Als u het technologienieuws volgt, heeft u ongetwijfeld veel berichten gezien over datalekken of gehackte websites. Dat komt doordat, hoe ver de technologie ook is gevorderd, hacking niet achterblijft. Hackingtools en -technieken worden steeds geavanceerder en bedreigender, en als u wilt dat uw software veilig is, moet u de concurrentie voorblijven.
En daarvoor zijn tools voor security testing en penetratietesten. Hun primaire functie is het controleren van software op kwetsbaarheden die tot hacking en datalekken kunnen leiden, zonder toegang te krijgen tot de broncode.
Die kwetsbaarheden moeten onmiddellijk worden geïdentificeerd en aangepakt, wat gebeurt door middel van continue en geautomatiseerde scanprocedures die erop gericht zijn potentiële mazen in de software te vinden.
Er zijn een aantal tools voor security testing op de markt, dus we hebben deze lijst teruggebracht tot de top 10 open-source web testing tools, omdat deze gratis zijn en aangepast kunnen worden aan uw specifieke vereisten.
Hier gaan we!
Netsparker-review
Netsparker is een geweldige tool met als belangrijkste voordeel dat hij gemakkelijk te gebruiken is. Zulke gebruiksvriendelijkheid onderscheidt deze tool van de rest. Bovendien is het een krachtig hulpmiddel dat zeer nauwkeurige resultaten oplevert. Het kan kwetsbaarheden zoals SQL-injectie en cross-site scripting identificeren, naast meer dan 1000 andere. U kunt elke webgerelateerde app scannen en controleren op codeerfouten.
Deze tool verifieert uniek de geïdentificeerde kwetsbaarheden en bewijst dat het geen false positives zijn, maar echte problemen. Zo’n mogelijkheid bespaart u tijd op het handmatig verifiëren van de geïdentificeerde kwetsbaarheden na een scan.
- Schone en gebruiksvriendelijke UI
- Voldoende selectie van workflows
- Talrijke kwetsbaarheidspunten om te testen
- Detectie van false positives
- Bewijs van exploit voor kwetsbaarheden
- Fatsoenlijke klantenservice
- Integraties alleen met populaire systemen
- Beperkt aantal te scannen URL’s
- Niet-concurrerende prijzen
- Meest geschikt alleen voor bedrijven die veel API-aanroepen gebruiken
- Lange tijd nodig om een scan te voltooien
“Ik werk graag met NetSparker omdat het zeer aanpasbaar is wat betreft de te scannen technologieën. U werkt in feite eerst hard, en nadat u de perfecte instellingen voor de kwetsbaarheidsscan heeft gevonden, kunt u deze toepassen op vergelijkbare apps, wat enorm veel tijd bespaart. Aan de andere kant wilt u misschien enkele technologieën verwijderen die de scan zal controleren als u verwacht dat het een snel proces wordt. Bovendien is de tool aan de prijzige kant, wat een groot nadeel kan zijn voor kleinere merken,”
OpenVAS-review
OpenVAS is een tool voor kwetsbaarheidsanalyse die wordt gebruikt om servers en netwerkapparaten te scannen. Deze scanner zoekt naar een IP-adres en controleert op openstaande services door open poorten, onjuiste configuraties en kwetsbaarheden in bestaande objecten te scannen. Na voltooiing van de scan wordt er een automatisch rapport gegenereerd en per e-mail verzonden voor verdere studie en correctie.
Als u al uw eigen incident response- of detectiesysteem heeft, dan helpt OpenVAS u bij het verbeteren van uw netwerkmonitoring met netwerktesttools en algemene waarschuwingen.
- Gratis
- Heeft een grote community
- Gemakkelijk te gebruiken
- Perfect voor snelle voorlopige scans
- Kan de nauwkeurigheid van externe testresultaten snel valideren
- Niet geschikt voor beveiligingsscans op ondernemingsniveau
- Rapporten zijn niet gemakkelijk te begrijpen
- UI is niet zo verfijnd als die van concurrenten
- Plugins worden niet regelmatig bijgewerkt
- Alleen scans zonder referenties
Nessus-review
Nessus Professional is voor beveiligingsprofessionals die zich bezighouden met patches, softwareproblemen, tools voor het verwijderen van malware en adware, evenals onjuiste configuraties in een breed scala aan besturingssystemen en applicaties.
Nessus introduceert een proactief beveiligingsproces, identificeert kwetsbaarheden voordat hackers ze gebruiken om het netwerk binnen te dringen, en elimineert ook de nadelen van remote code execution. Het zorgt voor de meeste netwerkapparaten, inclusief virtuele, fysieke en cloud-infrastructuur.
