/vecka
Uppdatera inventering och kontrollera leverans hälsa: 15–60 min/vecka

Scenario och undantag

Inställning, ansträngning och begränsningar

Hur du använder den: Ange paketnamn och exakta installerade versioner där det är känt. Börja med en torrkörning; strukturerade bibliotekskontroller kan fungera utan AI.
Vem driver det?: Node.js service setup, aktuell inventering och någon att granska varningar.
Vad man ska veta: Experimentell alfa. Det inte patch programvara eller bevisa ett system är säker. Saknade versioner, ostödda sortiment och produktnamnsmatcher kräver översyn.

ShieldaAI Apache-2.0

Kom igång GitHub Planera med detta verktyg

Vägledning och checklistor

Vet vad du ska leta efter med OWASP

Dessa referenser förklarar risker, säkrare genomförande- och kontrollkrav. Använd dem för att planera en översyn och tolka scanner fynd.

OWASP Top 10

Förstå stora webbprogram risker och använda dem för att rama in en konversation med din utvecklare. Detta är en informationsguide, inte en scanner eller en komplett testplan.

Läs guiden

OWASP Cheat Sheet Series

Hitta praktisk implementeringsvägledning för autentisering, åtkomstkontroll, hemligheter, AI-agenter och andra specifika säkerhetsfrågor.

Läs guiden

OWASP ASVS

Gör applikationssäkerhet till en definierad uppsättning krav och verifieringsuppgifter. Välj omfattning med din utvecklare eller granskare och registrera bevis.

Läs guiden

Shielda underhåller de projekt som är märkta "By Shielda" och publicerar denna guide. Listor beskriver uppströms projektdokumentation; de är inte oberoende säkerhetscertifieringar.

Behöver du en hel hög?