devsecops

悪意のあるオープンソースパッケージからの保護 🤖

OWASP DevSecOpsガイドラインは、開発パイプラインの一部としてセキュリティを組み込むのに役立ちます。

ElectricEye は、アセット管理、セキュリティ体制管理、攻撃対象領域モニタリングのためのマルチクラウド・マルチSaaS対応 Python CLI ツールです。数百のサービスと評価をサポートし、20以上の業界・規制・ベストプラクティスフレームワークにマッピングされたコントロールにより、CSP および SaaS 環境を強化します。

LLM エージェントワークフロー向けのセキュリティスキャナー

secureCodeBox (SCB) - すぐに使える継続的セキュアデリバリー

Reconmap は、情報セキュリティチームや MSSP 向けのコラボレーション重視のセキュリティ運用プラットフォームであり、偵察から実行、レポート作成まで、エンドツーエンドのエンゲージメント管理を実現します。組み込みのコマンド自動化、出力解析、AI 支援によるサマリー機能により、より迅速で構造化された高品質なセキュリティ評価を提供します。

AIファーストのセキュリティスキャナー。v2026.7の新機能：Claude Codeの侵害検知（クローン前に .claude/ のフック、権限、スキルを審査）、常時稼働のAI攻撃シグネチャースキャナー、ネイティブのRustおよびPHPルールを搭載。また、medusa scan --git によるリポジトリの審査、medusa secrets scan によるAPIキーの漏洩スキャンも可能。4万以上のパターン、設定不要。

Webアプリ、API、AI統合アプリ、安全なコードレビューのセキュリティテストを実践するために設計された、意図的に脆弱性を持つ銀行アプリケーション。現実世界のアプリケーションによ見られる一般的な脆弱性を備えており、セキュリティ専門家、開発者、愛好家がペネトレーションテストやセキュアコーディングの実践を学ぶための理想的なプラットフォームとなります。

すべての GitHub および GitLab アセットにわたる設定ミスやセキュリティリスクの検出と修復

JavaSecLabは、関連する脆弱性や欠陥コード、修正コード、脆弱性シナリオ、監査用SINKポイント、セキュアコーディング規程を提供する包括的なJava脆弱性プラットフォームです。多様な脆弱性シナリオを網羅し、使いやすいUIを備えています。

DianXing - AI駆動型エンドツーエンドコードセキュリティ監査

AI コーディングエージェントが脆弱性を自律的に発見、再現、パッチ適用するための、モジュール式でスタック非依存のセキュリティレビュー用スキルツールキット

アジャイル脅威モデリングツールキット

新しい CIS Software Supply Chain ベンチマークに基づき、ソフトウェアサプライチェーンスタックのセキュリティコンプライアンスを監査するためのオープンソースツール

リアルタイムのシークレットおよび設定管理ツール

opensecurity: オープンソースのセキュリティとコンプライアンス。クラウド、コンテナ、コード、ネットワーク、デプロイ、デバイスの可視化と保護。ルールの定義、正確なチェック、迅速なギャップ修復。効率的な監査。無駄なし。

ソフトウェアサプライチェーン内の悪意ある・脆弱なオープンソース依存関係（「弱いリンク」）にフラグを立てることで、Solarwinds、ESLint、PyTorch のような攻撃を防ぎます

高性能なシークレットスキャナー。CLI、Go ライブラリ、Burp Suite 拡張機能、Chrome 拡張機能。ライブ認証情報検証を備えた 487 の検出ルール。

2018年以降に収集された素晴らしいリファレンスの厳選リスト。

LinkedIn や Twitter で紹介したリソースの厳選リストをまとめたリポジトリ

Autonomous Offensive Security, Bug Bounty & Red Teaming Agent Framework powered by Hermes Agent, specialized reasoning skills, and multi-model LLM orchestration.

コード内のデータフローの検出、データセキュリティ脆弱性の発見、正確な Play ストアのデータセーフティレポートの生成を行うオープンソースの静的スキャンツール

ソフトウェア部品表 (SBOM) のセキュリティ脆弱性をスキャンします

The AI Agent for Cyber Security.

ソフトウェアサプライチェーンの証明、SBOM、VEX、SARIF、QA レポートなどのための SDLC エビデンスストアおよびポリシーエンジン。

マージ前にデッドコード、セキュリティバグ、機密情報、品質の退行、AI コードのミスを検出する、オープンソースのローカルファースト PR スキャナー。初めての方は https://duriantaco.github.io/skylos/repo-map/ を参照してください。

Powerpipe: DevOps用ダッシュボード。クラウド設定を可視化し、豊富なベンチマークライブラリでセキュリティ体制を評価。コードによるカスタムダッシュボードの構築が可能

GitHub Actions Goat: 意図的に脆弱性を埋め込んだGitHub Actions CI/CD環境

Spring Boot ベースのマイクロサービス向けベストプラクティスと統合をまとめたリポジトリ。

Python向けCrowdStrike Falcon SDK