DevGuard: Gestión de vulnerabilidades de código abierto para la cadena de suministro de software

Dev­Guard se pre­sen­ta como una pla­ta­for­ma gra­tui­ta y de có­di­go abier­to orien­ta­da a la ges­tión de vul­ne­ra­bi­li­da­des den­tro de la ca­de­na de su­mi­nis­tro de soft­wa­re. Su fun­ción prin­ci­pal con­sis­te en cen­tra­li­zar los ha­llaz­gos de se­gu­ri­dad de un pro­yec­to para cla­si­fi­car­los según su nivel de ries­go y rea­li­zar un se­gui­mien­to de los mis­mos, tra­tán­do­se ade­más de un pro­yec­to in­cu­ba­do por OWASP que per­mi­te su alo­ja­mien­to pro­pio.

A tra­vés de una única in­ter­faz de línea de co­man­dos, la he­rra­mien­ta es capaz de eje­cu­tar múl­ti­ples aná­li­sis, in­clu­yen­do re­vi­sio­nes de se­cre­tos, có­di­go es­tá­ti­co, de­pen­den­cias fren­te a vul­ne­ra­bi­li­da­des co­no­ci­das, in­fra­es­truc­tu­ra como có­di­go, con­te­ne­do­res y li­cen­cias. Asi­mis­mo, per­mi­te in­te­grar re­sul­ta­dos ex­ter­nos o SBOMs, y sin­cro­ni­za la in­for­ma­ción de ma­ne­ra bi­di­rec­cio­nal con pla­ta­for­mas como GitHub Is­sues, GitLab Is­sues y Jira para fa­ci­li­tar la ges­tión por parte de los de­sa­rro­lla­do­res.

La pla­ta­for­ma tam­bién in­clu­ye un cor­ta­fue­gos de de­pen­den­cias que actúa como proxy para los re­gis­tros de npm, Go y Python, blo­quean­do pa­que­tes ma­li­cio­sos o vul­ne­ra­bles antes de que sean des­car­ga­dos. Adi­cio­nal­men­te, ma­ne­ja de­cla­ra­cio­nes VEX para de­ter­mi­nar si un pro­duc­to está afec­ta­do por vul­ne­ra­bi­li­da­des, pu­bli­ca datos ac­tua­li­za­dos de SBOM y VEX, y pro­du­ce evi­den­cias orien­ta­das al cum­pli­mien­to nor­ma­ti­vo, es­tan­do dis­po­ni­ble de forma gra­tui­ta en GitHub.