30+ instrumente gratuite pentru îmbunătățirea securității site-ului dvs. web și a vizitatorilor dvs.

Cyberattacks-ul este o întâmplare zilnică, iar costurile concomitente pentru organizații cresc. Cu toate acestea, puteți atenua dezastrul cibernetic cu instrumente gratuite de securitate a site-urilor care vă vor ajuta să identificați vulnerabilitățile site-ului și să vă păstrați vizitatorii în siguranță, sau mai degrabă … mai siguri. 

S-ar crede că întreprinderile mari au mijloacele și oportunitatea de a-și monitoriza aplicațiile pentru vulnerabilitățile site-urilor. Dar, se pare că nu. Doar câteva exemple:

• Încălcarea din 2013 a ego-deflației a avut loc ca urmare a unui atac de forjare a cookie-urilor care a permis hackerilor să se autentifice ca orice alt utilizator fără parola lor. Analiștii susțin că Yahoo ar fi putut preveni pagubele dacă ar fi luat măsuri mai rapide împotriva intrusilor.
• Primul atac de Panama Papers a fost rezultatul a cel puțin două eșecuri la actualizarea software-ului:
  • O versiune invechită pentru pluginul glisorului de imagine pe WordPress
  • O versiune veche de trei ani a Drupal care conținea mai multe vulnerabilități cunoscute
• A fost nevoie de un programator în vârstă de 17 ani pentru a evidenția o falsificare a cererii de site-uri pe Flickr. Odată notificat, Flikr a fost nevoie de doar 12 ore pentru a remedia defectul.

Vezi si: Cele mai mari încălcări ale datelor din istorie

Deși niciun sistem de securitate – chiar și securitatea din casă – nu este infidel, scanările regulate ale site-urilor web pot merge mult până la protejarea împotriva atacurilor oportuniste asupra activelor tale virtuale. Luați American Fuzzy Lop (AFL), un fuzzer open-source dezvoltat de Michał Zalewski din Google. A ajutat la găsirea vulnerabilităților în diferite aplicații web populare, inclusiv Firefox, Flash, LibreOffice, Internet Explorer și Apple Safari. 

Sfaturi pentru utilizarea instrumentelor gratuite de securitate a site-urilor web 

Multe dintre instrumentele gratuite de securitate a site-urilor analizate aici au caracteristici și funcționalități similare. Adesea este un caz de comparare a merelor cu perele. Nu este nicio infracțiune pentru vânzătorul de securitate de top, dar chiar au dificultăți în a-și distinge produsul de alții:

„Alte câteva plugin-uri de securitate oferă funcții de monitorizare a activității, dar puține le fac bine […] Am redus caracteristicile cheie pe care le-am considerat că sunt cele mai pertinente pentru orice proprietar de site-uri.”

Din acest motiv, am clasificat aceste instrumente și am notat beneficiile și dezavantajele cheie ale fiecăruia. Unele categorii se suprapun; mai ales instrumentele de scanare a vulnerabilității și de testare a penetrării.

Veți observa că lista de instrumente gratuite include unele care sunt utilizate special pentru scanarea aplicațiilor web. Care este diferența dintre un site web și o aplicație? Ben Shapiro de la Segue Technologies oferă un răspuns lung și complet. Dacă doriți răspunsul scurt, stackoverflow îl pune succint:

„[Un site web] este o colecție de documente accesate prin internet printr-un browser web. Site-urile web pot conține, de asemenea, aplicații web, care permit vizitatorilor să efectueze sarcini online, cum ar fi: Căutare, Vizualizare, Cumpărare, Finalizare și Plată.

Important este că ar trebui să adoptați o abordare holistică atunci când vă testați site-ul. Dacă aveți îndoieli, trebuie doar să testați totul. Instrumentele gratuite de securitate a site-ului web vă facilitează și nu vă costă altceva decât timpul.

• Dezvoltați o strategie de testare: Majoritatea instrumentelor de securitate a site-ului web funcționează cel mai bine cu alte tipuri de instrumente de securitate. Un bun exemplu este zona de testare a penetrării. Administratorii utilizează în mod normal scanere de vulnerabilitate înainte de a utiliza un instrument de testare a penetrării pentru ținte specifice, de ex. porturi sau aplicații de rețea. De exemplu, Wireshark este atât un analizator de rețea cât și un instrument de testare a penetrării.

  Un scaner universal de vulnerabilitate este probabil cel mai bun loc pentru a începe. Dar, dacă sunteți interesat în principal de scanarea codului dezvoltatorilor dvs., accesați secțiunea de mai jos a analizatorilor de coduri sursă statice. Vrei să verifici cât de sigure sunt parolele? Am aprovizionat câteva instrumente gratuite de fisurare a parolelor și pentru dvs..