- Veel verschillende scantypes
- Handige categorisatie van kwetsbaarheden
- Duidelijke rapportage en hersteladviezen
- Plugins voor bijna elk OS en apparaat
- Grote communityondersteuning
- Falen van de scan voltooiingsstatus
- Beperkt aantal functies in gratis versie
- Niet geschikt voor penetratietesten
- Tijdrovende scans en toolupdates
- Overbodige plugins in plugin-groepen zonder uitschakeloptie
“Ik vertrouw op Nessus wanneer ik een infrastructuuraudit uitvoer voor een klant of de opdracht krijg softwarefouten en ontbrekende patches in webapplicaties te identificeren. Wat ik goed vind aan Nessus is het gebruiksvriendelijke UI-ontwerp en een overvloedige lijst met plugins om verschillende kwetsbaarheden te beoordelen. Tegelijkertijd zou ik zeker een upgrade in snelheid waarderen, zodat ik niet elke scan in kleinere delen hoef op te splitsen. De rapportagetool is behoorlijk basic, en sommigen zien het misschien als een nadeel, maar voor mij werkt het prima – het toont alle essentiële zaken die u nodig heeft om de juiste beslissing te nemen,”
Acunetix-review
Acunetix is een volledig geautomatiseerde tool voor penetratietesten die meer dan 4500 kwetsbaarheden in webapplicaties detecteert en rapporteert. Maar wat het onderscheidt van andere tools, is het vermogen om duizenden pagina’s te doorlopen zonder onderbrekingen.
Deze webkwetsbaarheidsscanner automatiseert taken die handmatig urenlang kunnen duren, en levert snelle en nauwkeurige resultaten zonder false positives. Het ondersteunt volledig JavaScript, HTML5, CMS-systemen en single-page applications en kan gemakkelijk vele soorten technische en compliance-rapporten genereren.
- Waarschuwingen gecategoriseerd naar risiconiveau
- Gemakkelijk te begrijpen rapporten
- Relatief snelle scans
- Continue scanoptie
- Ingebouwde functies die verder gaan dan kwetsbaarheidsscans
- Sterke gebruikersgemeenschap
- Gevallen van scans die vastlopen zonder optie om te hervatten
- Authenticatieproblemen met enterprise-apps met meerdere eindpunten
- Handmatige beoordeling van false positives
- Vaak wisselende prijsplannen
- Vervelend waarschuwingssysteem
Retina-review
Retina vulnerability scanner is een open-source tool voor het testen van de beveiliging van webapplicaties die kwetsbaarheden centraal beheert. De functies omvatten patching, compliance, configuratie en rapportage.
Het zorgt voor databases, werkstations, servers, analyseert en webapplicaties met volledige ondersteuning voor het integreren van VCenter en virtuele applicatiescanningomgevingen. Het zorgt voor verschillende platforms en biedt een complete cross-platform kwetsbaarheidsbeoordeling en beveiliging.
- Relatief snelle scans
- Vaak bijgewerkte bedreigingsdatabase
- Zeer geschikt voor zowel kwetsbaarheidsscans als basis penetratietesten
- Patch management service + gedragsanalyse
- Eenvoudige implementatie
- Vriendelijke UI
- Heeft een krachtige server nodig om soepel te draaien
- Zeer basale rapportage
- Hoge ondersteuningskosten
- Voorgestelde oplossingen zijn grotendeels voorlopig
- Frequente server verbindingsproblemen, resulterend in handmatige installatie van updates
“Wat betreft functies en algemene functionaliteit komt Retina erg dicht in de buurt van Nessus, en het is de afgelopen jaren erg goed geüpgraded. Ik vind het erg prettig dat het niet te veel bandbreedte en netwerkbronnen verbruikt. Nog een belangrijk voordeel van deze beveiligingstool is dat het scanproces behoorlijk snel verloopt. Wat betreft het duidelijke nadeel, je hebt wel een degelijke server nodig om het te draaien omdat de tool nogal omvangrijk is. Retina vereist ook enige inwerktijd om het onder de knie te krijgen, maar voor een ervaren beveiligingsexpert is het een no-brainer,”
Probely-review
Deze tool scant niet alleen webapps op beveiligingsproblemen, maar geeft ook advies over hoe deze op te lossen. De intuïtieve interface volgt een API-first ontwikkelbenadering, dus alle functies worden via een API aangeboden. Hierdoor kan Probely worden geïntegreerd in Continuous Integration pipelines voor automatisering van beveiligingstests. De tool dekt duizenden kwetsbaarheden en kan specifieke vereisten controleren, waaronder GDPR, ISO27001, PCI-DSS en HIPAA.
