owasp/openshieldCSPM open source pour Azure - analysez les erreurs de configuration et la cryptographie non sûre face aux ordinateurs quantiques, mappez les résultats à CIS/NIST/ISO27001/SOC2, et corrigez-les avec une seule commande
Gestion de la posture de sécurité cloud (CSPM) open source pour Azure détecte les erreurs de configuration, les associe aux référentiels CIS / NIST / ISO 27001 / SOC 2, les corrige en une seule commande et identifie les actifs cryptographiques nécessitant une migration post-quantique.
Site web · Documentation · Feuille de route · Journal des modifications · Politique de sécurité · Discord
Les artefacts de version incluent des sommes de contrôle SHA-256, un SBOM et des attestations de provenance liées à l'identité. Voir vérification des versions.
OpenShield est dirigé selon un modèle de gouvernance collaboratif mené par les mainteneurs.
| Nom | Rôle | Responsabilités |
|---|---|---|
| Vishnu Ajith | Responsable du projet | Orientation du projet, décisions finales de gouvernance, versions et administration de l'organisation |
| Muhammad Ibrahim | Co-responsable du projet | Orientation technique, sécurité et préparation à l'entreprise, coordination des contributeurs et livraison du projet |
| Muhammad Sihan Haroon | Co-responsable du projet | Direction technique, coordination des contributeurs et livraison du projet |
Les responsabilités complètes de la direction et des mainteneurs sont consignées dans MAINTAINERS.md et régies par GOVERNANCE.md.
Les outils de sécurité cloud d'entreprise comme Wiz, Prisma Cloud et Microsoft Defender for Cloud coûtent 50 000 à 500 000 $/an.
Les startups, PME, universités et équipes étudiantes se retrouvent avec une visibilité nulle sur leur posture de sécurité Azure. Un blob de stockage mal configuré, un principal de service sur-privilégié ou une règle NSG ouverte peuvent rester indétectés pendant des mois.
OpenShield change la donne.
Les adversaires collectent aujourd'hui le trafic Azure chiffré pour le déchiffrer lorsque les ordinateurs quantiques seront disponibles. C'est ce qu'on appelle une attaque Harvest Now Decrypt Later et elle se produit en ce moment même.
OpenShield analyse Azure à la recherche d'actifs cryptographiques classiques qui doivent être migrés avant qu'il ne soit trop tard :
Les résultats sont associés aux normes NIST FIPS 203 (ML-KEM), FIPS 204 (ML-DSA) et FIPS 205 (SLH-DSA) et alimentent directement la planification de la migration post-quantique.
| Fonctionnalité | Description |
|---|---|
| Scanner de mauvaise configuration | Exécute 144 règles de sécurité Azure couvrant le stockage, le réseau, l'identité, les bases de données, le calcul, Key Vault, AKS, les charges de travail Kubernetes, la cryptographie post-quantique, la sauvegarde, le serverless, les points de terminaison privés et la posture de la chaîne d'approvisionnement |
| Mappeur de conformité | Associe les résultats aux fichiers JSON des référentiels CIS Benchmarks, NIST CSF, ISO 27001 et SOC 2 |
| API d'historique des analyses | Stocke les analyses et les résultats dans PostgreSQL et expose les résultats, le score, l'historique des analyses, la posture de conformité, la dérive et l'inventaire des ressources via REST |
| Playbooks de remédiation | Chaque règle documentée est livrée avec un script de remédiation correspondant soumis à revue (144 playbooks) |
| Tableau de bord de sécurité | Tableau de bord React complet déployé sur Vercel - surveillance en direct, résultats, conformité, dérive, priorisation et vues de la couche IA |
| Site web du projet | Site de documentation et de référence à owasp.github.io/openshield - blog, galerie de règles, architecture, guides de preuves, feuille de route et versions |
| Intégration Sentinel | Normalise les résultats et les transmet à Microsoft Sentinel via une table personnalisée Log Analytics et des règles analytiques KQL |
OpenShield a obtenu le badge OpenSSF Best Practices Passing, en complétant 100 % des critères applicables du niveau Passing couvrant la gouvernance du projet, le contrôle des changements, le signalement, la qualité, la sécurité et l'analyse de code.
OpenSSF Best Practices - Passing
Le statut OpenSSF du projet est publiquement vérifiable via le dossier officiel du projet OpenSSF Best Practices. OpenShield continue de renforcer ses pratiques d'ingénierie, d'assurance sécurité et de gouvernance open source à mesure qu'il progresse dans les critères de niveau supérieur.
Consulter le dossier vérifié OpenSSF Best Practices d'OpenShield
Politiques du projet et preuves d'assurance :