• O singură dimensiune nu se potrivește tuturor: Toate instrumentele gratuite de securitate a site-urilor web prezintă avantaje și dezavantaje și există rareori o soluție unică. De exemplu, ca instrument de analizator, instrumentul de scanare de rețea de top Wireshark face aceeași treabă ca instrumentul Fiddler și mai eficient. Cu toate acestea, Wireshark nu poate adulma traficul în cadrul aceleiași mașini (localhost) pe Windows. Dacă trebuie să adulmați traficul local pe Windows, trebuie să folosiți Fiddler.
• Analiza rezultatelor: Nu aveți încredere în rezultatele unei scanări! Am testat o serie de scanere atât pe site-uri sigure, cât și în condiții de siguranță, iar rezultatele au fost semnificativ diferite. Asta ne aduce la falsuri pozitive. Acestea pot fi enervante, dar rețineți că sunt mai bune decât falsele negative. Ceva la fel de simplu ca o schimbare de configurare sau o actualizare software ar putea declanșa o alertă care ar trebui să fie verificată.
• Obțineți asistență gratuită:  Dacă doriți să utilizați instrumente gratuite, ar trebui să aveți în mod ideal câteva cunoștințe de securitate, deoarece majoritatea instrumentelor gratuite nu au asistență pentru clienți; trebuie să faci singur toată munca murdară. Alternativ, vizitați The Joomla! Forum, forum Ubuntu, ASP.NET, MBSA sau Bleeping Computer pentru a posta întrebările și a căuta soluții.
• Păstrați-l proaspăt: Dezavantajul instrumentelor gratuite este că acestea nu pot fi actualizate în mod regulat cu cele mai recente vulnerabilități cunoscute. Verificați întotdeauna data ultimei versiuni lansate.

Ce trebuie să știți despre instrumentele gratuite de securitate a site-urilor web

Metode de testare

Există trei tipuri principale de instrumente asociate detectării vulnerabilității aplicației:

• Testare cutie neagră – Metoda de testare software care examinează funcționalitatea unei aplicații fără a examina structurile interne ale acesteia. Testarea se concentrează pe ceea ce se presupune că software-ul trebuie să facă, nu cum. În această categorie sunt incluse scanerele de vulnerabilitate, scanerele de securitate a aplicațiilor web și instrumentele de testare a penetrării.
• Testarea cutiei albe – Metoda de testare a software-ului care se concentrează pe structurile interne ale unei aplicații la nivelul codului sursă, spre deosebire de funcționalitatea acesteia. Analizatorii de cod sursă statici și instrumentele de testare a penetrării intră în această categorie. Cu testarea penetrărilor, testarea White Box, conform Wikipedia, se referă la o metodologie în care un hacker White Hat are cunoștințe depline despre sistemul atacat. Scopul unui test de penetrare al cutiei albe este acela de a simula un privilegiat care are cunoștințe și, eventual, informații de bază pentru sistemul țintă..
• Testare cutie gri – În cyberspace, linia care demarcează categoriile s-a estompat, dând naștere acestui nou model de testare, care combină elemente din ambele metode Black Box și White Box..   

Vulnerabilități comune ale site-ului web

Proiectul de securitate pentru aplicații deschise Web (OWASP) este o comunitate deschisă dedicată pentru a permite organizațiilor să dezvolte, să cumpere și să întrețină aplicații de încredere. Este organismul de standarde emergente pentru securitatea aplicațiilor web și publică anual o listă cu cele mai importante 10 vulnerabilități ale site-urilor pentru un an dat.

Pentru fiecare vulnerabilitate, am inclus un link către un site care vă va oferi mai multe detalii tehnice dacă sunteți interesat.

