Outils & Frameworks DevSecOps
Les outils essentiels pour automatiser la sécurité dans vos pipelines CI/CD.
🔍 SAST - Analyse Statique
SonarQube
Plateforme complète d'analyse de qualité et sécurité du code.
Snyk Code
SAST en temps réel avec suggestions de fix dans l'IDE.
Semgrep
Outil open source avec règles personnalisables.
Checkmarx
Solution enterprise avec support étendu.
🎯 DAST - Analyse Dynamique
OWASP ZAP
Scanner de sécurité web open source de référence.
Burp Suite
Outil professionnel pour tests de pénétration web.
Nuclei
Scanner rapide avec templates community.
📦 SCA - Dépendances
Snyk Open Source
Leader SCA avec base de vulnérabilités propriétaire.
Dependabot
Intégré à GitHub, mises à jour automatiques.
OWASP Dependency-Check
Outil open source qui identifie les CVE.
🐳 Container Security
Trivy
Scanner complet : images, IaC, secrets, SBOM.
Grype
Scanner de vulnérabilités rapide par Anchore.
Snyk Container
Scan d'images avec recommandations de base images.
Aqua Security
Plateforme complète de sécurité cloud-native.
🏗️ IaC Security
Checkov
Scanner IaC multi-framework par Bridgecrew/Palo Alto.
tfsec
Scanner Terraform rapide et précis.
KICS
Scanner IaC open source par Checkmarx.
🔐 Secrets Detection
GitLeaks
Détection de secrets dans les repos Git.
TruffleHog
Scan profond de l'historique Git.
HashiCorp Vault
Gestion centralisée des secrets.
☁️ CSPM - Cloud Security
Prowler
Audit de sécurité AWS/Azure/GCP open source.
Wiz
CNAPP leader pour sécurité cloud complète.
AWS Security Hub
Vue centralisée sécurité AWS.
📚 Frameworks & Standards
NIST SSDF
Pratiques de développement sécurisé du logiciel (Secure Software Development Framework).
OWASP SAMM
Modèle de maturité pour évaluer et améliorer la sécurité applicative.
OWASP ASVS
Vérification des exigences de sécurité applicative par niveau.
BSIMM
Modèle d’activité pour la sécurité logicielle à l’échelle entreprise.
CIS Controls
Contrôles prioritaires pour réduire les risques cyber.
ISO/IEC 27001
Système de management de la sécurité de l’information (ISMS).
MITRE ATT&CK
Catalogue des tactiques et techniques d’attaque pour la détection.
SLSA
Niveaux d’assurance de la supply chain logicielle.
Sigstore / in‑toto
Signature et vérification d’artifacts pour la chaîne d’approvisionnement.