پلتفرم DevGuard یک راهکار متن‌باز (Open-source) و رایگان برای مدیریت آسیب‌پذیری‌ها است که با هدف تجمیع، رتبه‌بندی و ردیابی یافته‌های امنیتی در پروژه‌های نرم‌افزاری طراحی شده است. این پروژه که تحت نظر OWASP Incubating Project قرار دارد، امکان میزبانی شخصی (Self-host) را برای تمامی کاربران فراهم می‌کند.
قابلیت‌های فنی و یکپارچه‌سازی
DevGuard از طریق یک رابط خط فرمان (CLI) که ابزارهای متن‌باز موجود را پوشش می‌دهد، قابلیت‌های زیر را ارائه می‌دهد:
- اسکن اسرار (Secret scanning) و تحلیل استاتیک کد (Static code analysis)
- بررسی وابستگی‌ها (Dependency checks) در برابر CVEهای شناخته شده
- بررسی زیرساخت به عنوان کد (Infrastructure-as-code) و اسکن کانتینرها (Container scanning)
- بررسی مجوزهای نرم‌افزاری (License checks)
تیم‌هایی که در حال حاضر از ابزارهایی مانند Trivy، Grype یا Semgrep استفاده می‌کنند، می‌توانند با آپلود فایل‌های CycloneDX SBOM یا نتایج SARIF، از اسکنرهای داخلی DevGuard صرف‌نظر کنند. همچنین، یافته‌ها به‌صورت دوطرفه با GitHub Issues، GitLab Issues و Jira همگام‌سازی می‌شوند تا توسعه‌دهندگان بتوانند آن‌ها را مدیریت کنند.
دیوار آتش وابستگی‌ها و مدیریت VEX
یکی از ویژگی‌های کلیدی این پلتفرم، Dependency Firewall است که با میانجی‌گری (Proxy) در رجیستری‌های npm، Go و Python، بسته‌های مخرب یا آسیب‌پذیر را پیش از دانلود مسدود می‌کند. علاوه بر این، DevGuard از استاندارد VEX (Vulnerability Exploitability eXchange) پشتیبانی می‌کند تا مشخص شود آیا یک محصول واقعاً تحت تأثیر یک CVE خاص قرار دارد یا خیر. این قابلیت به تیم‌ها اجازه می‌دهد تا موارد مثبت کاذب (False Positive) تکراری را در تمامی پروژه‌ها یک‌بار حذف کنند.
انطباق و گزارش‌دهی
این ابزار داده‌های SBOM و VEX را از طریق لینک‌های زنده منتشر می‌کند که با ظهور CVEهای جدید به‌روزرسانی می‌شوند. همچنین، DevGuard مستندات لازم برای انطباق با استانداردهایی نظیر ISO 27001، EU Cyber Resilience Act و SLSA را تولید می‌کند.
