Содержание

сравниваем восемь популярных сканеров / Хабр

Сканеры веб-приложений — довольно популярная сегодня категория софта. Есть платные сканеры, есть бесплатные. У каждого из них свой набор параметров и уязвимостей, возможных для обнаружения. Некоторые ограничиваются только теми, что публикуются в OWASP Top Ten (Open Web Application Security Project), некоторые идут в своем black-box тестировании гораздо дальше.

В этом посте мы собрали восемь популярных сканеров, рассмотрели их подробнее и попробовали в деле. В качестве тренировочных мишеней выбрали независимые точки на двух платформах (.NET и php): premium.pgabank.com и php.testsparker.com.

OWASP ZAP

Как можно догадаться по названию, за выпуск OWASP ZAP отвечает та самая организация OWASP, что мы упомянули во вступлении. Это бесплатный инструмент для тестирования на проникновение и для поиска уязвимостей в веб-приложениях.

Основные возможности OWASP ZAP:

  • Man-in-the-middle Proxy
  • Traditional and AJAX spiders
  • Automated scanner
  • Passive scanner
  • Forced browsing
  • Fuzzer

Дополнительные фичи

  • Dynamic SSL certificates
  • Smartcard and Client Digital Certificates support
  • Web sockets support
  • Support for a wide range of scripting languages
  • Plug-n-Hack support
  • Authentication and session support
  • Powerful REST based API
  • Automatic updating option
  • Integrated and growing marketplace of add-ons

Интерфейс программы переведен на русский, что будет удобно для некоторых пользователей. Рабочая область OWASP ZAP складывается из нескольких окон. Внизу — вкладки с текущими заданиями и процесс их выполнения, слева — дерево сайтов, дополнительно можно вывести в правую часть окна запросов и ответов.

С помощью маркетплейса можно немного расширить функциональность сканера.

У каждого компонента программы есть много настраиваемых параметров. Например, мы можем настроить входящие векторы для активного сканирования, сгенерировать динамические SSL-сертификаты, добавить идентификаторы HTTP-сессий и т.д.

Перейдем к тестам. При сканировании сайта php.testsparker.com была найдена Blind SQL Injection. На этом критичные уязвимости заканчиваются.

Полные результаты OWASP ZAP на php.testsparker.com

H: Advanced SQL Injection — AND boolean-based blind — WHERE or HAVING clause
M: X-Frame-Options Header Not Set
L: X-Content-Type-Options Header Missing
L: Web browser xss protection is not enabled

На premium. bgabank.com

мы видим более интересные результаты: найдена возможность Server Side Include (SSI) и Reflected Cross Site Scripting.

Полные результаты OWASP ZAP на premium.bgabank.com

H: Server Side Include
H: Reflected Cross Site Scripting
M: X-Frame-Options Header Not Set
M: Application Error Disclosure
M: Directory Browsing
M: Secure Pages Include Mixed Content (Including Scripts)
L: X-Content-Type-Options Header Missing
L: Web browser xss protection is not enabled
L: Cross-Domain JavaScript Source File Inclusion
L: Incomplete or No Cache-control and Pragma HTTP Header Set
L: Cookie No HttpOnly Flag

L: Cookie Without Secure Flag
L: Content-Type Header Missing
L: Private IP Disclosure
I: Image Exposes Location or Privacy Data

Все результаты сканирования можно экспортировать в отчет (поддерживается *.pdf, *.html, *.xml, *.json). В отчете подробно описываются уязвимости, найденные векторы, а также методы «закрытия» уязвимостей.

В целом работать с OWASP ZAP нам понравилось. Есть все необходимые инструменты для пентеста веб-приложения, простой и понятный интерфейс, быстрое сканирование в один клик. И при этом гибкие, глубокие настройки для более детального сканирования, что может послужить отправной точкой для дальнейшего ручного поиска уязвимостей. Ниже мы еще расскажем о сканере Burp Suite Pro, который имеет с OWASP ZAP много общего. По количеству и качеству найденных уязвимостей первый рассмотренный нами сканер показал очень неплохой результат.

Рекомендован к использованию в работе.

W9scan

W9scan — это бесплатный консольный сканер уязвимостей сайта с более чем 1200 встроенными плагинами, которые могут определять отпечатки веб-страниц, портов, проводить анализ структуры веб-сайта, находить различные  популярные уязвимости, сканировать на SQL Injection, XSS и т.

д.

Более полный список возможностей W9scan

— Fingerprint detection

  • Can identify common website CMS fingerprints ( 300+)
  • Recognizable common website frame
  • Identify common port service fingerprints
  • Detect website scripting language
  • Detect operating system type
  • Detection Website Firewall (WAF)

— Attack parameter

  • SQL injection (based on crawlers)
  • XSS injection (based on reptiles)
  • A large number of Fuzz parameter scans
  • CVE vulnerability
  • struts Vulnerability collection (including automatic detection)
  • Shellshock cgi test
  • heartbeat Bleeding heart
  • IIS parsing vulnerability
  • IIS Put vulnerability

— Violent cracking

  • Backup files and directories (based on crawlers)
  • Backup files and directories (based on domain name)
  • Common directory
  • Common file
  • Subdomain violence analysis
  • fckeditorPath enumeration
  • Common mdbdatabase enumeration
  • git svn Leak identification
  • TOMCAT web. xml Give way

— Сollect message

  • Emails (based on reptiles)
  • Private IP (based on reptiles)
  • E-mail (based on reptiles)
  • Detecting Warnings, Fatal Error,…
  • PHP version identification
  • IIS information disclosure
  • IP address attribution
  • Integrated Wappalyzer recognition script
  • robots.txt Analysis
  • Detecting unsafe headers in headers
  • Detecting unsafe factors in cookies

W9scan автоматически генерирует отчеты о результатах сканирования в формате HTML. Для запуска сканирования требуется только указать URL сайта и плагины, которые будут использоваться. Можно выбрать сразу все, дописав «all».

При сканировании php.testsparker.com W9scan нашел svn и возможные пути загрузки payload. Из менее критичного — определил версии используемых сервисов, возможные векторы проведения XXE, XXS-атак, нашел конфигурационные файлы сервера и провел поиск субдоменов.

На сайте premium.bgabank.com ничего критичного найдено не было. Но сканер определил возможные векторы проведения атак, определены версии сервисов, директории и субдомены.

По результатам сканирования W9scan автоматически генерирует файл отчета в формате HTML.

W9scan сканер подойдет для быстрого запуска в одну команду и мы рекомендуем использовать его как вспомогательный инструмент для определения версий сервисов, а также потенциальных векторов атак.

Wapiti

Ещё один неплохой консольный сканер. Так же, как и W9scan, готов к старту в одну команду, при этом имеет больше разных настроек сканирования.

