8817 matches found
azurelinux
Azure Linux 4 Azure 向けに構築・最適化されたオープンソース Linux ディストリビューションで、Fedora Linux をソースとしています。 Azure Linux は、仮想マシン、コンテナ、ベアメタルプラットフォーム向けに、セキュリティ保護された信頼性の高いオペレーティングシステムを提供します。 Azure Linux は Fedora エコシステムの堅牢なオープンソース基盤の上に構築され、Azure 固有の革新技術で強化されています。これにより、RPM パッケージエコシステムの使い慣れた操作性を維持しつつ、Azure...
capslock
Capslock は、Go パッケージの機能分析 CLI であり、特定のパッケージがアクセス可能な特権操作をユーザーに通知します。これは、Go パッケージが機能 （ケイパビリティ）を、特権的な標準ライブラリ操作への推移的な呼び出しを追跡することで分類することによって機能します。...
guac
GUAC: アーティファクト構成を理解するためのグラフ 注: GUACは活発に開発中です - 貢献に関心がある方は、貢献ガイドをご覧ください。GUACはOpenSSFのインキュベーションプロジェクトであり、サプライチェーン整合性WGの一部です。 Graph for Understanding Artifact Composition GUAC...
guac
GUAC: Graph for Understanding Artifact Composition Note: GUAC is under active development - if you are interested in contributing, please look at contributor guide. GUAC is an OpenSSF incubating project under the Supply Chain Integrity WG. Graph for Understanding Artifact Composition GUAC...
packj
Packj 标记恶意/高风险的开源包 Packj （发音为 package）是一款帮助缓解软件供应链攻击的工具。它可以检测来自流行开源包注册中心（如 NPM、RubyGems 和 PyPI）的恶意、存在漏洞、已废弃、拼写错误以及其他“高风险”包。该工具易于定制以降低噪音。Packj 始于一个博士研究项目，目前正在多个政府资助下进行开发。 注意 本月晚些时候将推出自托管 Packj Web 服务器和多项集成 👊 关注此仓库以获取最新信息。 目录 快速开始 - 可作为 Docker 镜像、GitHub Action 和包使用 功能 - 深度静态/动态代码分析与沙箱 支持的生态系统 -...
packj
Packj flags malicious/risky open-source packages Packj pronounced package is a tool to help to mitigate software supply chain attacks. It can detect malicious, vulnerable, abandoned, typo-squatting, and other "risky" packages from popular open-source package registries, such as NPM, RubyGems, and...
hexora
hexora Hexora 是一款静态分析工具，旨在检测 Python 代码中的恶意和有害模式。它结合了基于规则的静态分析引擎与机器学习模型，对整个源文件进行评分，将其分类为恶意或良性。 它可以用于： 审计项目依赖，以发现潜在的供应链攻击 检测在 Pastebin、GitHub 或开放目录等平台上发现的恶意脚本 分析过去安全事件中的 IoC 文件 审计上传到 PyPi 的新包 示例 如需输出示例，请参见 docs/examples.md 文件。 安装 使用 Python 需要 Python 3.9+。 root@kitploit: pip install hexora 使用 uv：...
in-toto
in-toto in-toto 提供了一个框架来保护软件供应链的完整性。它通过验证链中的每个任务是否按计划执行、是否仅由授权人员执行，以及产品在传输过程中是否未被篡改来实现这一点。 in-toto 要求项目所有者 创建布局 。布局列出了软件供应链的步骤 序列，以及被授权执行这些步骤的执行者 。 当执行者执行步骤时，in-toto 会收集所用命令及相关文件的信息，并将其存储在链接 元数据文件中。因此，链接文件提供了建立连续链所需的证据，可对照布局中定义的步骤进行验证。...
teampcp-supply-chain-attack
TeamPCP 供应链攻击：技术分析与检测指南 CVE-2026-33634 （CVSS 9.4）——2026 年迄今影响最大的 CI/CD 供应链攻击。 2026 年 3 月 19 日至 25 日期间，威胁行为者 TeamPCP （也被追踪为 DeadCatx3、PCPcat、ShellForce、CanisterWorm）在五个生态系统中实施了一次级联供应链入侵：GitHub Actions、Docker Hub、OpenVSX、npm 和 PyPI。该活动始于一个未完全轮换的 GitHub PAT，随后蔓延至两家主要开源安全厂商（Aqua Security 和...
chain-bench
📖 ドキュメント Chain-benchは、新しい CIS Software Supply Chain benchmark に基づいて、ソフトウェアサプライチェーン全体のセキュリティコンプライアンスを監査するためのオープンソースツールです。 監査はSDLCプロセス全体に焦点を当て、コード作成時からデプロイ時までのリスクを明らかにします。ハッカーとの競争に勝ち、機密データと顧客の信頼を守るには、コードが組織のポリシーに準拠していることを確認する必要があります。 詳しくは Chain-bench ドキュメント をご覧ください。...