1. Injecție SQL – tehnică de injecție de cod în care instrucțiunile SQL rău intenționate sunt introduse într-un câmp de intrare pentru execuție. Tehnica este utilizată pentru a manipula (de ex. Descărcarea) sau a datelor corupte. Vizează introducerea utilizatorului care nu este validată corespunzător și evadată. Un atacator poate exploata această vulnerabilitate prin înlocuirea intrării utilizatorului cu propriile comenzi, care sunt trimise direct la baza de date. Exemplu: Comisia pentru Filipine privind încălcarea alegerilor.
2. Autentificarea ruptă și gestionarea sesiunilor – Funcțiile de aplicare legate de autentificare și gestionarea sesiunii sunt adesea implementate incorect, permițând atacatorilor să compromită parolele, cheile sau jetoanele sesiunii sau să exploateze alte defecte de implementare pentru a-și asuma identitățile altor utilizatori (temporar sau permanent.) Exemplu: 17 încălcări media.  
3. Scripturi cross site (XSS) – Acest atac vine în mai multe arome. Cel mai de bază, permite atacatorilor să injecteze scripturi din partea clientului în paginile web vizualizate de alți utilizatori. Se bazează pe un concept de încredere de bază cunoscut sub numele de politică de aceeași origine, care spune că, dacă conținutul de pe un site este autorizat să acceseze resurse pe un sistem, orice conținut de pe site-ul respectiv va împărtăși aceste permisiuni. După încălcarea unui site de încredere, atacatorii pot include conținutul lor rău intenționat în conținutul care este livrat site-ului client și pot avea acces la comorile informaționale ale acestuia.. Exemplu: XSS stocată de EBay.
4. Control de acces rupt – Atacatorii pot folosi scurgeri sau defecte în funcțiile de autentificare sau de gestionare a sesiunii (de exemplu, conturi expuse, parole, ID-uri de sesiune) pentru a imprima utilizatorii. Exemplu: Încălcarea prietenilor adulți.
5. Defecțiuni de configurare de securitate – Acesta este rezultatul „asamblării incorecte a garanțiilor aplicației web”, lăsând o gaură de securitate respirabilă într-un server, bază de date, cadru sau cod.. Exemplu: Încălcarea alegătorilor mexicani.
6. Expunerea datelor sensibile – Multe aplicații web și API-uri nu protejează în mod corespunzător informațiile sensibile, cum ar fi datele financiare sau de asistență medicală. Atacatorii pot fura sau modifica date slab protejate pentru a efectua fraude cu cardul de credit, furt de identitate sau alte infracțiuni. Datele sensibile merită o protecție suplimentară, cum ar fi criptarea în repaus sau în tranzit, precum și precauții speciale atunci când sunt schimbate cu browserul. Exemplu: Institutul indian de gestionare a încălcării.
7. Protecție insuficientă împotriva atacului – Majoritatea aplicațiilor și API-urilor nu au capacitatea de bază de a detecta, preveni și răspunde atât la atacuri manuale, cât și automatizate. Protecția împotriva atacurilor depășește cu mult validarea de intrare de bază și implică detectarea automată, logarea, răspunsul și chiar blocarea încercărilor de exploatare. De asemenea, proprietarii de aplicații trebuie să poată implementa rapid patch-uri pentru a se proteja împotriva atacurilor. Exemplu: Cei trei încălcări.
8. Falsificarea cererilor de site-uri (CSRF) – Forțează un utilizator final să execute acțiuni nedorite pe o aplicație web în care sunt autentificate în prezent fără cunoștința lor. Prin atragerea unui utilizator pe un site web controlat de un atacator, un hacker poate modifica cererile utilizatorului către server. Exemplu: Atac pe Facebook.
9. Utilizarea componentelor cu vulnerabilități cunoscute – Componentele, cum ar fi bibliotecile, cadrele și alte module software rulează cu aceleași privilegii ca și aplicația. Dacă este exploatată o componentă vulnerabilă, un astfel de atac poate facilita pierderea de date sau preluarea serverului. Aplicațiile și API-urile care folosesc componente cu vulnerabilități cunoscute pot submina apărarea aplicațiilor și vor permite diverse atacuri și impacturi. Exemplu: Încălcarea Mossack Fonesca (Panama Papers).
10. API-uri subprotejate – Aplicațiile moderne implică adesea aplicații client și API-uri bogate, cum ar fi JavaScript în browser și aplicații mobile care se conectează la un API de un fel (SOAP / XML, REST / JSON, RPC, GWT, etc.). Aceste API sunt adesea neprotejate și pot conține numeroase vulnerabilități. Exemplu: Scurgerea McDonalds.

Scanere de vulnerabilitate

Un scaner de vulnerabilitate este un software specializat care vă scanează rețeaua, sistemul sau serverele pentru a identifica erori, găuri de securitate și defecte. Acesta testează automat un sistem cunoscut vulnerabilități. Identifică mai întâi porturile deschise; adrese și loghi-uri Internet Protocol active (IP); și sisteme de operare, software și servicii active. Apoi, compară informațiile pe care le găsește împotriva vulnerabilităților cunoscute din baza de date sau a unei baze de date terțe. La omul din stradă, funcționează mult așa cum face software-ul antivirus pentru grădină, dar este mult mai sofisticat. De exemplu, cele mai bune scanere de vulnerabilitate sunt suficient de inteligente încât să includă componente de gestionare a patch-urilor și testarea penetrării. Există unele suprapuneri între scanerele de vulnerabilitate și instrumentele de testare a penetrării. Acestea din urmă folosesc vulnerabilitățile descoperite de scanere pentru a efectua încălcări și dovedesc capacitatea de a compromite vulnerabilitatea. Următoarele sunt instrumente complet gratuite.   

Sistem deschis de evaluare a vulnerabilității (OpenVAS)

OpenVAS este un kit de securitate de scanare format din diverse servicii și instrumente. Scanerul în sine nu funcționează pe mașinile Windows, dar există un client pentru Windows. Acesta primește un flux, actualizat zilnic, de peste 30000+ teste de vulnerabilitate în rețea (NVT). Instrumentul a fost trimis din ultima versiune gratuită a Nessus, un alt scaner de vulnerabilitate, după ce a intrat în proprietate în 2005. Oficiul Federal German pentru Securitatea Informațiilor (BSI) folosește OpenVAS ca parte a cadrului lor de securitate IT.

