Code und Datenflüsse
Injections, Befehlsausführung, unsichere Deserialisierung, XSS, Pfade und weitere anfällige Muster. Regeln und Datenflussverfolgung innerhalb einer Datei liefern Fundstellen und Kontext zur Prüfung jedes Befunds.
Code Security
Dein Code entwickelt sich weiter. Deine Sicherheit auch.
Vom Editor bis zum ganzen Team. Finde Risiken, verstehe ihre Auswirkungen und bereite KI-gestützte Korrekturen vor, ohne deinen Workflow zu unterbrechen.
JETZT VERFÜGBAR
ORYON CODE SECURITY
Früher erkennen. Mit mehr Kontext entscheiden.
Code, Abhängigkeiten und Konfiguration liefern gemeinsam den Kontext, den dein Team für Korrekturen, Reviews und die nächsten Schritte braucht.
- Code
- Pakete
- Konfiguration
Oryon Code
- Befunde mit Kontext
- KI-gestützte Änderungen
- Verlauf und Berichte
Alles rund um eine Codezeile.
Vom ersten Befund bis zur Korrektur. Eine Analyse verbindet Risiken in Code, Paketen, Zugangsdaten und Konfiguration mit der Arbeit deines Teams.
Abhängigkeiten und Updates
Paketinventar, bekannte Schwachstellen, CVE/GHSA-Kennungen und korrigierte Versionen. Unterscheidet Patch-, Minor- und Major-Änderungen und bereitet Hinweise zur Migrationsprüfung vor.
Secrets und Infrastruktur
Offengelegte Zugangsdaten und unsichere Einstellungen in Terraform, Bicep, Kubernetes, Docker und Pipelines. Prüfe die Deklarationen im Repository, bevor sie in Produktion gehen.
KI-Anwendungen und MCP
Regeln für Prompt-Injection-Muster, Modellausgaben mit anschließender Ausführung, gefährliche Tools, offengelegte Schlüssel und Agentenberechtigungen. Prüft auch MCP-Konfigurationen, Hooks und Anweisungsdateien.
Qualität und Kompatibilität
Muster zu Korrektheit, Wartbarkeit, Leistung und veralteten APIs. Hinweise zur Kompatibilitätsprüfung für konfigurierte Zielumgebungen und zusätzliche Orientierung bei einem Wechsel der Hauptversion einer Abhängigkeit.
Vom Kontext zur Änderung
KI-gestützte Erklärungen und Korrekturvorschläge, gemeinsame Ausnahmen, Issue-Entwürfe und Berichte. Dein Team prüft die Änderung und entscheidet, wann sie angewendet wird.
Sprachen und Formate
Die Abdeckung hängt von Sprache, Regeln und Profil ab. Templates und Konfigurationen können generische Regeln verwenden; die Analyse zeigt Einschränkungen und Teilergebnisse.
- Code
- JavaScript / JSX · TypeScript / TSX · Python · Java · C# / .NET · Go · PHP · Ruby · Rust · Kotlin · Swift · Scala · C / C++ · Apex · Solidity · Bash · Elixir · Clojure · OCaml
- Templates
- Vue · ERB / RHTML · EJS · Handlebars / HBS · Mustache · Nunjucks / NJK · Pug / Jade · Jinja / Jinja2 / J2 · FreeMarker · Velocity · Liquid · Twig · JSP / JSPX · PHP / Blade · EEx / HEEx
- Konfiguration
- Terraform (AWS / Azure / GCP) · Azure Bicep · AWS JSON · Kubernetes · Dockerfile / Containerfile · Compose · GitHub Actions · GitLab CI · Azure Pipelines · Bitbucket Pipelines · CircleCI · CI / Jenkins · Argo · OpenAPI / Swagger · Nginx · Gradle · Visualforce
- Paketökosysteme
- npm / Yarn / pnpm · Python / pip / Pipenv / Poetry / uv · Ruby / Bundler · PHP / Composer · Rust / Cargo · Go · JVM / Maven / Gradle / Leiningen · .NET / NuGet · Dart / Pub · Elixir / Mix
Was analysiert wird. Welche Engine es übernimmt.
OpenGrep und OSV übernehmen die Erkennung. Die Oryon-Ebenen ergänzen Kontext, Kompatibilität, Unterstützung und eine gemeinsame Sicht auf die Ergebnisse.
Spezialisierte Engines. Gemeinsame Stärke.
-
OpenGrep
-
OSV-Scanner
-
MDN
Oryon
Code, Secrets und Konfiguration
Lokale Erkennung in den Projektdateien.
-
OpenGrep + Oryon-Regeln
- Statische Analyse von Code, Secrets, Infrastruktur, Pipelines und KI/MCP-Sicherheit. Verbindet Muster mit Datenflussverfolgung innerhalb jeder Datei. Profile und Ausschlüsse passen den Scan an das Repository an.
Pakete und Versionen
Vom Inventar zu betroffenen Versionen und korrigierten Alternativen.
-
OSV-Scanner / OSV-Scalibr
- Erweitert das Inventar der Pakete und ihrer Beziehungen anhand des Repositorys, einschließlich Maven-Projekten. Wird in Erweiterung und CI automatisch versucht; bei Nichtverfügbarkeit dienen eigene Analyzer als Rückfalloption.
-
Oryon-Analyzer + OSV API
- Extrahieren Pakete und Versionen und gleichen sie mit OSV-Sicherheitshinweisen ab. Verknüpfen CVE/GHSA-Kennungen, Schweregrad, Beschreibungen und korrigierte Versionen mit einem konkreten nächsten Schritt für jeden Befund.