dependency-track
OWASP Dependency-Track Dependency-Trackは、組織がソフトウェアサプライチェーンにおけるリスクを特定し軽減することを可能にする、インテリジェントなコンポーネント分析プラットフォームです。Dependency-Trackは、ソフトウェア部品表（SBOM）の機能を活用するという、独自で非常に有益なアプローチを採用しています。...
trajan
Trajan: CI/CD セキュリティスキャナー Trajan は、攻撃者がソフトウェアサプライチェーンを侵害するために使用するセキュリティ脆弱性を CI/CD パイプラインでスキャンします。GitHub Actions、GitLab CI、Azure DevOps、Jenkins、JFrog をサポートしています。 機能 Trajan は、ワークフロー YAML ファイルを解析し、依存関係グラフを構築し、検出プラグインを実行し、組み込みの攻撃機能による悪用可能性を検証します。 32 の検出プラグイン（複数の CI/CD プラットフォーム対応） 24 の攻撃プラグイン（複数の CI/C...
guarddog
GuardDog GuardDog 是一个 CLI 工具，用于识别恶意的 PyPI 和 npm 包、Go 模块、Rust crates、RubyGems、GitHub Actions 或 VSCode 扩展。它通过对包源代码进行静态分析（通过 YARA 规则）并分析包元数据来检测供应链攻击。 GuardDog 的不同之处： GuardDog 不只是列出可疑模式，而是关联发现结果，基于攻击链来识别真正的风险 。一个包需要同时具备执行某项操作的能力（capability ，例如网络访问）和威胁指标（threat indicator ，例如可疑域名），并且二者出现在同一文件中，才会被标记为高风...
cosign
cosign Signing OCI containers and other artifacts using Sigstore! Cosign aims to make signatures invisible infrastructure. Cosign supports: "Keyless signing" with the Sigstore public good Fulcio certificate authority and Rekor transparency log default Hardware and KMS signing Signing with a cosig...
feroxbuster
!WARNING 安全通知 – 域名冒用 域名 feroxbuster.com 与本项目、其维护者或任何官方 feroxbuster 版本均无关联 。 官方 feroxbuster 下载仅通过以下渠道分发： https://github.com/epi052/feroxbuster（开源） https://www.feroxbuster.pro（商业版） 本 README 中列出的软件包仓库 安装文档中列出的软件包仓库 我们 不 从 feroxbuster.com 分发软件，也无法保证该域名下文件的真实性与安全性。 如果您从其他域名下载了...
slsa
SLSA（“salsa”）は、ソフトウェアアーティファクトのサプライチェーンレベルです SLSA（発音は“salsa”）は、ソースからサービスまでのセキュリティフレームワークであり、ソフトウェアに関わるすべての人に、ソフトウェアセキュリティとサプライチェーンの整合性のレベルを高めるための共通言語を提供します。それは、チェーン内のどのリンクでも、安全な状態から可能な限り回復力のある状態へと移行する方法です。 SLSAについて学ぶ SLSAについて学ぶには、https://slsa.dev を参照してください。 このリポジトリの内容 このリポジトリの主要なコンテンツは、spec/...
supply-chain-monitor
供应链监控系统 自动监控顶级 PyPI 和 npm 软件包是否存在供应链被攻陷的风险。轮询这两个注册表的新发布版本，将每个发布版本与其前身进行差异对比，并使用 LLM（通过 Cursor Agent CLI）将差异分类为 良性 或 恶意 。恶意发现会触发 Slack 警报。 默认情况下监控两个生态系统。使用 --no-pypi 或 --no-npm 禁用其中一个。 工作原理 每个生态系统运行自己的轮询线程，但共享分析和警报管道。 root@kitploit: ┌─── PyPI ──────────────────────┐ ┌─── npm ──────────────────────...
safe-chain
Aikido Safe Chain ✅ Block malware on developer laptops and CI/CD ✅ Supports npm and PyPI more package managers coming ✅ Blocks packages newer than 48 hours without breaking your build ✅ Tokenless, free, no build data shared Need protection beyond npm & PyPI? Aikido Device Protection builds on Saf...
Package-Inferno
PackageInferno 极度简单、Docker优先的npm供应链扫描器。仅需一个Compose文件即可运行： Enumerator（枚举器）→ 构建包队列 Fetcher（获取器）→ 下载tarball（可选上传至S3） Analyzer（分析器）→ 静态分析 + 可选YARA Postgres → 本地数据库存储发现结果 Streamlit Dashboard（仪表板）→ 在 http://localhost:8501 可视化查看结果 这是纯容器版本。该项目可扩展至使用EC2、SQS和RDS。工具集中已为此做了大部分配置。 你将获得...