Wapiti производит поиск следующих уязвимостей:

  • File disclosure (Local and remote include/require, fopen, readfile. ..)
  • Database Injection (PHP/JSP/ASP SQL Injections and XPath Injections)
  • XSS (Cross Site Scripting) injection (reflected and permanent)
  • Command Execution detection (eval(), system(), passtru()…)
  • CRLF Injection (HTTP Response Splitting, session fixation…)
  • XXE (XML External Entity) injection
  • SSRF (Server Side Request Forgery)
  • Use of know potentially dangerous files
  • Weak .htaccess configurations that can be bypassed
  • Presence of backup files giving sensitive information
  • Shellshock

В дополнение ко всему перечисленному имеется поддержка прокси (HTTP, HTTPs и SOCKS5), различных методов аутентификации (Basic, Digest, Kerberos, NTLM),  поддержка SSL-сертификатов, возможность добавления различных HTTP-заголовков или настроек user-agent.

При сканировании сайта php.

testsparker.com были найдены уязвимости Blind SQL Injection, Cross Site Scripting, Commands execution. На premium.bgabank.com Wapiti в сравнении с другими сканерами показывает не такие выдающиеся результаты: был обнаружен только Cross Site Scripting.

По результатам работы сканера также формируется отчет в формате HTML, в котором содержатся категории и число найденных уязвимостей, их описание, запросы, команды для curl и советы о том, как закрыть найденные дыры в безопасности.

Как и следовало ожидать, Wapiti до уровня OWASP ZAP, конечно, не дотягивает. Но все же он отработал качественнее W9scan, хотя не был произведен поиск директорий, субдоменов и определение версий сервисов.

Arachni


Мощный бесплатный комбайн для теста защищенности веб-приложений  и поиска уязвимостей. Имеет графический интерфейс и огромную функциональность, о которой более подробно можно почитать на официальном сайте.

Активное тестирование:

  • SQL injection — Error based detection
  • Blind SQL injection using differential analysis
  • Blind SQL injection using timing attacks
  • NoSQL injection — Error based vulnerability detection
  • Blind NoSQL injection using differential analysis

Полный список функций для активного тестирования

  • CSRF detection
  • Code injection
  • Blind code injection using timing attacks
  • LDAP injection
  • Path traversal
  • File inclusion
  • Response splitting
  • OS command injection
  • Blind OS command injection using timing attacks
  • Remote file inclusion
  • Unvalidated redirects
  • Unvalidated DOM redirects
  • XPath injection
  • XSS
  • Path XSS
  • XSS in event attributes of HTML elements
  • XSS in HTML tags
  • XSS in script context
  • DOM XSS
  • DOM XSS script context
  • Source code disclosure
  • XML External Entity

Пассивное тестирование:

  • Allowed HTTP methods
  • Backup files
  • Backup directories
  • Common administration interfaces
  • Common directories
  • Common files

Полный список функций для пассивного тестирования

  • HTTP PUT
  • Insufficient Transport Layer Protection for password forms
  • WebDAV detection ( webdav).
  • HTTP TRACE detection
  • Credit Card number disclosure
  • CVS/SVN user disclosure
  • Private IP address disclosure
  • Common backdoors
  • .htaccess LIMIT misconfiguration
  • Interesting responses
  • HTML object grepper
  • E-mail address disclosure
  • US Social Security Number disclosure
  • Forceful directory listing
  • Mixed Resource/Scripting
  • Insecure cookies
  • HttpOnly cookies
  • Auto-complete for password form fields.
  • Origin Spoof Access Restriction Bypass
  • Form-based upload
  • localstart.asp
  • Cookie set for parent domain
  • Missing Strict-Transport-Security headers for HTTPS sites
  • Missing X-Frame-Options headers
  • Insecure CORS policy
  • Insecure cross-domain policy
  • Insecure cross-domain policy
  • Insecure client-access policy

Внушительно, не правда ли? Но и это не все. В «паутину» завернута ещё куча плагинов, например Passive Proxy, Dictionary attacker for HTTP Auth, Cookie collector, WAF Detector и др.

Сканер имеет приятный и лаконичный веб-интерфейс:

И вот что нашел Arachni на наших тестовых сайтах. Php.testsparker.com:

  • Cross-Site Scripting (XSS) in script context
  • Blind SQL Injection (differential analysis)
  • Code injection
  • Code injection (timing attack)
  • Operating system command injection (timing attack)
  • Operating system command injection

Остальные уязвимости на php.testsparker.com

H: File Inclusion
H: Cross-Site Scripting (XSS) in HTML tag
H: Cross-Site Scripting (XSS)
H: Path Traversal
M: Backup file
M: Common directory
M: HTTP TRACE
L: Missing ‘X-Frame-Options’ header
L: Password field with auto-complete
L: Insecure client-access policy
L: Insecure cross-domain policy (allow-access-from)
L: Common sensitive file

На premium. bgabank.com из критичного была обнаружена только возможность межсайтовой подделки запросов (CSRF).

Полные результаты Arachni на premium.bgabank.com

H: Cross-Site Request Forgery
M: Mixed Resource
M: HTTP TRACE
M: Common directory
M: Missing ‘Strict-Transport-Security’ header
L: Private IP address disclosure

Отдельно отметим, какие симпатичные отчеты выдает нам Arachni. Поддерживается немало форматов — HTML, XML, text, JSON, Marshal, YAML, AFR.

В общем, Arachni оставляет после работы только положительные впечатления. Наше мнение: это «маст хэв» в арсенале любого уважающего себя спеца.

Paros

Еще один сканер веб-уязвимостей с графическим интерфейсом. По умолчанию включен в дистрибутив Kali Linux и установлен там локально. Имеет встроенный прокси, через который добавляются сайты для анализа, встроенный веб-паук, способный анализировать сайт и строить карту запросов.

Для сканирования личного кабинета пользователя необходимо авторизоваться в браузере с включенным перенаправлением трафика через прокси Paros. Сканер будет использовать авторизованные куки в процессе сканирования. Отчет о работе можно экспортировать в HTML. Он сохраняется в файл root/paros/session/LatestScannedReport.htm и в дальнейшем перезаписывается. Если вы хотите сохранить результат предыдущего сканирования, то перед началом следующего сканирования необходимо создать копию имеющегося файла.