Pro:

• Baza de date cu vulnerabilități masive
• Capacitate de scanare simultană
• Scanări programate
• Managementul fals pozitiv
• Gratuit pentru IP-uri nelimitate
• Bine atotcuprinzător

Con:

• Nu este cel mai ușor instrument de instalat pentru începători
• Componenta principală – motorul de scanare – necesită Linux

Analizorul de securitate de bază Microsoft (MBSA)

MBSA scanează desktopurile și serverele Microsoft pentru actualizări de securitate lipsă, corecții de securitate și configurații greșite de securitate.

Pro:

• Interfața prietenoasă vă permite să scanați mașini locale sau la distanță; selectați o singură mașină de scanat sau alegeți un întreg domeniu sau specificați o gamă de adrese IP; și alegeți exact ce doriți să scanați, de ex. parole slabe sau actualizări Windows
• Oferă sugestii de remediere specifice atunci când sunt descoperite vulnerabilități
• Forumul activ oferă asistență de calitate

Con:

• Nu scanează software-ul non-Microsoft
• Nu scanează vulnerabilități specifice rețelei

Nexpose Community Edition

Direcționat către întreprinderile mici, precum și persoanele care folosesc mai multe calculatoare conectate la o rețea locală, Nexpose poate scana rețele, sisteme de operare, aplicații web, baze de date și medii virtuale. Se integrează cu popularul Metasploit Framework, un instrument pentru dezvoltarea și executarea codului de exploatare împotriva unei mașini țintă la distanță. Implicat este o comunitate foarte activă de testatori de penetrare și cercetători de securitate care conduc dezvoltarea acestor exploatări care sunt apoi transformate în definiții ale vulnerabilității.

Pro:

• Include o opțiune plăcută pentru a stabili politicile pentru a defini și urmări standardele de conformitate necesare
• Permite vizualizarea detaliată a datelor scanate
• Poate fi instalat pe Windows, Linux sau mașini virtuale

Con:

• Versiunea gratuită este limitată la 32 de IP-uri simultan

SecureCheq

TripWire numește SecureCheq o utilitate de evaluare a configurației. Acesta testează aproximativ două duzini de erori de configurare critice, dar comune legate de întărirea sistemului de operare, protecția datelor, securitatea comunicării, activitatea contului utilizatorului și înregistrarea auditului. Acest instrument gratuit ar funcționa cel mai bine în combinație cu un scaner mai robust, cum ar fi Microsoft Baseline Security Analyzer (MBSA).

Pro:  

• Ușor de utilizat pentru începători
• Oferă sfaturi detaliate de remediere și reparații

Con:

• Scanează doar local pe mașini Microsoft
• Versiunea gratuită a acestui instrument oferă doar aproximativ un sfert din setările versiunii plătite  

Qualys FreeScan

Scaner ușor care poate fi utilizat pentru a evalua starea vulnerabilității site-ului dvs. și vă poate ajuta să luați o decizie cu privire la ce nivel de protecție trebuie să mergeți înainte. Un nume de încredere, Qualys a fost prima companie care a furnizat soluții de gestionare a vulnerabilității ca aplicații pe web folosind un model „software ca serviciu” (SaaS)..

Pro:

• Scanarea perimetrală Scanarea aplicațiilor web
• Detectarea programelor malware

Con:

• Limitat la zece scanări de securitate unice ale activelor accesibile pe internet

acaparator

Instrument simplu și ușor care scanează vulnerabilitățile de bază ale aplicațiilor web. Se adresează dezvoltatorilor care doresc să personalizeze scanări mici în timpul procesului de codare.

Pro:

• Util pentru site-uri web mici

Con:

• Fără GUI
• Rapoarte doar în format XML
• Tinde să fie un pic cam lent

Wapiti

Efectuează testarea Black Box a aplicațiilor web. Nu trece în revistă codul sursă al aplicației, ci va scana paginile web ale unei aplicații implementate, căutând scripturi și formulare în care poate injecta date. Înarmat cu aceste date, acționează ca un fuzzer, injectând sarcini utile pentru a vedea dacă un script este vulnerabil.

Pro:

• Generează rapoarte de vulnerabilitate în diferite formate (de exemplu, HTML, XML, JSON, TXT)
• Poate suspenda și relua o scanare sau un atac
• Poate evidenția vulnerabilitățile cu culoarea terminalului

Con:

• Linia de comandă
• Poate produce multiple pozitive false

w3af

Acesta este un cadru de atac și audit de aplicații web care poate fi utilizat împreună cu instrumentele de testare a penetrării. Sponsorii includ Openware (acum Globant), Cybsec, Bonsai și Rapid7. Compania este un colaborator entuziast la conferințele T2 Infosec, dedicate celor interesați de aspectele tehnice ale securității informațiilor..

