AraçlarTools
22 araç. Tek komut. Tarama sırasında ağ yok.22 tools. One command. No network during the scan.
22 aracın 21'i taramada çalışır: 20 tarayıcı ve diğer tarayıcılar için Helm chart'larını render eden helm. 22. araç Go 1.26.9 araç zinciridir. Her araç sabit bir sürümde gelir. Kurulum, indirilen 15 programı ve Go araç zincirini sabit bir SHA-256 değeriyle kontrol eder. pip, 4 Python aracını (checkov, bandit, flawfinder, gixy) tam sürümüyle kurar, hash kontrolü yapmaz. Go checksum veritabanı, go install ile derlenen 2 aracı (govulncheck, poutine) kontrol eder. Eksik bir aracı kalkan kendisi kurar, Go dahil. Tarayıcılar varsayılan olarak hedefin kendi bastırma işaretlerini (# nosec, gitleaks:allow, checkov:skip ve diğerleri) yok sayar. kalkan scan --honor-suppressions bu işaretleri dikkate alır.
21 of the 22 tools run in the scan: 20 scanners, and helm, which renders Helm charts for the other scanners. The 22nd is the Go 1.26.9 toolchain. Every tool comes at a pinned version. Setup checks the 15 downloaded programs and the Go toolchain against a pinned SHA-256. pip installs the 4 Python tools (checkov, bandit, flawfinder, gixy) by exact version, without a hash check. The Go checksum database checks the 2 tools that go install builds (govulncheck, poutine). kalkan installs a missing tool itself, Go included. By default, the scanners ignore the target's own suppression markers (# nosec, gitleaks:allow, checkov:skip and others). kalkan scan --honor-suppressions keeps them.
Kod kalıplarıCode patterns
5- Opengrep1.30.1106 kalkan kuralı + 10 açık lisanslı paketten 733 kural (GitLab, Trail of Bits, 0xdea, elttam, njsscan, mobsfscan, Atlassian, Minded Security, Aikido, semgrep-codeql). Her paket kendi lisansını korur.106 own rules + 733 rules from 10 openly licensed packs (GitLab, Trail of Bits, 0xdea, elttam, njsscan, mobsfscan, Atlassian, Minded Security, Aikido, semgrep-codeql). Each pack keeps its own license.
- Bandit1.9.4Python
- gosec2.29.0Go
- ShellCheck0.11.0Kabuk betikleriShell scripts
- flawfinder2.0.20C, C++
SCA
4- Syft1.54.0SBOM (CycloneDX)SBOM (CycloneDX)
- OSV-Scanner2.6.0Yerel OSV veritabanıLocal OSV database
- Grype0.119.0Yerel Grype veritabanıLocal Grype database
- govulncheck1.8.0Go erişilebilirliği. Diğer dillerde erişilebilirliği ajanlar alıntıyla kanıtlar.Go reachability. For other languages, agents prove reachability with quotes.
IaC ve konteynerIaC and containers
5- Trivy0.75.0IaC yapılandırma kontrolleriIaC configuration checks
- Checkov3.3.22Bütün çevrimdışı framework'lerEvery offline framework
- helm4.3.0Helm chart'larını çevrimdışı render ederRenders Helm charts offline
- Hadolint2.15.1Dockerfile
- gixy0.2.55nginx
CI/CD ve tedarik zinciriCI/CD and supply chain
4- zizmor1.30.1GitHub Actions
- actionlint1.7.12GitHub Actions
- poutine1.1.6GitHub Actions, GitLab CI, Azure Pipelines, Tekton
- OpenSSF Scorecard5.5.0Repo duruşu, yerel modRepository posture, local mode
Gizli bilgiler ve APISecrets and APIs
3- Gitleaks8.30.1Çalışma ağacı ve git geçmişiWorking tree and git history
- Kingfisher2.11.1Değerler maskeli, sağlayıcıda doğrulama yokValues redacted, no validation at the provider
- vacuum0.33.0OpenAPI 3, Swagger 2.0, OWASP API kurallarıOpenAPI 3, Swagger 2.0, OWASP API rules
Bilgi ve ajanlarKnowledge and agents
1042 zafiyet sınıfı, 10 alan ve 9 dil paketi. Ajanlar paketleri görevine göre okur.
42 vulnerability class packs, 10 domain packs and 9 language packs. Each agent reads the packs of its task.
Dil paketleri: C#, Go, Java, JavaScript, PHP, Python, Ruby, Rust, Solidity. Projeye kopyalanmış JavaScript kütüphanelerini RetireJS verisi, bilinen zararlı paket sürümlerini malicious-dependency kuralı bulur.Language packs: C#, Go, Java, JavaScript, PHP, Python, Ruby, Rust, Solidity. RetireJS data finds JavaScript libraries copied into the project, and the malicious-dependency rule finds known malicious package versions.
Lisanslar: kalkan'ın kendi kodu MIT lisanslı. Paketle gelen Opengrep kural paketleri kendi lisanslarını korur: MIT (0xdea, elttam, Aikido, semgrep-codeql ve GitLab'ın MIT kısmı), LGPL-3.0-only (GitLab'ın rules/lgpl kısmı), LGPL-2.1-only (Atlassian), LGPL-3.0-or-later (njsscan, mobsfscan), GPL-3.0-only (Minded Security) ve AGPL-3.0-only (Trail of Bits). Motor wheel'i her lisans metnini .dist-info/licenses/third_party/ klasöründe taşır. KALKAN_RULE_PACKS=osi AGPL paketini kapatır.Licenses: kalkan's own code is MIT. The bundled Opengrep rule packs keep their own licenses: MIT (0xdea, elttam, Aikido, semgrep-codeql and the MIT part of GitLab), LGPL-3.0-only (the rules/lgpl part of GitLab), LGPL-2.1-only (Atlassian), LGPL-3.0-or-later (njsscan, mobsfscan), GPL-3.0-only (Minded Security) and AGPL-3.0-only (Trail of Bits). The engine wheel carries each license text in its .dist-info/licenses/third_party/ folder. KALKAN_RULE_PACKS=osi turns the AGPL pack off.