Основные возможности (с оглядкой на OWASP TOP 10 2017):

  • A1: Injection — SQLinjection, SQLinjection Fingerprint (места, где потенциально может быть SQLinj)
  • A6: Security Misconfiguration — Directory browsing, ISS default file, Tomcat source file disclosure, IBM WebSphere default files и некоторые другие стандартные или устаревшие файлы (Obsolete file), содержащие исходный код и прочее.
  • A7: XSS

Дополнительные возможности:

  • Поиск включенного автозаполнения для форм паролей. При этом если у поля input есть атрибут type=«password»,  получается ложное срабатывание.
  • CRLF injection
  • Secure page browser cache (кэширование страниц в браузере c важной информацией)
  • Возможность сканирования защищенной области пользователя (личный кабинет)
  • Возможность сканирования веб-приложений в локальной сети

В финальном отчете к каждому типу уязвимостей есть более подробная информация и некоторые рекомендации о способе устранения.

В нашем тестировании Paros показал довольно слабые результаты. На php.testsparker.com были найдены:

H: SQL injection
M: XSS
M: Устаревшие файлы с исходным кодом
M: Использование автозаполнения в формах с важной информацией (пароли и прочее).
L: Раскрытие внутренних IP
На premium.bgabank.com и того меньше:
M: Directory browsing
M: Использование автозаполнения в формах с важной информацией (пароли и прочее).

В итоге, хотя сканер Paros прост и достаточно удобен в использовании, слабые результаты сканирования заставляют отказаться от его использования.

Tenable.io

Платный многофункциональный облачный сканер, который умеет находить большое число веб-уязвимостей и почти полностью покрывает OWASP TOP 10 2017.

Сервис имеет встроенного веб-паука. Если в настройках сканирования указать данные авторизации (запрос авторизации, логин и пароль, авторизованные куки), то сканер проверит и личный кабинет (зону авторизованного пользователя).

Кроме сканирования веб-приложений, Tenable.io умеет сканировать сеть — как на предмет известных уязвимостей, так и для поиска хостов. Возможно подключение агентов для сканирования внутренней сети. Есть возможность экспортирования отчета в различные форматы: *.nessus, *.csv, *.db, *.pdf.


На скриншоте все домены «тестовые»


Дополнительные профили сканирования. В данной статье не затрагиваются

После сканирования становится доступна статистика и приоритизация найденных уязвимостей — critical, high, middle, low, information

В карточке уязвимости представлена дополнительная информация о ней и некоторые рекомендации по ее устранению.

Сканируем php.testsparker.com. Уязвимости с приоритетом high:

H: Уязвимости компонентов
— вышедшая из поддержки версия PHP
— вышедшая из поддержки версия Apache
H: Code injection
H: SQLinj
H: XSS
H: LFI
H: Path Traversal

Middle- и low-уязвимости

M: Раскрытие ценных данных — полный путь, бекапы
M: Раскрытие внутренних IP
M: Cookie без флага HTTPOnly
M: Отправка пароля по HTTP
L: Использование автозаполнения в формах с важной информацией
L: Ответ сервера на TRACE запросы
L: Не установлены header`ы Cache-Control, X-Content-Type-Options, X-Frame-Options, X-XSS-Protection

Теперь premium.bgabank.com. Уязвимости с приоритетом high:

H: Уязвимости компонентов

  • вышедшая из поддержки версия PHP
  • уязвимости Apache
  • уязвимости Bootstrap
  • уязвимости JQuery

Middle- и low-уязвимости

M: Web server phpinfo()
M: Совместное использование HTTP и HTTPS
M: Отсутствие перенаправления с HTTP на HTTPS
M: Directory browsing
M: Найдены backup файлы
M: Использование небезопасной версии протокола SSL
M: Истечение срока сертификата SSL/TLS
L: Раскрытие внутренних IP
L: Cookie без флага HTTPOnly
L: Ответ сервера на TRACE запросы
L: Не установлены header`ы Strict-Transport-Security, Cache-Control, X-Content-Type-Options, X-Frame-Options, X-XSS-Protection

Сканер Tenable. io показал себя хорошо, нашел множество уязвимостей. Работу с ним упрощает удобный графический интерфейс и представление данных. Еще один плюс — наличие дополнительных профилей сканирования, в которые мы пока решили не зарываться. Важной особенностью является облачная структура сервиса. С одной стороны, сервис не использует локальные вычислительные ресурсы рабочего компьютера. С другой — не сможет просканировать веб-приложения в локальной сети.

Burp Suite Pro

Burp Suite — это комплексное решение для проверок веб-приложений. Оно включает в себя разнообразные утилиты, позволяющие улучшить и ускорить поиск уязвимостей веб-приложений.

В составе Burp Suite есть следующие утилиты:

  • Proxy — прокси-сервер, который перехватывает трафик, проходящий по протоколу HTTP(S), в режиме man-in-the-middle. Находясь между браузером и целевым веб-приложением, эта утилита позволяет перехватывать, изучать и изменять трафик, идущий в обоих направлениях.
  • Spider — веб-паук, который в автоматическом режиме собирает информацию о содержимом и функционале приложения (веб-ресурса).
  • Scanner (только в Burp Suite Pro) — сканер для автоматического поиска уязвимостей в веб-приложениях.
  • Intruder — гибкая утилита, позволяющая в автоматическом режиме производить атаки различного вида. Например, перебор идентификаторов, сбор важной информации и прочее.
  • Repeater — инструмент для ручного изменения и повторной отсылки отдельных HTTP-запросов, а также для анализа ответов приложения.
  • Sequencer — утилита для анализа случайных данных приложения на возможность предсказания алгоритма их генерации.
  • Decoder — утилита для ручного или автоматического кодирования и декодирования данных приложения.
  • Comparer — инструмент для поиска визуальных различий между двумя вариациями данных.
  • Extender — инструмент для добавления расширений в Burp Suite

Утилита Scanner представлена в одноименной вкладке основного окна программы Burp Suite. Интерфейс англоязычный, но кого сейчас это может отпугнуть?

На вкладке Issue Definition представлен полный список всех уязвимостей, которые способен выявить данный сканер. Следует отметить, что список весьма внушительный.

Все уязвимости разделены на 3 категории: high, medium, low. Также есть категория information, к которой относятся механизмы сбора различной полезной информации о сканируемом ресурсе.
При запуске сканирования в окне Scan queue мы можем наблюдать за прогрессом по этапам. «Цветовая дифференциация штанов» присутствует.

На вкладке Options выполняется основная настройка параметров сканирования.

Для удобства опции разбиты по категориям. При необходимости можно получить справку по каждой категории прямо из окна настройки.

В целом Burp Suite Pro показал неплохой результат. При сканировании php.testsparker.com было найдено и классифицировано достаточно уязвимостей чтобы получить полный контроль над веб приложением и его данными — это и OS command injection, и SSTI, и File path traversal.