Pro:

• Aplicație open-source populară, bine acceptată
• GUI ușor de utilizat
• Ușor extensibil
• Identifică peste 200 de vulnerabilități
• Utilizează pluginuri w3af, care sunt bucăți de cod Python care extind funcționalitatea cadrului prin furnizarea de noi modalități de extragere a adreselor URL sau de a găsi vulnerabilități
• Compatibil cu toate platformele acceptate Python

Con:

• Acceptă Windows, dar nu oficial

Software de testare a penetrației

Un test de penetrare (test pen) este un atac simulat autorizat asupra unui sistem informatic care caută deficiențe de securitate necunoscute. Un instrument de testare a pixului emulează în esență un hacker, cu scopul final de a testa capacitățile de apărare ale organizației împotriva atacului simulat. În timpul unui test de stilou, se utilizează un amestec de scanări automate și tehnici de exploatare manuală. De exemplu, un instrument automat precum Nmap, care oferă descoperirea de bază a rețelei, poate fi utilizat într-un cadru de exploatare (de exemplu, Metasploit).

Testarea pixului necesită abilități extrem de specializate. Pentru a începe, PentesterLabs oferă exerciții gratuite de antrenament, iar mai jos veți găsi o listă cu instrumente open source și instrumente gratuite pentru a vă începe.

Proxy Zed Attack (ZAP)

Instrument integrat de testare a pixului pentru găsirea vulnerabilităților în aplicațiile web. Funcționează ca un proxy între browserul web al utilizatorului și o aplicație pentru a permite testarea automată și manuală a securității aplicațiilor web. Poate ajuta dezvoltatorii să găsească automat vulnerabilități de securitate în aplicațiile web în timp ce le dezvoltă. De asemenea, utilizat de testerele pen pentru testarea manuală a securității prin introducerea unei adrese URL pentru a efectua scanarea sau folosirea instrumentului ca proxy de interceptare. Între 2013 și 2016, Zap a fost votat fie primul, fie cel de-al doilea în fiecare an în cadrul Instrumentului de Securitate Anual Cel mai bun gratuit / deschis sursă pentru instrumente de securitate ToolsWatch..

Pro:

• Complet gratuit
• Ușor de instalat
• Rulează de obicei ca o interfață de utilizator interactivă și acționează ca un proxy interceptant, astfel încât să puteți schimba dinamic cererile

Con:

• Proiectat în primul rând pentru a vă ajuta să găsiți manual vulnerabilitățile de securitate
• Nu este intenționat să funcționeze ca un scaner pur automatizat

Lăutar

Acest instrument este clasificat ca o aplicație de server proxy. Este utilizat în principal pentru interceptarea și decriptarea traficului HTTPS. Utilizatorii pot juca și inspecta acel trafic pentru a identifica vulnerabilitățile din aplicație. Watcher este un addon Fiddler, conceput pentru a ajuta testerii de penetrare în găsirea pasivă a vulnerabilităților aplicațiilor web.

Pro:

• Depurați traficul de pe sistemele PC, Mac sau Linux și dispozitivele mobile (iOS și Android)
• Poate captura trafic local folosind numele mașinii ca nume de gazdă, mai degrabă decât „localhost”

Con:

• Este acceptat doar pe Windows

Metasploit

Cadru care permite testerilor de stilou să acceseze și să execute exploatări dovedite, care sunt stocate în baza de date Metasploit. Cadrul are cea mai mare bază de date din exploatările testate publice. S-a clasat constant printre primele zece instrumente de aplicație de securitate de la înființare. Meterpreter afișează rezultatele după ce a avut loc o exploatare.

Pro:

• Baza de date de exploatări mari
• Colecție extinsă de instrumente pentru efectuarea testelor

Con:

• Linia de comandă

Kali Linux

Kali Linux este instrumentul final pentru testarea stiloului ofensiv și unul dintre cele mai populare cadre de securitate din industrie. Cu toate acestea, potrivit dezvoltatorilor, „NU este o distribuție recomandată dacă nu sunteți necunoscut cu Linux sau căutați o distribuție desktop desktop Linux cu scop general pentru dezvoltare, design web, jocuri etc.”

Pro:

• Înclude mai mult de 300 de programe de testare a penetrării și auditare a securității

Con:

• Nu va funcționa într-o mașină virtuală decât dacă utilizați un dongle wireless extern USB

Scanere de rețea

Scanerele de rețea mapează întreaga rețea și determină ce este conectat la aceasta. Acestea pot căuta gazde și porturi deschise și pot identifica toate versiunile de software și hardware utilizate. Consultați următoarele instrumente gratuite.

Network Mapper (NMap)

Folosit pentru descoperirea rețelei și auditul de securitate. Utilizează pachete IP brute în moduri noi de a determina ce gazde sunt disponibile în rețea, ce servicii oferă, ce sisteme de operare rulează și ce tip de filtre de pachete / firewall sunt utilizate. Poate fi utilizat pentru a furniza informații pentru a planifica atacurile de testare a stiloului injector (pen). Fapt amuzant: Nmap a fost (aparent) prezentat în douăsprezece filme, printre care The Matrix Reloaded, Die Hard 4, Girl With the Dragon Tattoo și The Bourne Ultimatum.

