它解决什么问题
查基础设施代码里的安全隐患
KICS
STACKS质量与安全Checkmarx · IaC 安全扫描工具
所属栏目
质量与安全
应用与供应链安全
形态
IaC 安全扫描工具
开源 / 商业 / 托管形态
许可证
Apache-2.0
以官方仓库为准
数据日期
2026-10-27
条目信息核对到这一天
KICS 编辑总结
整理日期：2026-10-27 · 应用与供应链安全 · 同分类 25 个
分类应用与供应链安全质量与安全下的分类
形态IaC 安全扫描工具交付形态，决定怎么接入
主要语言Go以官方仓库为准
许可证Apache-2.0商用前核对 LICENSE 原文
同分类条目25可与下方对比表横向比较
上面几项是本条目的关键信息摘要，正文整理见下方「详细说明」与「关键信息」。
详细说明
核心优势
把 Terraform、Kubernetes、Dockerfile 与云模板解析成统一查询对象，用查询库找暴露端口、明文密钥等问题；查询能自己写，可按严重级别设流水线拦截阈值。
注意事项
查询覆盖面广但深度有限，跨文件的数据流问题容易漏；报告噪音要按项目调，全量扫描速度不如增量工具。
适合场景
多套 IaC 混用、想统一一套扫描规则的平台团队。
不适合场景
只用一种模板、已有成熟检查链路的轻量项目。
关键信息
- 维护方
- Checkmarx
- 分类
- 应用与供应链安全
- 形态
- IaC 安全扫描工具
- 主要语言
- Go
- 许可证
- Apache-2.0
- 代码仓库
- https://github.com/Checkmarx/kics
- 官方文档
- https://docs.kics.io/
特性标签
IaC 扫描查询库配置风险
标签取自各项目公开信息里的分类字段，未做二次归类。
同分类质量与安全对比
| 方案 | 形态 | 定位 | 许可证 |
|---|---|---|---|
| Semgrep | 静态代码扫描 | 按代码结构匹配的静态扫描工具 | LGPL-2.1 |
| Trivy | 漏洞与配置扫描器 | 覆盖镜像、依赖与配置的漏洞扫描器 | Apache-2.0 |
| Snyk | SaaS 安全平台 | 面向开发者的依赖与代码安全平台 | 商业许可（CLI 源码为 Apache-2.0） |
| OWASP ZAP | 动态应用安全测试 | 开源的 Web 应用动态安全扫描器 | Apache-2.0 |
| cosign | 容器与二进制签名工具 | 给镜像和二进制做签名与校验 | Apache-2.0 |
| Syft | 物料清单生成工具 | 给镜像和文件系统出物料清单 | Apache-2.0 |
| Grype | 镜像与文件系统漏洞扫描器 | 拿物料清单比对已知漏洞 | Apache-2.0 |
| OWASP Dependency-Check | 依赖漏洞扫描插件 | 构建时扫依赖里的已知漏洞 | Apache-2.0 |
| Gitleaks | 密钥扫描命令行工具 | 扫代码与提交历史里的密钥 | MIT |
| TruffleHog | 凭据泄漏扫描工具 | 扫泄漏凭据并验证能不能用 | AGPL-3.0 |
| SonarQube | 代码质量与静态分析平台 | 代码质量与安全缺陷的静态分析 | LGPL-3.0 |
| Falco | 运行时行为检测引擎 | 盯容器运行时行为找异常 | Apache-2.0 |
| Tetragon | eBPF 运行时观测与拦截 | 用 eBPF 观测并拦截进程行为 | Apache-2.0 |
| Renovate | 依赖自动更新机器人 | 自动提依赖升级合并请求 | AGPL-3.0 |
| CodeQL | 语义代码扫描引擎 | 把代码当数据库查安全缺陷 | MIT |
| in-toto | 供应链完整性框架 | 给交付链路每一步留可验证凭证 | Apache-2.0 |
| OWASP Threat Dragon | 威胁建模工具 | 画数据流图做威胁建模 | Apache-2.0 |
| Vanta | 合规自动化平台 | 自动收集合规证据与监控控制项 | 商业服务 |
| Nuclei | 模板化漏洞扫描器 | 按模板批量扫已知漏洞 | MIT |
| 42Crunch | API 安全审计平台 | 按 OpenAPI 契约审接口安全 | 商业服务 |
| Checkov | IaC 安全扫描工具 | 扫基础设施代码里的配置风险 | Apache-2.0 |
| Bandit | Python 静态分析工具 | 扫 Python 代码里的常见安全问题 | Apache-2.0 |
| Brakeman | Rails 安全扫描工具 | 专查 Ruby on Rails 应用漏洞 | Brakeman Public Use License |
| Burp Suite | Web 渗透测试平台 | 手工渗透与请求改包的工作台 | 商业服务（社区版免费） |
| detect-secrets | 密钥扫描工具 | 扫代码库里疑似泄露的密钥 | Apache-2.0 |
同一分类内的方案才适合横向比较；定位列已按详情页原文截断
相关链接
质量与安全 常见问题
测试与安全要不要各配一套工具？
两者服务同一条发布流程：测试回答「功能有没有坏」，可观测回答「线上稳不稳」，安全回答「有没有被滥用或攻破」。它们通常接在同一条流水线里——单测与集成测试、依赖与密钥扫描、上线后的冒烟与回归——放在一起看更接近真实落地。
AI 应用的评测和传统测试有什么不同？
传统测试断言确定输出，AI 评测是在数据集上看分布（准确率、召回、拒答率）。所以它需要独立的评测集与判分器，护栏则是运行时的硬拦截，两者都要，不能互相替代。
数据说明
所属栏目质量与安全分类：应用与供应链安全
数据来源项目官方文档与代码仓库定位、优势与许可条件取自官方资料，中文为归纳版
数据日期2026-10-27条目信息核对到这一天；官方更新后以官方为准
口径边界整理不改写能力、价格与许可证以官方为准；本站不打分、不排推荐名次
页面文字只做中文整理，数值不改写；仓库地址、许可证与版本请以官方仓库为准，本站与所列项目无隶属关系。
继续浏览质量与安全
返回栏目列表
上一个条目已经是第一个了
下一个条目已经是最后一个了
同分类的其他质量与安全
更多条目信息取自各项目官方仓库与文档；定位、优势与注意事项为中文归纳，数值不改写，仓库地址、许可证与版本以官方为准。