Полные результаты Burp Suite Pro на php.testsparker.com

H: OS command injection
H: File path traversal
H: Out-of-band resource load (HTTP)
H: Server-side template injection
H: Cross-site scripting (reflected)
H: Flash cross-domain policy
H: Silverlight cross-domain policy
H: Cleartext submission of password
H: External service interaction (DNS)
H: External service interaction (HTTP)
M: SSL certificate (not trusted or expired)
L: Password field with autocomplete enabled
L: Form action hijacking (reflected)
L: Unencrypted communications
L: Strict transport security not enforced

На сайте premium.bgabank.com были найдены:
H: Cross-site scripting (reflected)
M: SSL cookie without secure flag set
M: SSL certificate (not trusted or expired)
L: Cookie without HttpOnly flag set
L: Password field with autocomplete enabled
L: Strict transport security not enforced

Если для веб-пентеста вы часто используете Burp Suite, вам нравится его экосистема, но хотелось бы как-то автоматизировать процесс поиска уязвимостей, то эта утилита отлично впишется в ваш арсенал.

Acunetix

В заключение — еще один весьма неплохой коммерческий сканер. Его очень активно продвигают с помощью рекламы, но Acutenix не добился бы успеха без своей обширной функциональности. Среди доступных ему для обнаружения уязвимостей — все виды SQL injection, Cross site scripting, CRLF injection и прочие радости пентестера веб-приложений. Стоит отметить, что для качественного сканирования требуется выбрать правильный профиль.

Интерфейс дашборда приятный:

Все выявленные уязвимости по традиции раскладываются на четыре категории: High, Medium, Low. Ну и куда же без категории Information, в которую включаются все интересные, по мнению сканера, данные.

На вкладке Scans мы можем наблюдать прогресс сканирования и прочую диагностическую информацию.

После завершения сканирования на вкладке Vulnerabilities мы можем ознакомиться с тем, что и в каком количестве было найдено. Цветовая дифференциация на месте.

В тесте на php.testsparker.com сканер показал неплохой результат, а вот с premium.bgabank.com откровенно подкачал.

Полные результаты Acunetix

php.testsparker.com:
H: Apache 2.2.14 mod_isapi Dangling Pointer
H: Blind SQL Injection
H: Cross site scripting
H: Cross site scripting (verified)
H: Directory traversal
H: File inclusion
H: PHP code injection
H: Server-side template injection
H: SVN repository found
H: User controllable script source
M: Access database found
M: Apache 2.x version older than 2.2.9
M: Apache httpd remote denial of service
M: Apache httpOnly cookie disclosure
M: Application error message
M: Backup files
M: Directory listing
M: HTML form without CSRF protection
M: Insecure clientaccesspolicy. xml file
M: Partial user controllable script source
M: PHP hangs on parsing particular strings as floating point number
M: PHP preg_replace used on user input
M: Source code disclosure
M: User credentials are sent in clear text
L: Apache 2.x version older than 2.2.10
L: Apache mod_negotiation filename bruteforcing
L: Clickjacking: X-Frame-Options header missing
L: Login page password-guessing attack
L: Possible relative path overwrite
L: Possible sensitive directories
L: Possible sensitive files
L: TRACE method is enabled

premium.bgabank.com:
L: Clickjacking: X-Frame-Options header missing

Acunetix имеет большие возможности и подойдет, если вы ищете stand-alone решение. Веб-интерфейс прост и понятен, инфографика и отчеты выглядят вполне удобоваримо. Возможны осечки при сканировании, но, как говорил Тони Старк: «С мужиками такое случается. Не часто. Один разок из пяти».

Общие итоги

А теперь выводы по всем протестированным сканерам.

  • OWASP ZAP нам понравился. Рекомендуем к использованию.
  • W9scan мы рекомендуем использовать как вспомогательный инструмент для определения версий и сервисов, а также потенциальных векторов атак.
  • Wapiti до OWASP ZAP не дотягивает, но у нас отработал качественнее W9scan.
  • Arachni — это просто «маст-хэв».
  • Paros сканирует слабо, и мы его не рекомендуем.
  • Tenable.io хорош, находит множество уязвимостей. Но стоит учесть, что он облачный.
  • Burp Suite Pro мы советуем тем, кому нравится экосистема Burp Suite, но не хватает автоматизации.
  • Acunetix подойдет тем, кто ищет сканер как stand-alone приложение.

Сканеры уязвимостей

Поиск софта

Платное

Бесплатное

OpenVAS

Полнофункциональный сканер уязвимостей.

Nikto

Бесплатный сканер уязвимостей для web-серверов.

CodeQL

Движок для семантического анализа кода.

Skybox Vulnerability Control

Решение Skybox по управлению уязвимостями.

Tripwire IP360

Решение корпоративного уровня для управления уязвимости.

Tenable.io

Решение для управления уязвимостями.

Qualys Vulnerability Management

Решение для управления уязвимостями.

Nessus Professional

Сетевой сканер безопасности общего назначения.

F-Secure Radar

Сканер уязвимостей.

Сканер-ВС

Универсальный инструмент для решения широкого спектра задач по тестированию и анализу защищенности информационных систем.

Ревизор сети

Сетевой сканер.

RedCheck

Система контроля защищенности и соответствия стандартам ИБ.

MaxPatrol 8

ScanMyServer

Утилита, позволяющая проанализировать страницы сайта или блога и найти различные проблемы безопасности.

Netsparker

Сканирует сайты, приложения и службы сервера на предмет уязвимостей вне зависимости от операционной системы.

HTTrack

Свободный кроссплатформенный офлайн-браузер для загрузки веб-сайтов из интернета на локальный компьютер.

SMBGhost

Сканер для выявления систем, потенциально подверженных уязвимости в протоколе SMBv3 (CVE-2020-0796).

esCLOUD

Решение безопасности для облачных сред.

RiskSense Ransomware Dashboard

Инструмент для предотвращения и отражения атак вымогательского ПО.

METASCAN

Сканер уязвимостей для web-сайтов и сетей.

Arctic Wolf Managed Risk

Решение для поиска уязвимостей и анализа конечных точек.

Kube-hunter

Инструмент для обнаружения проблем безопасности в кластерах Kubernetes/

Nsauditor Network Security Auditor

Nsauditor Network Security Auditor — сетевой сканер, служащий для осуществления диагностики и мониторинга сетевых компьютеров на предмет обнаружения возможных проблем в системе безопасности.

RiskSense Attack Surface Validation for Election Systems

Инструмент для обнаружения уязвимостей в избирательных системах.


Подпишитесь на email рассылку

Подпишитесь на получение последних материалов по безопасности от SecurityLab.ru — новости, статьи, обзоры уязвимостей и мнения аналитиков.

Ежедневный выпуск от SecurityLab.Ru

Еженедельный выпуск от SecurityLab.Ru

Нажимая на кнопку, я принимаю условия соглашения.

