devsecops

nodejsscan 是一个针对 Node.js 应用程序的静态安全代码扫描器。

一个免费且务实的 DevOps 学习工具，遵循敏捷 MVP 风格，助你在云原生时代快速开启 DevOps 职业生涯与知识！⭐（2026年 DevOps、Cloud、Platform、SRE、SWE 计划）

使用 ArcherySec 进行 ASOC、ASPM、DevSecOps 与漏洞管理。

来自 Cloud Native Computing Foundation 项目与 Kubernetes 相关软件的精彩培训

一个刻意存在漏洞的 CI/CD 环境。通过多个挑战学习 CI/CD 安全性。

♾️ 给所有想走 DevSecOps 之人的资源与路线图。期盼您的 DevOps 更安全 😎

VAPT/AppSec 与渗透测试指南的完整解决方案：Web | Mobile | API | 传统应用程序 | 源码审查 | DevSecOps | 无线网络 | 网络渗透测试 | SAST | DAST 等...

这是一份为任何规模组织实施 DevSecOps 计划的分步指南

检查 Python 依赖项中的已知安全漏洞，并为检测到的漏洞建议适当的修复方案。

使用进阶检查来侦测并验证 500 多种写死的机密。可作为 pre-commit hook、GitHub Action 或 CLI 使用，用于主动式机密侦测与安全性。

此仓库包含与 GCP、Azure、AWS、Docker、K8s 和 DevOps 相关的书籍与重要笔记，并包含更多考试与面试准备笔记。

寻找各处泄露的机密。

精选的威胁建模资源清单（包含书籍、免费与付费课程、视频、工具、教程与实作工作坊），用于学习威胁建模与安全性审查的初始阶段。

CVE 漏洞二进制工具可协助您判断系统是否包含已知漏洞。您可以扫描二进制文件以检查超过 350 个常见且有漏洞的组件（例如 openssl、libpng、libxml2、expat 等），或者如果您知道所使用的组件，则可以获取与 SBOM 或组件及版本列表相关的已知漏洞列表。

精选最佳的 DevSecOps 资源与工具

🧵 用于直接修补容器镜像的 CLI 工具！

open-appsec 是一个机器学习安全引擎，可预先且自动防范针对 Web Application 与 API 的威胁。此仓库包含主要代码与逻辑。

开源 AI 渗透测试工具，能证明每一个漏洞。机器预言机（Machine oracle）会重新执行每个漏洞利用；经过验证的漏洞会附带一个可自行重放的验证胶囊。

容器安全检查清单 - DevSecOps 实践

LunaSec - 依赖性安全性扫描器，可在你的 Pull Requests 与构建中自动通知漏洞（如 Log4Shell 或 node-ipc）。透过 LunaTrace GitHub App 在 30 秒内保护你的项目：https://github.com/marketplace/lunatrace-by-lunasec/

展示如何避免不当使用机密信息的具漏洞应用程序示例

快速的 GitHub 侦察工具。扫描整个 GitHub 上泄露的密钥，不仅限于已知的仓库和组织。支持 GitHub dorks。

寻找代码中的每个 Endpoint、暴露 Shadow API、映射攻击面。

运行 Trivy 作为 GitHub action，以扫描你的 Docker 容器镜像中的漏洞

企业级 MCP 服务器，通过 21 个 API 为 Claude 提供 27 种安全情报工具 — 包含 CVE 查询、EPSS 评分、CISA KEV、MITRE ATT&CK、Shodan、VirusTotal 等。

适用于云原生、作为 CI/CD 一部分以及运行时的恶意软件扫描器。

TerraGoat 是 Bridgecrew 的“故意设计漏洞”Terraform 仓库。TerraGoat 是一个学习与训练项目，展示了常见的配置错误如何流入正式的云端环境中。

OWASP dep-scan 是一个基于已知漏洞、安全公告与项目依赖项许可限制的新一代安全与风险审计工具。支持本地仓库与容器镜像作为输入，非常适合集成使用。

检测泄漏的机密并进行实时验证。对整个技术栈的影响范围进行映射分析，并快速撤销。拥有 1,000 多条规则。

OpenSCA 是一个开源的软件供应链安全解决方案，支持开源依赖项、漏洞以及许可证合规性检测，其准确度在社区中备受关注。