Gamepad — Mercado de jogos, tecnologia, segurança da informação e política

Todas Segurança cibernética Tecnologia financeira Mercado de jogos Política Tecnologia

O DevGuard está agitando a segurança da cadeia de software com uma plataforma gratuita e open source que reúne as descobertas de segurança de um projeto em um só lugar, classifica por risco e acompanha cada alerta até a resolução. Como projeto em incubação na OWASP, pode ser auto-hospedado e já está disponível no GitHub.

Feito para o fluxo de trabalho real de desenvolvedores, o DevGuard executa verificação de segredos, análise estática de código, checagem de dependências contra CVEs conhecidas, validação de infraestrutura como código, escaneamento de contêineres e verificação de licenças com uma única linha de comando. Seu Dependency Firewall atua como proxy para os registries npm, Go e Python e bloqueia pacotes maliciosos ou vulneráveis antes do download.

A plataforma também oferece regras VEX para descartar falsos positivos recorrentes, sincroniza achados com GitHub Issues, GitLab Issues e Jira, e publica dados SBOM e VEX atualizados em links ao vivo. Isso facilita a geração de evidências para ISO 27001, o EU Cyber Resilience Act, BSI IT-Grundschutz e SLSA, mantendo a segurança visível em todo o pipeline de build.

DevGuard lança gestão gratuita de vulnerabilidades open source para a cadeia de software

#open-source #cybersecurity #vulnerability-management #software-supply-chain #appsec #devguard

Ver detalhe →

O Bearer CLI acaba de lançar uma ferramenta SAST gratuita e de código disponível que escaneia o código-fonte em busca de vulnerabilidades e classifica os achados conforme os dados sensíveis que eles tocam. As regras integradas cobrem o OWASP Top 10 e o CWE Top 25, incluindo injeção de SQL, cross-site scripting, path traversal e senhas embutidas no código.

Ele também gera um relatório de privacidade que identifica mais de 120 tipos de dados e sinaliza componentes que os manipulam, de bancos PostgreSQL a APIs de terceiros como OpenAI e Sentry. O scanner lê apenas o código, nunca os valores reais, e oferece suporte a Go, Java, JavaScript, TypeScript, PHP, Python e Ruby. Já está disponível gratuitamente no GitHub sob a licença Elastic 2.0.

Bearer CLI traz verificação gratuita de segurança de código para todos os desenvolvedores

#open-source #cybersecurity #privacy #devsecops #appsec #sast

Ver detalhe →

As equipes de segurança acabam de ganhar uma arma nova e completamente gratuita. O OWASP Noir é uma ferramenta de análise estática open-source que lê o código-fonte da sua aplicação e lista todos os endpoints expostos, com caminhos, métodos HTTP, parâmetros, headers e cookies vinculados ao arquivo e à linha exatos de origem. O grande trunfo: as shadow APIs, rotas não documentadas que os atacantes adoram, finalmente aparecem lado a lado com todo o resto.

O Noir cobre 29 linguagens e 205 frameworks em um único binário, sem plugins nem configuração por linguagem. Ele sinaliza chaves, tokens e credenciais embutidos no código com regras graduadas por severidade, marca handlers com tags como jwt, payment, admin e file_upload e exporta em 22 formatos, incluindo JSON, SARIF, OpenAPI e Postman. Ele ainda alimenta rotas direto no ZAP, no Burp Suite e em pipelines de CI por meio de uma GitHub Action, cobrindo os pontos cegos que scanners dinâmicos simplesmente não alcançam.

Para quem defende uma base de código, isso é uma mudança real. Em vez de adivinhar qual rota esquecida continua respondendo a estranhos na internet, você tem um inventário completo e honesto. Está disponível de graça no GitHub e eleva o padrão de como toda a indústria mapeia a própria superfície de ataque.

OWASP Noir é uma ferramenta gratuita e open-source que revela cada endpoint de API escondido no seu código

#open-source #cybersecurity #devsecops #api-security #owasp #appsec #static-analysis

Ver detalhe →