Топ-7 сканеров уязвимостей веб-сайтов и приложений на 2023 год

Поиск

Разработчикам веб-сайтов и приложений нужны инструменты сканирования уязвимостей для проверки скомпилированного и нескомпилированного кода на наличие известных уязвимостей.

Большинство инструментов сканирования уязвимостей обнаруживают распространенные уязвимости, но могут быть ограничены в типах выполняемых сканирований, поддерживаемых ими языках программирования и интеграции с другими инструментами разработки и эксплуатации (DevOps).

Большинство команд DevOps принимают решения о покупке сканеров уязвимостей на основе гибкости развертывания, скорости сканирования, точности сканирования, подключения к другим инструментам и, конечно же, цены. Рекомендации в этой статье сосредоточены главным образом на специализированных инструментах сканирования веб-приложений и не содержат списка модулей сканирования веб-приложений интегрированных корпоративных сканеров уязвимостей , разработанных Rapid7, Qualys и т. д.

характеристики и список Критерии лучшего средства сканирования уязвимостей приложений, используемые для выбора рекомендуемых средств.

  • Сканер уязвимостей Acunetix (Invicti): рекомендуется для сайтов WordPress
  • AppScan (HCLTech): лучший для многих языков программирования
  • Burp Suite Enterprise Edition (Portswigger) — лучший вариант для внеполосного тестирования безопасности приложений
  • Detectify — лучший выбор для управления внешней поверхностью атаки из краудсорсинга
  • Invicti (ранее Netsparker): лучший общий сканер уязвимостей приложений
  • StackHawk: лучший вариант для малого и среднего бизнеса
  • ZAP (OWASP Zed Attack Proxy): лучший выбор для экспертов с ограниченным бюджетом
  • Критерии лучшего средства сканирования уязвимостей приложений
  • Итог: инструменты сканирования приложений
  DAST — динамическое тестирование безопасности приложений IAST — интерактивное тестирование безопасности приложений Фаззинг SAST — статическое тестирование безопасности приложений SCA — анализ состава программного обеспечения
Акунетикс Да Опция      
AppScan Да* Да*   Да* Да*
Берп Люкс Да        
Обнаружение Да   Да    
Инвикти Да Да     Да
StackHawk Да        
ЗАП Да        
*Зависит от выбранной версии

Сканер уязвимостей Acunetix (Invicti): рекомендуется для сайтов WordPress.

Acunetix фокусируется на скорости и точности, но не предназначен для масштабирования таким же образом, как корпоративный инструмент Invicti (см. ниже). Тяжеловесные разработчики WordPress с большим количеством страниц часто выбирают Acunetix из-за параллельных функций сканирования и сканирования, которые хорошо работают с большими сайтами WordPress.

Основные функции

  • Локальное развертывание в Linux, macOS и Microsoft Windows или в облаке
  • Дополнительное сканирование IAST для кода PHP, Java или .NET
  • Интегрированный OpenVAS для сканирования диапазонов IP-адресов на безопасность сети для обнаружения открытых портов и других сетевых уязвимостей
  • Ранжирует уязвимости как с высокой степенью достоверности (проверено на 100 %), со средней степенью достоверности (вероятно, не может быть проверено автоматически) и с низкой достоверностью (предполагаемая возможность, требуется тестирование на проникновение или проверка исходного кода)
  • Сканирует сложные пути и многоуровневые формы, области, защищенные паролем, сайты с большим количеством сценариев (JavaScript или HTML5), одностраничные приложения (SPA), несвязанные страницы

Pros

  • Создан для скорости и эффективности
    • Написано на C++ для скорости
    • Закодировано для тестирования кода с уменьшенным количеством запросов для уменьшения пропускной способности и нагрузки на сервер
    • Одновременное сканирование и сканирование для быстрого и эффективного получения результатов
    • Динамически расставляет приоритеты при сканировании, чтобы вернуть до 80 % уязвимостей в первые 20 % сканирования
  • Может обнаруживать изменения в веб-приложениях и выполнять добавочное сканирование только при изменении кода
    • .
  • Активно уменьшает ложные срабатывания и может проверять уязвимости и предоставлять доказательства использования
  • Интегрируется с инструментами конвейера и системами отслеживания проблем, такими как Jenkins, Jira и GitHub, для интеграции рабочего процесса разработчиков

Минусы

  • Не такая точная, как у флагманского сканера Invicti при тестировании (см. ниже)
  • Подтверждение концепции уязвимости иногда бывает сложным и трудным для понимания
  • Клиенты жалуются на модель лицензирования целевого приложения

Ценообразование

Invicti не публикует цены на Acunetix на своем веб-сайте и предлагает заинтересованным сторонам заполнить форму, чтобы запросить расценки или демонстрацию. Acunetix предлагается в виде годовой подписки в зависимости от количества отсканированных веб-сайтов или веб-приложений и продолжительности контракта. Invicti предлагает три версии:

  • Стандарт: однопользовательский, локальный
  • Premium: стандартная версия + непрерывное сканирование, управление доступом на основе ролей, отчеты о соответствии, сканирование уязвимостей в сети, интеграция с системой отслеживания проблем, несколько пользователей, несколько модулей сканирования, размещение или локально
  • Acunetix 360: Premium без сканирования сетевых уязвимостей, но с настраиваемыми рабочими процессами, единым входом и вариантами установки в гибридной среде

AppScan (HCLTech): лучший для многих языков программирования

В 2018 году IBM продала культовые бренды программного обеспечения, включая AppScan, индийской компании HCLTech. HCLTech продолжает разработку программного обеспечения AppScan, которое теперь предлагает пять различных версий: AppScan CodeSweep (бесплатно), AppScan Standard (DAST), AppScan Source (SAST), AppScan Enterprise (SAST, DAST, IAST и управление рисками) и AppScan on Облако (SAST, DAST, IAST и SCA).

Основные характеристики

  • Поддерживает широкий спектр языков программирования от стандартного JavaScript и Python до более узкоспециализированных языков, таких как Dart и Cobol
  • Выделяет уязвимости и может обучать программистов стратегиям их устранения
  • Может просматривать нескомпилированный код, запросы GitHub, веб-приложения, веб-службы и мобильные серверные части
  • Может отслеживать и выявлять уязвимости в цепочке поставок с открытым кодом
  • Можно сравнить с контрольными показателями соответствия от PCI DSS, OWASP top 10 и других
  • Масштабируемое и автоматизированное тестирование безопасности
  • Сканирует и анализирует API
  • Отслеживает активный код на наличие проблем во время выполнения без запросов на сканирование

Pros

  • Предлагает различные инструменты для удовлетворения потребностей разработчиков
  • Может обрабатывать сложные варианты использования и потоки приложений
  • Может интегрироваться с конвейерами DevOps Continuous Integration/Continuous Delivery (CI/CD)

Минусы

  • Некоторые сканирования DAST по умолчанию могут занять слишком много времени или привести к ошибке
  • Может давать ложные срабатывания из-за строгих определений
  • Плагины могут влиять на результаты оценки
  • Клиенты отмечают, что некоторые лицензии могут быть довольно дорогими

Ценообразование

HCLTech не указывает цены на продукты AppScan на своем веб-сайте, но сообщает, что клиенты могут получить лицензии с привязкой к узлу (одна лицензия, одна машина) или плавающие лицензии. Клиенты могут связаться с HCLTech для получения предложения или обратиться к партнерам. Лицензии рассчитаны на 12 месяцев подписки и поддержки.