Pro:

• Include versiuni de linie de comandă și GUI
• Funcționează pe toate sistemele de operare majore, cum ar fi Windows, Linux și Mac OS X
• Zenmap este GUI-ul oficial pentru Nmap, ceea ce facilitează începerea începătorilor

Con:

• Nu există scanare proxy
• Ca scaner portuar, acesta poate fi „tare”. Scanerele port necesită generarea de mult trafic de rețea. Există o relație inversă între furt și viteză, astfel încât scanerele portului pot încetini o rețea și / sau ieși în evidență în rețea, cum ar fi proverbialul elefant din cameră, adică să fie „tare”.

Wireshark

Analizator de rețele de protocol și pachete de date și instrument de testare a stiloului cu un puternic sistem de filtrare. Wireshark are o armată uriașă de experți în rețele de voluntari pe tot globul.

Pro:

• Permite utilizatorilor să specifice ce tip de trafic vor să vadă, de ex. doar pachete TCP
• Poate captura pachete din VLAN, Bluetooth, USB și alte tipuri de trafic de rețea Disponibil pentru aproape orice platformă, inclusiv Linux, Windows, Mac, Solaris și OpenBSD
• Opțiuni puternice de filtrare în GUI ușor de utilizat

Con:

• Curba de învățare abruptă, cu excepția cazului în care înțelegeți rețelele TCP / IP

Analizoare statice de cod sursă

Analizoarele statice de cod automatizează verificarea rapidă a codului fără a efectua efectiv codul. Deoarece se uită doar la codul sursă al unei aplicații, nu trebuie să configurați întreaga stivă de aplicații pentru a le utiliza. Aceste instrumente sunt de obicei specifice limbii și pot ajuta dezvoltatorii în identificarea problemelor de securitate. Testarea unităților și recenziile codurilor completează analiza statică a codurilor. Cel mai mare dezavantaj al acestor instrumente gratuite este faptul că acestea generează adesea multe pozitive false.

VisualCodeGrepper

Functioneaza cu C++, C #, VB, PHP, PL / SQL, și Java.

Pro:

• Căutări pentru încălcări specifice ale recomandărilor OWASP
• Permite configurații de interogare personalizate, astfel încât să puteți adăuga funcții suplimentare

Con:

• Are o listă setată de vulnerabilități care nu pot fi modificate

Analiză ușoară pentru securitatea programelor în Eclipse (LAPSE +)

Plugin Eclipse care detectează vulnerabilitățile injecției de date de încredere în Java Aplicații EE. Funcționează căutând o „scurgere de vulnerabilitate” dintr-o sursă de vulnerabilitate. Sursa unei vulnerabilități se referă la injectarea de date neîncredibile, de ex. în parametrii unei solicitări HTTP sau a unui cookie. Termenul „scufundare” se referă la procesul de modificare a datelor pentru a manipula comportamentul unei aplicații, de ex. o pagină HTML.

Pro:

• Testează logica de validare fără a compila codul

Con:

• Nu identifică erori de compilare
• Limitat la ID-uri Eclipse

frânar

interoghează Rubin pe șine cod. Este folosit de Twitter, GitHub și Groupon.

Pro:

• Configurare și configurare ușoară
• Scanări rapide

Con:

• Poate afișa o rată mare de fals pozitiv

RIPS

Potrivit RIPS, „Prin testarea și analizarea tuturor fișierelor cu cod sursă, RIPS este capabil să se transforme PHP codul sursă într-un model de program și pentru a detecta chiuvetele sensibile (funcții potențial vulnerabile) care pot fi reduse prin introducerea utilizatorului (influențate de un utilizator rău) în timpul fluxului de program. Pe lângă rezultatele structurate ale vulnerabilităților constatate, RIPS oferă un cadru de audit integrat al codului. ”În 2016, o versiune rescrisă a RIPS a fost lansată ca produs comercial de RIPS Technologies, o companie de înaltă tehnologie cu sediul în Germania..

Pro:

• Configurare și configurare ușoară
• Scanări rapide

Con:

• Versiunea gratuită este limitată și acceptă doar 15 tipuri de vulnerabilitate

FxCop

Analizează ansamblurile de coduri gestionate (cod care vizează .NET Cadru limbaj comun runtime.) Acesta este un bun exemplu despre cum să utilizați instrumente complementare în caseta de instrumente. FxCOP, conform excella, funcționează cel mai bine în combinație cu un instrument de analizor de cod static, cum ar fi StyleCop, deoarece ambele instrumente au abordări diferite de analiză de cod. „StyleCop rulează împotriva codului sursă C #, dar nu poate analiza VB.NET sau un alt cod sursă de limbă .NET. FxCop se execută împotriva binarelor compilate .NET, dar nu poate analiza codul sursă și aspecte precum utilizarea corectă a unor paranteze, spațiu alb sau comentarii. “