-
Oryon-Updateanalyse
- Ordnet die in Sicherheitshinweisen genannten korrigierten Versionen als Patch-, Minor- oder Major-Updates ein. Markiert große Versionssprünge und bereitet Schritte zur Migrationsprüfung vor, ohne Abhängigkeitsdateien automatisch zu ändern.
Kontext und Entscheidungen
Unterstützung beim Verstehen, Prüfen und Kommunizieren der anstehenden Arbeit.
-
OpenAI · Unterstützung bei Korrekturen
- Erklärt Ursachen, Risiko und Auswirkungen und schlägt Änderungen, Diffs, Aufwand und Prüfungen vor. Verfügbarkeit abhängig von Tarif und Konfiguration; Nutzer prüfen den Vorschlag und wenden ihn im Editor an.
-
Oryon KI-Triage · zweistufige Prüfung
- Optional und standardmäßig deaktiviert. Eine erste Prüfung schlägt das Verwerfen von Fehlalarmen vor, eine zweite prüft die Belege. Bei Unsicherheit oder Fehlern bleiben Befunde erhalten. Verwendet OpenAI-Modelle.
-
MDN Browser Compat Data + Oryon-Katalog
- Prüft die Browserunterstützung für String.replaceAll und liefert Hinweise zur Prüfung von APIs, Runtimes, Frameworks und Tools anhand konfigurierter Zielumgebungen. Die Prüfungen sind auf die jeweilige Regel zugeschnitten.
-
Pro-Berichtssynthese · OpenAI
- Verwandelt gespeicherte Ergebnisse im Pro-PDF in Prioritäten für die Leitung, geschäftliche Risiken und einen Maßnahmenplan. Fasst Belege und Bewertungsgrenzen zusammen; führt keinen weiteren Scan aus.
Die statische Analyse läuft lokal. Inventarisierung und Abfragen von Abhängigkeiten können externe Dienste nutzen; KI-Funktionen senden den angeforderten Codekontext an den konfigurierten Anbieter.
Oryon Dashboard
Eine gemeinsame Sicht. Klarere Entscheidungen.
Entwicklung und Sicherheit arbeiten mit demselben Kontext. Vergleiche Analysen, verfolge Risiken im Zeitverlauf und teile Auditberichte über eine Plattform.
0:00
Das Video konnte nicht geladen werden. Bitte lade die Seite erneut.
Die Plattform im Detail erkunden
Audit-Nachvollziehbarkeit
Scanverlauf, Ausnahmen mit Autor und Datum sowie API-Aktionsprotokolle zur Prüfung der Projektaktivität.
Workspace-Zugriff
Google-, Magic-Link- und SSO-Flows, gebunden an unternehmensbezogene Rollen.
Mandantenisolation
Projekte, Scans und Findings bleiben by Design nach Unternehmen getrennt.
Bulk-Ingest-API
Projekte und Scans anlegen oder Findings und Dependency-Daten aus IDE oder CI synchronisieren.
Editor, CI und Plattform. Gemeinsamer Kontext.
Ein Workflow für alle, die Code korrigieren, Releases prüfen oder die Sicherheitsentwicklung des Teams verfolgen.
Im Editor
- Beim Bearbeiten oder Speichern automatisch analysieren oder einen Datei- oder Repository-Scan starten; Profile und Ausschlüsse konfigurieren.
- Ergebnisse filtern, Fundstellen öffnen und Schweregrad, Kontext sowie CWE/OWASP prüfen, sofern die Regel diese Angaben liefert.
- KI-Erklärungen und Korrekturvorschläge prüfen und Änderungen ausdrücklich anwenden.
- Gemeinsame Fehlalarme markieren oder wiederherstellen; JSON/CSV exportieren und GitHub- oder GitLab-Issues vorbereiten.
- Repository mit einem Projekt verknüpfen und Organisation oder Workspace wechseln.
Bei jeder Auslieferung
- Denselben Analysekern über GitHub Actions und Azure Pipelines ausführen, mit OIDC und einem Projekttoken.
- JSON-Ergebnisse und eine Markdown-Zusammenfassung veröffentlichen; Codebefunde in SARIF exportieren.
- Einen Schweregradschwellenwert zum Stoppen der Pipeline nach Entscheidung des Teams konfigurieren; standardmäßig deaktiviert.
- Projektausnahmen wiederverwenden und das Hochladen von Ergebnissen sowie die KI-Nutzung steuern.
Für das gesamte Team
- Projekte organisieren und Ergebnisse nach Schweregrad, Technologie und Status prüfen.
- Scans vergleichen, um neue, behobene und fortbestehende Befunde sowie Änderungen an Schweregrad oder Version zu erkennen.
- Verlauf, Fehlalarme und den Abdeckungsstatus vollständig, teilweise, fehlgeschlagen oder ungeprüft einsehen.
- PDF-Auditberichte und CSV-Exporte von Code- und Abhängigkeitsbefunden herunterladen.
- Einladungen, Rollen für Administratoren, Manager, Entwickler oder Leser und SSO/OIDC-Optionen gemäß Konfiguration verwalten.
In den Tools, die du schon nutzt.
Editor, Repository und Plattform in deinem Arbeitsablauf verbunden.
VS CodeCursorAntigravityVSCodiumWindsurf
GitHub
GitLab
Jede Integration an ihrem Platz.
Erweiterung für VS Code-kompatible Editoren. GitHub und GitLab ermöglichen Issue-Entwürfe mit dem Kontext des Befunds.
GitHub Actions und Azure Pipelines führen die Analyse in CI aus. Docker-, Kubernetes-, Terraform- und andere Pipeline-Dateien werden als Teil des Repositorys analysiert.
