Security Academy→Tools

Security Tools

Ingen verktøy finner broken access control for deg. Kombiner SAST, SCA, DAST og manuell testing.

Browser DevTools

Finner

Requests, headers, tokens, storage, bundles, cookies, CSP-feil.

Finner ikke

Ingenting automatisk — du må vite hva du ser etter.

Når

Alltid. Første verktøy for enhver review.

F12 → Network (Fetch/XHR) · Application · Sources (Ctrl+Shift+F)

OWASP ZAP

Finner

Manglende headers, reflected XSS, åpne endpoints, kjente feilkonfig.

Finner ikke

Forretningslogikk, IDOR, de fleste RLS-feil.

Når

Mot lokal/staging før release. Baseline i CI.

docker run -t zaproxy/zap-stable zap-baseline.py -t http://host.docker.internal:8080

Burp Suite Community

Finner

Manuell manipulering: Repeater for replay med endrede ID-er/tokens.

Finner ikke

Automatisk skann er begrenset i Community.

Når

Manuell autorisasjonstesting av egen app.

Proxy → Intercept → Send to Repeater → endre ID → Send

npm audit

Finner

Kjente CVE-er i dependencies.

Finner ikke

Om sårbarheten er nåbar, ondsinnede nye pakker, egen kode.

Når

Før hver release og i CI.

npm audit --omit=dev

GitHub Dependabot

Finner

Sårbare dependencies + automatiske PR-er.

Finner ikke

Egen kode og konfig.

Når

Alltid på i repoet.

.github/dependabot.yml → package-ecosystem: npm

GitHub CodeQL

Finner

Dataflyt fra input til farlige sinks (XSS, injection, path traversal).

Finner ikke

Tilgangslogikk, RLS, konfig utenfor kode.

Når

På PR-er i repoet.

Security → Code scanning → Set up CodeQL

Semgrep

Finner

Mønstre: dangerouslySetInnerHTML, hardkodede secrets, egne regler.

Finner ikke

Kontekst på tvers av tjenester, runtime-konfig.

Når

Lokalt og i CI. Lag egne regler for prosjektets fallgruver.

semgrep --config p/react --config p/secrets .

Snyk

Finner

Dependencies, container-bilder, noe SAST.

Finner ikke

Forretningslogikk.

Når

Alternativ/supplement til Dependabot.

npx snyk test