CodeSec
Kontinuierliche Application Security für GitHub & GitLab
Repository einmal verbinden. CodeSec führt bei jedem Push und Pull Request SAST, Secret-Erkennung, Dependency-, Container-, IaC-, Kubernetes- und CI/CD-Analyse aus — dedupliziert anschließend die Findings, bewertet das Projekt und entscheidet am Security Gate, ob die Änderung gemergt werden darf. Gebaut von dem Team, dessen Security-Checklisten und Incident-Berichte Sie vielleicht schon lesen.
Sechs Analyse-Engines, ein deduplizierter Report
| Ebene | Engine | Was sie findet |
|---|---|---|
| Secrets | gitleaks | Geleakte Keys und Tokens — im Working Tree und in der gesamten Git-Historie |
| Code (SAST) | semgrep | Verwundbare Muster in 15+ Sprachen |
| Dependencies & Container | trivy | CVEs in Paketen und OS-Layern sowie Lizenzprobleme |
| Infrastructure as Code | checkov | Fehlkonfigurationen in Terraform, CloudFormation, Kubernetes und Helm |
| Dockerfiles | hadolint | Antipatterns beim Image-Build, bevor sie ausgeliefert werden |
| CI/CD & Pipelines | CodeSec-eigene Regeln | Die Ebene, die die meisten Tools überspringen — siehe unten |
Jedes Finding erhält einen kategoriebewussten Fingerprint: Dieselbe Schwachstelle über zehn Scans hinweg ist eine Zeile mit eigener Triage-Historie — eine verschobene Zeilennummer oder eine neu formatierte Datei lässt sie nicht wieder auferstehen, und ein Scanner, der nicht gelaufen ist, kann nie etwas als behoben markieren.
Die Pipeline-Angriffe, die die meisten Scanner ignorieren
Supply-Chain-Angriffe kommen zunehmend über die Pipeline selbst herein, nicht über den Code. CodeSec bringt ein eigenes Regelwerk für die Ebene mit, die generische Scanner überspringen:
- Ungepinnte Actions — Drittanbieter-Steps, die per Tag statt per Commit-SHA referenziert werden
- pull_request_target checkt nicht vertrauenswürdigen Code aus — die klassische Workflow-Privilegieneskalation
- Script-Injection über Ausdrücke wie
${{ github.event.issue.title }} - Überbreite GITHUB_TOKEN-Berechtigungen, Artifact-Poisoning-Pfade, privilegierte Runner
Score für das Projekt, Gate für die Änderung
Security Score
Deduplizierte Findings verdichten sich zu einem Score pro Projekt — eine Zahl, die ein Team verantworten, verfolgen und an der es gemessen werden kann, statt einer endlos scrollenden Liste.
Security Gate
Die Policy entscheidet, was einen Merge blockiert; das Urteil landet als PR-Check am Pull Request — dort, wo Entwickler tatsächlich arbeiten.
Triage, die bleibt
Ein Risiko einmal akzeptieren oder ein False Positive einmal markieren — der Fingerprint hält die Entscheidung über Rescans, Rebases und Refactorings hinweg fest.
Rollen, die zur Realität passen
Owner, Admin, Security, Developer, Viewer — Security-Teams triagieren, Entwickler verbinden und scannen, Auditoren lesen. Mandantenfähig von Grund auf: Jede Abfrage ist auf die Organisation begrenzt, und die Testsuite beweist es.
Feindlicher Input angenommen
Ein Security-Tool, das den Code ausführt, den es scannt, ist eine Angriffsfläche. CodeSec führt Repository-Code nie aus: kein Build, keine Dependency-Installation, keine Git-Hooks, keine Submodule, kein Folgen von Symlinks. Jeder Scanner läuft in einem eigenen Container als unprivilegierter Benutzer mit CPU-, Speicher- und Ausgabelimits, mountet den Checkout read-only, hält keine Credentials und hat keinen Datenbankzugriff — und nur die Aktualisierung der CVE-Datenbank hat überhaupt ausgehenden Netzwerkverkehr. Der Clone erfolgt einmal, zentral; die Scanner arbeiten parallel darauf.
SaaS oder Ihre eigene Infrastruktur
| Variante | Geeignet für | Hinweise |
|---|---|---|
| SaaS — codesec.grafclouds.com | Schnellster Start; Anmeldung mit GitHub oder GitLab | Von uns betrieben; keine öffentlichen eingehenden Ports am Backend (Cloudflare Tunnel) |
| Self-hosted | Code-Souveränität und Compliance-Anforderungen | Docker-Compose-Stack auf Ihrer Infrastruktur — Ihr Code verlässt Ihr Netz nie |
- Einmal verbinden: GitHub- und GitLab-Anmeldung und Repository-Integration; Scans werden bei Push und Pull Request ausgelöst.
- Air-Gap-tauglich: Der einzige ausgehende Verkehr ist die Aktualisierung der CVE-Datenbank — und selbst die lässt sich abschalten.
- Passt ins Ökosystem: AiMon überwacht Ihre Infrastruktur, DNS Wall schützt Ihr Netz, CodeSec sichert Ihren Code und Ihre Pipelines — dasselbe Team, eine Familie.
Häufige Fragen
Wie unterscheidet sich CodeSec davon, semgrep und trivy selbst in der CI laufen zu lassen?
Die Engines sind der Anfang, nicht das Produkt. CodeSec ergänzt kategoriebewusste Deduplizierung (eine Schwachstelle = eine Zeile mit Triage-Historie), einen Projekt-Score, ein policy-gesteuertes Merge-Gate, CI/CD-Security-Regeln, die generische Tools überspringen, Korrektheit bei Teilergebnissen und mandantenfähiges RBAC — die operative Schicht, die Scanner-Output in einen Workflow verwandelt.
Führt CodeSec meinen Code aus oder baut ihn?
Niemals. Kein Build, keine Dependency-Installation, keine Hooks, keine Submodule. Scanner lesen den Checkout read-only in ressourcenbegrenzten Containern ohne Credentials.
Welche Plattformen und Sprachen werden abgedeckt?
GitHub- und GitLab-Repositories; SAST in 15+ Sprachen via semgrep, dazu Secrets, Dependency-/Container-CVEs, Terraform/CloudFormation/Kubernetes/Helm, Dockerfiles und CI/CD-Workflows.
Was kostet es?
Preise pro Organisation, abhängig von Repository-Anzahl und Deployment-Modell — kontaktieren Sie uns für eine Demo, Testzugang oder ein Self-hosted-Angebot.
Lassen Sie Ihr eigenes Repository bewerten
Mit GitHub anmelden, ein Repository verbinden und beim ersten Scan einen deduplizierten, bewerteten Report erhalten — oder 30 Minuten buchen, und wir gehen die Angriffsfläche Ihrer Pipeline gemeinsam mit Ihnen durch.
CodeSec öffnen Demo buchen