Burp Suite Enterprise Edition (Portswigger) — лучше всего подходит для тестирования безопасности внеполосных приложений

Популярный Burp Suite от Portswigger можно лицензировать четырьмя способами. Сканеры веб-приложений Burp Suite Community Edition и Dastardly предоставляют бесплатные, но ограниченные по возможностям инструменты, помогающие разработчикам начать работу. Burp Suite Professional предоставляет возможности ручного тестирования на проникновение, а Burp Suite Enterprise Edition обеспечивает автоматическое динамическое сканирование веб-уязвимостей.

Основные характеристики

  • Впервые внеполосное тестирование безопасности приложений (OAST) для использования внешних серверов для поиска ошибок, которые трудно обнаружить с помощью DAST, таких как слепые и асинхронные ошибки. OAST также снижает количество ложных срабатываний SAST
    • .
  • Тестирование безопасности API
  • Простая настройка и сканирование
  • Интегрируется со всеми основными платформами CI/CD и системами отслеживания ошибок
  • Многопользовательский контроль доступа на основе ролей
  • Несколько вариантов развертывания
  • Сводные отчеты о проблемах, интуитивно понятные информационные панели, графики и отчеты
  • Доступны специальные отчеты о соответствии
  • Использует встроенный браузер Chrome для сканирования

Pros

  • Простое планирование периодического сканирования
  • Масштабируемое сканирование
  • Пользовательские и стандартные конфигурации
  • Развертывается как стандартное программное обеспечение или в Kubernetes с использованием диаграммы Helm

Минусы

  • Некоторые клиенты жалуются на сложные и трудоемкие настройки
  • Сообщалось о некоторых ложноположительных и ложноотрицательных результатах

Ценообразование

Для версии Burp Enterprise у Portswigger нет ограничений на количество пользователей или отдельных приложений, которые можно сканировать. Решение лицензируется на основе количества одновременных сканирований, которые необходимо выполнить:

  • Начальный план: 5 одновременных сканирований = 8 395 долл. США в год
  • План расширения: 20 одновременных сканирований = 17 380 долл. США в год
  • План Accelerate: более 50 одновременных сканирований, от 35 350 долл. США в год

Для получения дополнительной информации о Burp Suite см. Начало работы с Burp Suite: Учебное пособие по пентестированию Инструменты Surface Management (EASM) для обнаружения ресурсов и оценки уязвимостей. В настоящее время Detectify предлагает два решения: мониторинг поверхности и сканирование веб-приложений.

Мониторинг поверхности исследует поддомены приложения с выходом в Интернет для обнаружения незащищенных файлов, уязвимостей и других неверных конфигураций, не связанных с кодированием. Сканирование веб-приложений проверяет код специально созданных приложений на наличие уязвимостей в системе безопасности.

Основные характеристики

  • Непрерывное и автоматизированное обнаружение, инвентаризация и мониторинг активов, подключенных к Интернету
  • Уникальный и оптимизированный механизм для сканирования кода
  • Выполняет фаззинг-тестирование
  • Уязвимости можно фильтровать и помечать для приоритизации исправления
  • Гибкий API для интеграции со Slack, Jira, Splunk и другими инструментами

Pros

  • Обнаружит открытые порты, типы записей DNS и размещенные технологии для каждого актива
  • Параметры для установки пользовательских политик
  • Может защитить от захвата поддоменов
  • Обнаружит непреднамеренное раскрытие информации

Минусы

  • Система отслеживает уязвимости в истории, но не распознает и не включает недавно исправленные уязвимости в отчеты
  • Отмеченные ложные срабатывания могут продолжать появляться в последующих отчетах
  • Не всегда отмечает вероятность использования уязвимости

Ценообразование

Detectify предоставляет 2-недельную бесплатную пробную версию и лицензирует свое программное обеспечение в зависимости от количества просканированных веб-приложений, доменов и субдоменов. Для небольших организаций Detectify предлагает пакетные предложения, начинающиеся с:

  • 289 долл. США в месяц за поверхностный мониторинг до 25 поддоменов, оплачиваемый ежегодно
  • 89 долларов США в месяц за профиль сканирования, оплачивается ежегодно

Invicti (ранее Netsparker): лучший в целом сканер уязвимостей приложений

Invicti, ранее известный как Netsparker, представляет собой сканер уязвимостей приложений, разработанный для корпоративного масштаба и автоматизации. Invicti предполагает, что этот продукт станет инструментом, в который компания превратится после использования продукта Acunetix, предназначенного для малого бизнеса.

Основные функции

  • Автоматическое и непрерывное сканирование для обновления реестров веб-сайтов, приложений и API
  • Позволяет избежать очередей сканирования, разрешая несколько одновременных сканирований и сканеров, которые загружаются в централизованный репозиторий для создания отчетов
  • Развертывается локально, в облаке, в образах Docker или как гибридное решение. Облачные агенты запускаются для сканирования, а затем автоматически удаляются после завершения сканирования.
  • Динамическое и автоматизированное сканирование DAST, IAST и SCA
  • Внеполосное тестирование и асинхронное тестирование уязвимостей
  • Датчики IAST часто могут предоставлять имя файла и номер строки программирования для уязвимостей
  • Сканирует страницы, аутентифицированные отправкой формы, OAuth3, NTLM/Kerberos и т. д.
  • Сканирует сложные пути и многоуровневые формы, области, защищенные паролем, сайты с большим количеством сценариев (JavaScript или HTML5), одностраничные приложения (SPA), несвязанные страницы

Pros

  • Сканирует скрытые файлы
  • Обнаруживает неправильно сконфигурированные файлы конфигурации
  • Лучшие в отрасли показатели обнаружения и ложноположительных результатов по результатам независимых тестов
  • Будет отслеживать состояние безопасности приложений с течением времени и выявлять тенденции уязвимости
  • Активно уменьшает ложные срабатывания и может проверять уязвимости и предоставлять доказательства использования
  • Интегрируется с инструментами конвейера и системами отслеживания проблем, такими как Jenkins, Jira и GitHub, для интеграции рабочего процесса разработчиков

