DevGuard ist eine Open-Source-Plattform für die Sicherheit der Software-Lieferkette, entwickelt von der L3montree GmbH und Mitwirkenden. Sie überwacht ausgelieferte Software fortlaufend auf neu veröffentlichte Schwachstellen und legt automatisch Issues an, wenn eine neue CVE Ihre Software betrifft. Sie verarbeitet SBOM-, VEX- und SARIF-Daten gängiger Werkzeuge, bindet GitLab, GitHub, CI-Pipelines und Issue-Tracker an und unterstützt bei der Risikopriorisierung. Hinzu kommt eine Dependency-Firewall, die bekannte bösartige Pakete unter anderem für npm, Go, PyPI, Maven, Composer und OCI-Images blockiert, sowie ein Kommandozeilen-Scanner für Software-Composition-Analyse und statische Analyse.
Die L3montree GmbH hat ihren Sitz in Bonn, Deutschland, und unterliegt laut eigenen Bedingungen deutschem und europäischem Recht. DevGuard gibt es als verwaltete SaaS-Lösung, die laut Website in Deutschland gehostet wird, als selbst hostbare Open-Source-Edition unter der AGPL-3.0 und als Enterprise-Variante im eigenen Rechenzentrum auf Vertragsbasis. Bedingungen und Datenschutzerklärung nennen keinen Hosting-Anbieter, und die Datenschutzerklärung bietet SaaS-Kunden keinen Standard-Auftragsverarbeitungsvertrag an; fragen Sie dies beim Anbieter nach. Beim Selbsthosting behalten Sie die volle Kontrolle über die Daten.