⚠️ Mirror — This repository is mirrored from GitLab. Please submit issues and merge requests there.

OSDO Scanner

Imagen Docker oficial de OSDO con todas las herramientas DevSecOps pre-instaladas.

Herramientas incluidas

Herramienta	Uso	Categoría
Semgrep	SAST multi-lenguaje	Análisis estático
Gitleaks	Detección de secretos	Secrets
TruffleHog	Escaneo profundo de secretos	Secrets
Trivy	Contenedores, IaC, SBOM	Múltiple
Grype	CVEs en dependencias	SCA
OSV-Scanner	Base de datos OSV	SCA
Syft	Generación SBOM (SPDX + CycloneDX)	SBOM
Cosign	Firma de contenedores	Supply Chain
Hadolint	Lint de Dockerfiles	IaC
Checkov	IaC (Terraform, K8s, CF)	IaC
Bandit	SAST Python	Análisis estático
Safety	SCA Python	SCA
@osdo/cli	CLI de OSDO	Orquestación

Uso rápido

# Escanear el directorio actual
docker run --rm -v $(pwd):/workspace ghcr.io/opensecdevops/osdo-scanner osdo scan

# Auditar workflows de CI/CD
docker run --rm -v $(pwd):/workspace ghcr.io/opensecdevops/osdo-scanner osdo audit

# Usar una herramienta individual
docker run --rm -v $(pwd):/workspace ghcr.io/opensecdevops/osdo-scanner semgrep --config auto /workspace
docker run --rm -v $(pwd):/workspace ghcr.io/opensecdevops/osdo-scanner trivy fs /workspace
docker run --rm -v $(pwd):/workspace ghcr.io/opensecdevops/osdo-scanner gitleaks detect --source /workspace

Uso en GitHub Actions

jobs:
  security-scan:
    runs-on: ubuntu-latest
    container:
      image: ghcr.io/opensecdevops/osdo-scanner:latest
    steps:
      - uses: actions/checkout@v4
      - name: OSDO Full Scan
        run: osdo scan --type all --path .
      - name: OSDO Audit
        run: osdo audit --format markdown

Uso como Dev Container

// .devcontainer/devcontainer.json
{
  "image": "ghcr.io/opensecdevops/osdo-scanner:latest",
  "customizations": {
    "vscode": {
      "extensions": ["opensecdevops.osdo-security"]
    }
  }
}

Actualización de herramientas

Las versiones se gestionan en tools.json. Cada lunes, el workflow update-tools.yml verifica si hay nuevas versiones y abre un PR automáticamente.

La imagen también se reconstruye semanalmente (domingos) para capturar actualizaciones de la imagen base Ubuntu.

Versionado

Las imágenes se publican con estos tags:

• latest — siempre apunta al último build de main
• sha-<commit> — versión inmutable por commit
• YYYYMMDD — builds agendados semanales
• v1.x.x — releases versionados

Licencia

Apache 2.0 — ver LICENSE