Минусы

  • Может иметь крутую кривую обучения
  • Клиенты жалуются на неэффективное тестирование многофакторной аутентификации
  • Пользователи замечают замедление сканирования больших веб-приложений
  • Доступно только при установке программного обеспечения Windows

Цены

Invicti не публикует на своем веб-сайте ни информацию о ценах, ни уровни лицензирования. Invicti предлагает три плана:

  • Стандартный локальный настольный сканер
    • Сканер Team
  • (размещенный) добавляет дополнительные функции по сравнению со сканером настольного компьютера:
    • Многопользовательская платформа
    • Встроенный инструмент рабочего процесса
    • Сканер соответствия PCI
    • Обнаружение активов
  • Корпоративный (размещенный или локальный) добавляет настраиваемый рабочий процесс и специализированную техническую поддержку

StackHawk: лучший вариант для малого и среднего бизнеса

Компания StackHawk, основанная инженерами DevOps для инженеров DevOps, которые ежедневно пишут и распространяют код, стремится упростить процесс создания безопасного программного обеспечения. Их сканер DAST интегрируется с CI/CD Automation и Slack, чтобы помочь сортировать результаты и обеспечивать быстрое исправление. Благодаря бесплатному уровню, который позволяет сканировать одно приложение, даже предприятия малого и среднего бизнеса (SMB) с ограниченными ресурсами могут позволить себе внедрить безопасность в свою разработку.

Основные функции

  • Интеграция CI/CD и Slack
  • Поддержка REST, GraphQL и SOAP
  • Обнаружение пользовательского сканирования и исторические данные сканирования
  • Критерии воспроизведения на основе cURL

Pros

  • Неограниченное количество сканирований для одного приложения
  • Неограниченное количество сканирований и сред
  • Сканер безопасности приложений на основе Docker
  • Продолжается добавление функций в бесплатный инструмент (поддержка gRPC в разработке)

Минусы

  • Требуется использование и знание инфраструктуры Docker
  • Предоставляет поддержку по электронной почте только для бесплатной версии
    • .
  • Требуется платная лицензия для более чем одного приложения

Цены

Stack Hawk предлагает три уровня лицензирования. Платные версии основаны на цене на одного разработчика в месяц и могут оплачиваться ежемесячно. Ежегодное выставление счетов приводит к скидке на платные уровни.

  • Уровень бесплатного пользования: только одно приложение
  • 49 долларов США за разработчика в месяц Pro Tier
    • Минимум 5 разработчиков, доступны оптовые скидки
    • Неограниченное сканирование приложений
      • Функции уровня бесплатного пользования
    • , а также: панель приложений, интеграция со Snyk, интеграция с GitHub CodeQl и репо, пользовательские тестовые данные для REST, HawkScan ReScan и пользовательские тестовые данные для GraphQL
    • Поддержка по электронной почте и Slack
  • 69 долларов США за разработчика в месяц Уровень предприятия
    • Доступны оптовые скидки
      • Функции
    • Pro Tier, а также многие другие функции, включая: единый вход, MS Teams, интеграцию веб-перехватчиков, разрешения на основе ролей, сводные отчеты, доступ через API для результатов сканирования, управление политиками
    • Поддержка по электронной почте, в Slack (выделенная поддержка) и вариант поддержки Premier Zoom

ZAP (OWASP Zed Attack Proxy): лучший выбор для экспертов с ограниченным бюджетом

Фонд Open Web Application Security Project (OWASP) и сообщество разработчиков открытого исходного кода создали Zed Attack Proxy, или ZAP, в качестве бесплатного инструмента сканирования веб-приложений. ZAP поддерживается выделенными программистами-добровольцами с открытым исходным кодом, а дополнительные возможности можно получить на торговой площадке ZAP.

Основные характеристики

  • Доступно для основных операционных систем и Docker
  • Пакеты сканирования Docker доступны для быстрого запуска
  • Доступна структура автоматизации
  • Доступен комплексный API
  • Доступно ручное и автоматизированное исследование

Профи

  • Бесплатный инструмент
  • Огромное сообщество поддержки
  • ZAP обычно используется тестировщиками на проникновение, поэтому использование ZAP дает отличное представление о том, какие уязвимости могут обнаружить случайные злоумышленники.0020

Минусы

  • Поддержка сообщества с открытым исходным кодом не так отзывчива или непосредственна, как платная поддержка
  • Требуется больше опыта для использования

Цены

ZAP — это бесплатный инструмент с открытым исходным кодом.

Критерии лучшего инструмента сканирования уязвимостей приложений

Существует множество инструментов сканирования уязвимостей веб-сайтов и приложений, и большинство из них обнаружит распространенные критические уязвимости, перечисленные в первой десятке OWASP, такие как SQL-инъекции (SQLi) или Межсайтовый скриптинг (XSS) . Также будет значительное совпадение возможностей с ведущими поставщиками безопасности приложений , поскольку оба типа инструментов проверяют код с использованием аналогичных методов:

  • Динамическое тестирование безопасности приложений (DAST) , которое сканирует работающий код
    • .
  • Статическое тестирование безопасности приложений (SAST) , которое сканирует неиспользуемый код
  • Интерактивное тестирование безопасности приложений (IAST) , которое работает внутри работающего кода и отслеживает производительность и проблемы
  • Анализ состава программного обеспечения (SCA) инструменты анализа компонентов с открытым исходным кодом
  • Инструменты фаззинга преднамеренно используют неожиданные символы, специальные символы, неправильные форматы и другие варианты ввода данных для проверки устойчивости программного обеспечения к неверным вводам

Чтобы составить этот список, мы просмотрели множество веб-сайтов, материалов поставщиков и отзывов клиентов, чтобы создать группу квалифицированных кандидатов на основе их способностей и репутации. Затем мы отфильтровали список специально для поставщиков, специализирующихся на безопасности веб-сайтов и приложений.

Мы намеренно исключили большинство инструментов с открытым исходным кодом (кроме ZAP) из-за их ограниченных функций, интеграций и поддержки. Мы также исключили модули сканирования приложений или функции инструментов корпоративного уровня, таких как Qualys или Tenable.

Рост важности и функциональности веб-сайтов и приложений привлекает внимание злоумышленников, стремящихся использовать любую возможность. Организациям любого размера необходимо использовать инструменты сканирования уязвимостей, чтобы обнаруживать наиболее распространенные уязвимости раньше, чем кто-либо другой.