Pro:

• Metadatele de asamblare funcționează cu codul creat în orice limbă .NET
• Un set extins de reguli disponibile din cutie

Con:

• Limitat la metadatele de asamblare
• Produce un singur tip de raport

Bandit

Bandit este un linter de securitate (un program care scanează codul sursă și semnalizează orice construcții care ar putea fi erori) pentru codul sursă Python, utilizând modulul ast din biblioteca standard Python. Modulul ast este utilizat pentru a converti codul sursă într-un arbore parsat de noduri de sintaxă Python. Bandit permite utilizatorilor să definească teste personalizate care sunt efectuate pe nodurile respective.

Pro:

• Extrem de personalizabil, de ex. diverse pluginuri pot fi dezactivate sau anumite directoare pot fi excluse din scanări
• Utilizatorii își pot scrie, de asemenea, propriile pluginuri personalizate

Con:

• Fără GUI

Instrumente fuzzing

Testarea fuzz (fuzzing) este utilizată pentru a identifica erorile de codare și vulnerabilitățile de securitate. Aceasta implică introducerea unor cantități mari de date aleatorii în încercarea de a face o aplicație sau o rețea blocată.

American Fuzzy Lop (AFL)

Un instrument de testare a fuzz-urilor cu sursă deschisă, acoperită, dezvoltat de Michał Zalewski de la Google. El descrie instrumentul său drept „un fuzzer cu forță brută, cuplat cu un algoritm genetic extrem de simplu, dar solid-rock, ghidat de instrumentare.” AFL a găsit vulnerabilități în diverse aplicații web populare, inclusiv Firefox, Flash, LibreOffice, Internet Explorer și Apple Safari.

Pro:  

• Ceea ce Zalewski numește „UI de șold, stil retro”
• Eficacitate dovedită

Con:  

• Trebuie să fiți puțin retro pentru a aprecia cu adevărat GUI (de modă veche)

Sulley Fuzzing Framework

Un cadru popular de testare fuzzing și fuzzing format din mai multe componente extensibile. Ceea ce o face diferită de alte fuzzere este că nu este pur și simplu un instrument de generare de date. Acesta detectează, urmărește și clasifică defecțiunile detectate; poate fuzz în paralel, crescând semnificativ viteza de testare; și poate determina automat ce secvență unică de cazuri de test declanșează defecțiuni. Boofuzz ​​este o furculiță a cadrului fuzzing Sulley.  

Pro:  

• Complet automat – după ce a provocat o defecțiune, poate reseta automat sistemul înapoi la o stare de normalitate și apoi continuă să fuzzze un nou caz de testare

Con:

• Nu există actualizări recente ale versiunii

Instrumente de fisurare prin parolă

Aceste instrumente gratuite sunt utilizate de administratorii de securitate pentru a găsi parole slabe și vulnerabile, care ar putea fi ușor compromise de un hacker. Cele mai frecvente trei atacuri de parole sunt:

• Dicţionar: Utilizează un fișier furnizat care conține o listă de cuvinte din dicționar.  
• Forta bruta: Utilizând o listă de dicționar, încearcă sistematic toate combinațiile posibile pentru o parolă. Dacă atacatorul nu are noroc, acest proces ar putea dura ceva, în special pentru parolele lungi care folosesc o combinație de litere, numere și simboluri..
• Masa curcubeu: Majoritatea bazelor de date stochează hash-uri criptografice ale parolelor utilizatorilor într-o bază de date. Nimeni nu poate determina parola unui utilizator pur și simplu uitându-vă la valoarea stocată în baza de date. Când un utilizator introduce parola lui, ea este salvată și această ieșire este comparată cu intrarea stocată pentru acel utilizator. Dacă cele două hașe se potrivesc, accesul este acordat. Un tabel hash este un fel de tabel de referință folosit de hackeri. Aceste hashuri de parole precomputate sunt stocate în tabel pentru a reduce timpul necesar pentru a sparge o parolă. Mesele curcubeu merg cu un pas mai departe prin reducerea dimensiunii mesei hașei, făcându-le mai eficiente. ”  

THC Hydra

THC Hydra este un instrument de hacking de conectare la rețea care folosește dicționar sau atacuri de forță brută pentru a încerca diverse combinații de parole și autentificare împotriva unei pagini de conectare.  

Pro:

• Suporta un set larg de protocoale, inclusiv poștă (POP3, IMAP, etc.), LDAP, SMB, VNC și SSH
• Suportă majoritatea platformelor majore

Rangă

Instrument de atac cu forță brută, care poate fi utilizat în timpul încercărilor de penetrare.

Pro:

• Crowbar poate utiliza tastele SSH în loc de numele de utilizator și parola tipice

Con:

• Numai linie de comandă

John the Ripper

Utilizează tehnica de atac a dicționarului. Este o variantă bună, care cuprinde o suită de diverse combinații de fisurare a parolelor.

