Una lista curada de increíbles recursos relacionados con la seguridad de Java.
Lista inspirada en la impresionante lista de la lista.
Apoyado por: GuardRails.io
Contenido
- Herramientas
- Educativo
- Otro
Herramientas
Endurecimiento del marco web
- Apache Shiro: un marco de seguridad Java poderoso y fácil de usar que realiza autenticación, autorización, criptografía y gestión de sesiones.
- JJWT - Java JWT: JSON Web Token para Java y Android.
- OWASP ESAPI Java - Enterprise Security API es una biblioteca de control de seguridad de aplicaciones web gratuitas, de código abierto, que facilita a los programadores escribir aplicaciones de menor riesgo.
- PAC4J - Motor de seguridad para Java para autenticar a los usuarios, obtener sus perfiles y administrar autorizaciones para asegurar aplicaciones web y servicios web.
- Spring Security: un marco de autenticación y control de acceso potente y altamente personalizable.
- Spring Security OAuth: soporte para agregar características OAuth1 (A) y OAuth2 (consumidor y proveedor) para aplicaciones web de primavera.
Múltiples herramientas
- Hawkeye - Herramienta de escaneo de seguridad/vulnerabilidades multiusos/herramienta de escaneo de riesgos que admite Ruby, Node.js, Python, PHP y Java.
- GuardRails: una aplicación GitHub que le brinda comentarios de seguridad instantáneos en sus solicitudes de extracción.
Análisis de código estático
- Spotbugs - Spotbugs es el sucesor de Findbugs. Una herramienta para el análisis estático para buscar errores en el código Java.
- Encuentre los errores de seguridad: complemento Spotbugs para auditorías de seguridad de aplicaciones web Java y aplicaciones de Android.
- Detectar secretos: una forma amigable para la empresa de detectar y prevenir secretos en el código.
- GITROB - GITROB es una herramienta para ayudar a encontrar archivos potencialmente sensibles empujados a repositorios públicos en GitHub.
- SONARQUBE - Sonarqube proporciona la capacidad de mostrar la salud de una aplicación y resaltar problemas recientemente introducidos.
- Sobrecargado: un analizador estático para aplicaciones de Android (archivos APK), busca vulnerabilidades de seguridad. Contiene más de 90 categorías de vulnerabilidad.
- Bearer: un analizador de seguridad de código estático para descubrir, filtrar y priorizar los riesgos de seguridad y privacidad.
Análisis de tiempo de ejecución
- Code Pulse: Code Pulse es una herramienta de cobertura de código en tiempo real para actividades de prueba de penetración.
- OWASP ZAP: ayuda a encontrar automáticamente vulnerabilidades de seguridad en sus aplicaciones web.
- Contrast Community Edition: herramienta gratuita de protección de tiempo de ejecución y detección de vulnerabilidades, identificando problemas en la ejecución de aplicaciones.
Vulnerabilidades y avisos de seguridad
- OWASP Dependency Check: detecta las vulnerabilidades divulgadas públicamente en las dependencias de aplicaciones.
- SNYK-CLI y herramienta de tiempo de compilación para encontrar y arreglar vulnerabilidades conocidas en dependencias de código abierto.
- Snyk Vulnerabilidad DB - Listado comercial pero gratuito de vulnerabilidades conocidas en las bibliotecas.
- Vulnerabilidades y exposiciones comunes: vulnerabilidades a las que se les asignó una CVE. Cubre el idioma y los paquetes.
- Base de datos de vulnerabilidad nacional: vulnerabilidades conocidas de Java en la base de datos de vulnerabilidad nacional.
- Contrast Community Edition: herramienta gratuita para localizar CVE y dependencias obsoletas en las bibliotecas.
Criptografía
- Castillo hinchable - Implementación de Java de algoritmos criptográficos.
- ConscRypt - Proveedor de seguridad Java que implementa partes de la extensión de criptografía Java y la extensión de socket segura de Java.
- Cryptomator-Cifrado transparente del cliente transparente multiplataforma de sus archivos en la nube.
- KeyCzar-Crypto Toolkit fácil de usar por Google.
- KeyWhiz - Sistema para distribuir y administrar secretos.
- TINK: biblioteca multilingüe y multiplataforma que proporciona API criptográficas que son seguras, fáciles de usar correctamente y duras (ER) para el mal uso.
- ACME4J - Cliente Java ACME para emitir certificados X.509 utilizando Let's Cifrypt u otra CA basada en ACME.
Educativo
Patio de recreo
- Bodgeit Store: una aplicación web vulnerable dirigida a personas que son nuevas en las pruebas de bolígrafo.
- OWASP Benchmark: un conjunto de pruebas de Java diseñado para verificar la velocidad y la precisión de las herramientas de detección de vulnerabilidades.
- Security Shepherd - Plataforma de capacitación de seguridad de aplicaciones web y móviles.
- WebGoat: una aplicación web Java deliberadamente insegura.
Artículos, guías y charlas
- Java Platform, Standard Edition Security Developer's Guide: esta guía cubre los principales componentes de seguridad de la edición estándar de Java: Java Cryptography Architecture (JCA), Servicio de Autenticación y Autorización de Java (JAAS) y Java Secure Socket Extensions (JSSE)
- Estándar de verificación de seguridad de aplicaciones - (PDF) El estándar es una lista de requisitos de seguridad de aplicaciones que los desarrolladores pueden utilizar.
- Spring Security CSRF: una guía para la protección CSRF en Spring Security.
- Pautas de codificación seguras: pautas de codificación seguras para Java SE
- Asegurar una aplicación web: esta guía lo guía a través del proceso de crear una aplicación web simple con recursos protegidos por Spring Security.
- Guías de seguridad de primavera: guías paso a paso sobre cómo usar la seguridad de la primavera.
- Prevenir ataques de secuencias de comandos de sitios cruzados (XSS): este artículo explica cómo funcionan XSS los ataques y sugiere una metodología para bloquear los ataques XSS.
- Java Security Resource Center: una colección de detalles de seguridad para diferentes usuarios de la plataforma Java.
Práctica
- Cifrar con la guía paso a paso SSL/TLS para encriptar la comunicación del cliente y el servidor
Presupuesto
- JSR 115: Contrato de autorización de Java para contenedores
- JSR 196: Interfaz del proveedor de servicios de autenticación Java para contenedores
- JSR 375: API de seguridad Java EE
Otro
Informes de informes
- Informes de seguridad de Java
Que contribuye
¿Encontró un increíble proyecto, paquete, artículo u otro tipo de recursos relacionados con la seguridad de Java? ¡Abra una solicitud de extracción! Simplemente siga las pautas. ¡Gracias!
Licencia