Чтобы обеспечить эффективное устранение уязвимостей, организациям следует искать инструмент, который позволяет создавать билеты или отслеживать обнаруженные уязвимости. Некоторые инструменты будут отправлять оповещения (электронная почта, Slack и т. д.), а другие будут напрямую интегрироваться с инструментами DevOps. Для наилучшего внедрения группы безопасности и разработчиков должны работать вместе, чтобы выбрать подходящий и эффективный инструмент.

Для получения дополнительной информации о параметрах сканирования уязвимостей см.:

  • Что такое сканирование уязвимостей и как оно работает?
  • Лучшие инструменты для сканирования уязвимостей
  • 12 лучших инструментов управления уязвимостями на 2023 год
  • 10 лучших сканеров уязвимостей с открытым исходным кодом на 2023 год
  • Тестирование на проникновение и тестирование на уязвимости: важная разница
  • Безопасность приложений: полное определение, типы и решения

Поиск

Последние статьи

Ведущие компании по кибербезопасности

Связанные статьи

Сканер уязвимостей — безопасность веб-приложений

УПРАВЛЯЙТЕ СВОЕЙ ВЕБ-БЕЗОПАСНОСТЬЮ С ПОМОЩЬЮ

Повысьте безопасность веб-приложений с помощью сканера уязвимостей Acunetix

Acunetix — это не просто сканер веб-уязвимостей. Это комплексное решение для тестирования безопасности веб-приложений, которое можно использовать как автономно, так и в составе сложных сред. Он предлагает встроенную оценку уязвимостей и управление уязвимостями, а также множество вариантов интеграции с ведущими на рынке инструментами разработки программного обеспечения. Сделав Acunetix одной из ваших мер безопасности, вы можете значительно повысить свою позицию в области кибербезопасности и устранить многие риски безопасности при низких затратах ресурсов.

Автоматизируйте и интегрируйте управление уязвимостями

Чтобы сэкономить ресурсы, упростить исправление и избежать поздней установки исправлений, предприятия часто стремятся включить веб-тестирование уязвимостей в свои процессы SecDevOps. Acunetix — один из лучших инструментов DAST для этой цели благодаря его эффективности как в физической, так и в виртуальной среде.

  • Интеграция с Acunetix разработана так, чтобы быть простой. Например, вы можете интегрировать сканирование Acunetix в конвейер CI/CD с такими инструментами, как Jenkins, всего за несколько шагов.
  • Для эффективного управления уязвимостями вы также можете использовать сторонние средства отслеживания проблем , такие как Jira, GitLab, GitHub, TFS, Bugzilla и Mantis. Для некоторых средств отслеживания проблем Acunetix также предлагает двустороннюю интеграцию, при которой средство отслеживания проблем может автоматически запускать дополнительные проверки в зависимости от состояния проблемы.
  • Acunetix предлагает собственный API , который можно использовать для подключения к другим средствам управления безопасностью и программному обеспечению, разработанному сторонними или собственными силами. В случае корпоративных клиентов технические специалисты Acunetix помогут вам интегрировать инструмент в нестандартные среды.

 

Доверьтесь самому зрелому и быстрому инструменту сканирования уязвимостей

Acunetix — это первый сканер веб-безопасности на рынке, который постоянно совершенствуется с 2005 года. Это очень зрелый специализированный инструмент, разработанный экспертами по тестированию веб-безопасности. Такая специализация позволила создать решение, более эффективное, чем многие инструменты в комплекте.

  • Механизм сканирования уязвимостей Acunetix написан на C++, что делает его одним из самых быстрых инструментов веб-безопасности  на рынке. Это особенно важно при сканировании сложных веб-приложений, использующих много кода JavaScript. Acunetix также использует уникальный алгоритм сканирования — SmartScan, с помощью которого часто можно найти 80% уязвимостей в первые 20% сканирования.
  • Скорость соответствует очень высокой эффективности обнаружения уязвимостей. Acunetix также известен своим очень низким уровнем ложноположительных срабатываний, что помогает вам экономить ресурсы во время дальнейшего тестирования на проникновение и позволяет вашим аналитикам сосредоточиться на новых уязвимостях. Acunetix также предоставляет доказательства использования многих уязвимостей.
  • Чтобы повысить эффективность сканирования, вы можете использовать несколько модулей сканирования , развернутых локально. Движки могут работать как с локальной, так и с облачной версией Acunetix.

Получите дополнительную выгоду, включая сетевую безопасность

Acunetix доступен в версиях, соответствующих различным потребностям клиентов. Его можно развернуть локально в операционных системах Linux, macOS и Microsoft Windows. Вы также можете использовать его как облачный продукт для экономии локальных ресурсов.

  • В дополнение к уязвимостям веб-приложений, таким как SQL-инъекции и межсайтовый скриптинг (XSS), Acunetix помогает обнаружить других угроз безопасности. К ним относятся проблемы с конфигурацией веб-сервера или неправильные настройки, незащищенные активы, вредоносное ПО и другие угрозы безопасности, перечисленные в 10 основных OWASP.
  • Чтобы защитить свои ключевые активы, вы можете использовать уникальную технологию AcuSensor IAST для PHP, Java или . NET. Эта технология помогает устранить проблему, упрощая определение причины бреши в системе безопасности.
  • Acunetix интегрирован с инструментом с открытым исходным кодом OpenVAS. Этот сканер сетевой безопасности помогает вам сканировать диапазоны IP-адресов, чтобы обнаруживать открытые порты и другие уязвимости безопасности, характерные для сетевых устройств. Вы можете совместно обрабатывать веб- и сетевые уязвимости, используя единую панель управления.

Часто задаваемые вопросы


Зачем мне нужно сканирование уязвимостей?

Сканирование уязвимостей — единственный автоматический способ защитить ваш веб-сайт или веб-приложение от вредоносных хакерских атак. Кроме того, вы должны провести ручное тестирование на проникновение после сканирования уязвимостей. Вы должны использовать брандмауэры веб-приложений только в качестве временной защиты, прежде чем вы сможете исправить уязвимости.

Узнайте больше о сканировании уязвимостей и тестировании на проникновение.

Что делает сканер уязвимостей?

Сканер уязвимостей отправляет на ваш веб-сайт или веб-приложение специальные данные — тип данных, которые отправил бы злоумышленник. Однако делает это безопасным способом. Если ответ вашего веб-сайта или веб-приложения показывает, что его можно взломать, сканер уязвимостей сообщит вам об этом и подскажет, как это исправить.

Узнайте, как настроить сканер уязвимостей для сканирования тестового веб-приложения.

Как часто следует запускать сканирование уязвимостей?

Вы должны сканировать свой веб-сайт или веб-приложение каждый раз, когда вы его изменяете. Однако, если вы используете готовые веб-приложения, такие как WordPress, некоторые плагины могут обновляться автоматически, и вы не всегда знаете, вносит ли кто-то изменения.

No related posts.