Pro:

• Posibilitatea de a detecta automat tipurile de hașe de parolă
• Suportă majoritatea platformelor majore

Ophcrack

Cracker cu parolă Windows bazat pe tabelele curcubeu.

Pro:

• Include modul brute-force pentru parole simple
• Suportă majoritatea platformelor majore

Instrumente de securitate WordPress

Instrumentele de securitate specializate pentru site-urile WordPress pot fi furnizate la wordpress.org. WordPress este atât de popular încât există o mulțime de recenzii pentru plugin-uri, oferind o imagine de ansamblu destul de obiectivă a caracteristicilor unui instrument. Să ne uităm la câteva dintre cele mai populare oferte.

WordFence

Include securitatea de conectare; Funcții de blocare IP; scanare de securitate pentru malware și „aer liber”; paravan de protectie; și opțiuni extinse de monitorizare.

Securitatea iThemes

Descris de dezvoltatori drept pluginul de securitate WordPress # 1. Cu toate acestea, citiți recenziile negative înainte de a descărca acest plugin. Un recenzor cu ochi de vultur a subliniat că atunci când iThemes s-a arătat compromisă și ulterior atacată în 2016, au implementat un nou firewall de la rivalul Sucuri. Conteaza? Tu ești judecătorul.

Securitate Sucuri

Cel mai bun lucru Sucuri Security este că toate funcțiile sunt gratuite. Pluginul premium a fost depreciat încă din 2014 și toate funcțiile majore au fost îmbinate în pluginul gratuit.

Instrumente de scanare online

Instrumentele gratuite online sunt rapide și ușor de utilizat. Cu toate că nu li se garantează identificarea concludentă a vulnerabilităților site-ului dvs. web, acestea vă pot ajuta să identificați zonele care necesită investigații suplimentare.

Sucuri

Introduceți adresa site-ului pentru o sinteză gratuită a vulnerabilităților potențiale ale site-ului Verifică programele malware cunoscute, starea listării negre, erorile site-ului web și software-ul învechit.

Pro:

• Nu este necesar să introduceți adresa de e-mail pentru a primi rezultate

Verificare WP

Include o listă cuprinzătoare de probleme de site-uri, inclusiv performanță, SEO și securitate.

Pro:

• Oferă mai multe informații decât alte instrumente. Durează puțin să scaneze (dar asta este bine, nu?)
• Nu este necesar să introduceți adresa de e-mail, dar puteți solicita ca rezultatele să vă fie trimise prin e-mail

Con:

• Trebuie să vă înscrieți la un proces gratuit de 30 de zile pentru a afla cum să remediați probleme grave
• Limitat la o scanare pe zi

Testul Qualys SSL Server

Realizează o analiză profundă a configurației serverelor web SSL.

Pro:

• Nu este nevoie să vă înregistrați
• Oferă o listă cuprinzătoare de probleme de obsolescență și compatibilitate SSL

Inspector Web

Scanează pagina web pentru a vedea dacă este rău sau nu.

Con:

• Va scana doar o singură pagină simultan

ASafaWeb

Nu încearcă nicio secvență de atac sau altă activitate malițioasă; pur și simplu face unele solicitări benigne pentru a vedea cum răspunde site-ul.

Pro:

• ASafaWeb are un site dedicat, nu atât de sigur, exclusiv pentru scopuri demo pe notasafaweb.apphb.com, pe care îl puteți scana și vizualiza rezultatele.

SecurityHeaders.io

Acest instrument gratuit testează anteturile site-ului web. Potrivit dezvoltatorului, anteturile de răspuns HTTP pe care le analizează acest site oferă niveluri imense de protecție. De exemplu, Politica de securitate a conținutului (CSP) este o măsură eficientă pentru a vă proteja site-ul împotriva atacurilor XSS. Prin listarea completă a surselor de conținut aprobate, puteți împiedica browserul să încarce active dăunătoare.

Pro:

• Rapid și oferă descrierea completă a anteturilor care lipsesc și modul de rezolvare a eventualelor probleme

Incotro acum?

Accesați site-ul web al proiectului de evaluare a vulnerabilității scanerului de aplicații web (wavsep). Wavsep este o platformă de evaluare care conține o colecție de pagini web unice vulnerabile care pot fi folosite pentru a testa diversele proprietăți ale scanerelor de aplicații web. Puteți vizualiza analizele modului în care diverse scanere, atât gratuite, cât și comerciale, au fost testate împotriva wavsep aici. Rezultatele indică cât de exacte sunt aceste scanere în identificarea vulnerabilităților comune ale site-ului și cât de multe falsuri pozitive au aruncat în testele de referință. Pe site-ul Wavsep veți găsi multe dintre instrumentele gratuite menționate în acest post.

Testare fericită!

„Crackers” de elhombredenegro autorizați conform CC BY 2.0