openshield

发布产物包含 SHA-256 校验和、SBOM 以及身份绑定的来源证明。请参阅发布验证。

---

项目领导层

OpenShield 通过协作式、由维护者主导的治理模式进行领导。

姓名	角色	职责
Vishnu Ajith	项目负责人	项目方向、最终治理决策、发布以及组织管理
Muhammad Ibrahim	联合项目负责人	工程方向、安全与企业就绪、贡献者协调以及项目交付
Muhammad Sihan Haroon	联合项目负责人	技术领导、贡献者协调以及项目交付

完整的领导层与维护者职责记录在 MAINTAINERS.md 中，并受 GOVERNANCE.md 约束。

---

问题所在

像 Wiz、Prisma Cloud 和 Microsoft Defender for Cloud 这样的企业云安全工具每年花费 $50,000–$500,000。

初创企业、中小企业、大学和学生团队对其 Azure 安全态势毫无可见性。一个配置错误的存储 blob、一个权限过大的服务主体，或一条开放的 NSG 规则，可能数月都未被发现。

OpenShield 改变了这一点。

为什么后量子密码学现在很重要

攻击者今天就在收集加密的 Azure 流量，以便在量子计算机可用时进行解密。这被称为“先收集后解密”（Harvest Now Decrypt Later）攻击，而且它正在发生。

OpenShield 扫描 Azure 中需要及时迁移的经典加密资产：

• App Services 上使用 RSA 或 ECDH 密钥交换的 TLS 配置
• Key Vault 中使用易受 Shor 算法攻击的 RSA 或 ECC 算法的密钥
• 使用经典签名算法的证书

发现结果映射到 NIST FIPS 203（ML-KEM）、FIPS 204（ML-DSA）和 FIPS 205（SLH-DSA），并直接用于后量子迁移规划。

---

OpenShield 的功能

功能	描述
错误配置扫描器	运行 144 条 Azure 安全规则，涵盖存储、网络、身份、数据库、计算、Key Vault、AKS、Kubernetes 工作负载、后量子密码学、备份、无服务器、私有终结点以及供应链态势
合规映射器	将发现结果映射到 CIS Benchmarks、NIST CSF、ISO 27001 和 SOC 2 框架 JSON 文件
扫描历史 API	将扫描和发现结果存储在 PostgreSQL 中，并通过 REST 暴露发现结果、评分、扫描历史、合规态势、漂移和资源清单
修复手册	每条已记录的规则都附带一个匹配的、需经审查的修复脚本（144 个手册）
安全仪表板	部署在 Vercel 上的完整 React 仪表板——实时监控、发现结果、合规、漂移、优先级排序以及 AI 层视图
项目网站	位于 owasp.github.io/openshield 的文档与参考站点——博客、规则库、架构、证据指南、路线图和发布
Sentinel 集成	规范化发现结果，并通过 Log Analytics 自定义表和 KQL 分析规则将其推送到 Microsoft Sentinel

---

安全保障

OpenShield 已获得 OpenSSF Best Practices Passing Badge，在项目治理、变更控制、报告、质量、安全和代码分析方面完成了 100% 适用的 Passing 级别标准。

OpenSSF Best Practices - Passing

该项目的 OpenSSF 状态可通过官方 OpenSSF Best Practices 项目记录公开验证。OpenShield 在推进更高级别标准的过程中，持续加强其工程、安全保障和开源治理实践。

查看 OpenShield 经验证的 OpenSSF Best Practices 记录

项目政策与保障证据：

• 治理与维护者职责
• 2026 年 7 月–2027 年 6 月路线图
• 支持与升级政策
• 安全要求与安全保障案例
• 发布安全与无障碍/国际化政策
• 合规映射包——支持的框架版本、映射包版本管理，以及为什么合规报告是证据覆盖而非认证
• OpenSSF Silver 证据登记册

---

架构

flowchart TD
    A["React Dashboard\nVercel · Live"]
    B["Flask REST API\nJWT · CORS · Blueprints"]
    C["Scanner Engine\n144 Python rules"]
    D["Azure Subscription\nScanned via Azure SDK + Graph"]
    E["Compliance Framework JSON\nCIS · NIST · ISO 27001 · SOC 2"]
    F["PostgreSQL Database\nFindings · Scans"]
    G["Azure CLI Playbooks\n144 remediation scripts"]
    H["sentinel/ingest.py\nNormalise + HMAC upload"]
    I["Microsoft Sentinel\nOpenShieldFindings_CL · KQL rules"]

    A -->|REST calls| B
    B -->|trigger scans| C
    B -->|read/write| F
    B -->|compliance score| E
    C -->|Azure SDK + Graph| D
    C -->|findings| F
    C -->|scan output JSON| H
    G -->|manual fixes| D
    H -->|Data Collector API| I
    I -->|alerts| A

在线演示

服务	URL
安全仪表板（Vercel）	https://openshield-gules.vercel.app
REST API（Render）	https://openshield-api.onrender.com
项目网站	https://owasp.github.io/openshield/

注意： API 托管在 Render 上。仪表板在加载时自动连接，并显示来自 PostgreSQL 数据库的实时数据。

[!IMPORTANT] 安全要求： 如果 JWT_SECRET 缺失、被设置为不安全的默认值，或短于 32 个字符，生产部署将在启动时失败。使用以下命令生成强密钥：

python -c "import secrets; print(secrets.token_urlsafe(32))"

设置 OPENSHIELD_ENV=production（或依赖 Render 自动设置的 RENDER=true）以启用此强制要求。在没有这些信号的本地开发运行中，允许使用默认值并给出警告。

---

技术栈

层级	技术	成本
项目网站	静态 HTML + Tailwind CDN，部署在 Vercel 上	免费
安全仪表板	React + Vite + Tailwind，部署在 Vercel 上	免费
后端 API	Python + Flask	免费
数据库	PostgreSQL	Render 托管 PostgreSQL
云扫描器	Python + Azure SDK	免费
修复	Azure CLI 手册	免费
SIEM	Microsoft Sentinel	90 天免费试用
CI/CD	GitHub Actions	免费
仓库	GitHub	免费

---

项目结构