- Eenvoudig in gebruik
- Op bewijs gebaseerde scans
- Ontwikkelaarsvriendelijke rapporten
- Hoog automatiseringspotentieel in CI/CD
- Flexibele GUI
- Geen correcte indicatie van de scanvoortgang
- Onvolledige API-ondersteuning en documentatie
Zed Attack Proxy-review
ZAP is een krachtige scanner en finder van beveiligingskwetsbaarheden voor webapplicaties, gemakkelijk te gebruiken, zelfs als u een beginner bent in penetratietesten. Voor geavanceerde gebruikers ondersteunt deze tool toegang via de command-line. Het maakt het mogelijk om een verscheidenheid aan beveiligingskwetsbaarheden in webapps te vinden tijdens de ontwikkelings- en testfasen. Tot de functies behoren AJAX-spiders, geforceerd browsen, ondersteuning voor web sockets en een REST-gebaseerde API.
- Gratis
- Zowel kwetsbaarheids- als proxyscaner
- Automatische updates en pull request analyse
- Intuïtieve UI
- Stabiele prestaties
- Onvoldoende documentatie
- Gecompliceerde implementatie en onderhoud
- Veel false positives
Wfuzz-review
Het is een tool voor het testen van de beveiliging van webapplicaties, ontworpen voor het brute-forcen van webapplicaties. De tool heeft geen GUI-interface en kan alleen via de command-line worden gebruikt. Het biedt authenticatieondersteuning, multithreading, cookies fuzzing, proxy- en SOCK-ondersteuning, en meerdere injectiepunten.
- Complexe aanvallen in verschillende webapplicatiecomponenten (authenticatie, mappen, headers, etc.)
- Modulair Python-framework comfortabel zelfs voor amateur-bijdragers
- Alle parameters brute-forcing (POST en GET)
- Meerdere encoders per payload
- Meerdere proxy-ondersteuning (elke aanvraag via een andere proxy)
- Resultaatfiltering
- Onvoldoende communityondersteuning
- Gebrek aan GUI
- Functionaliteit beperkt tot brute-force aanvallen
SQLMap-review
Het is een populaire pen-test tool die wordt gebruikt voor het detecteren en benutten van SQL-injectieproblemen in een database.
De tool heeft een command-line interface en biedt een verscheidenheid aan functies. Het ondersteunt ook zes typen SQL-injectiemethoden en database services zoals Oracle, MySQL, PostgreSQL, en Microsoft SQL Server.
- Volledige ondersteuning voor een reeks populaire databasebeheersystemen
- Bypass-methoden
- Shell-upload via SQL map
- Automatische herkenning van wachtwoord-hashformaten
- Mogelijkheid om databasetabellen volledig te dumpen of specifieke tekens uit de invoer van elke kolom
- Vereist een sterke programmeerachtergrond om de resultaten te interpreteren
- Loopt vast bij netwerkfouten
- Langzaam proces voor kwetsbaarheidsscans
- Gebrek aan geschikte GUI
Metasploit-review
Metasploit is een robuuste pen-test tool voor het onderzoeken van kwetsbaarheden op netwerken en servers. Deze tool maakt testen mogelijk via zowel de command-line als de GUI, en bevat een verscheidenheid aan modules, zoals exploits, payloads, encoders, listeners, nops en nog veel meer. Aangezien Metasploit behoorlijk populair is in de hacker community, krijgen steeds meer beveiligingsexperts deze tool in handen om op de hoogte te zijn van wat een kwaadaardige aanvaller ermee kan doen.
- Uitgebreide pentesting toolkit
- Meerdere sessies tegelijk
- Multi-platform
- Een van de grootste exploitdatabases
- Werkruimtes voor gezamenlijke pentesting
- Enorme communityondersteuning
- Ongeldige updates
- Beknopte documentatie voor het gebruik van exploits
- Risico op schade aan doelwitsystemen
- Beperkte opties voor het versleutelen van payloads
Om u te helpen snel en eenvoudig de meest geschikte tool te kiezen, hebben we een vergelijkingstabel gemaakt met de belangrijkste functies die u erin nodig zou kunnen hebben. Kijk maar!
| Functies/Geteste kwetsbaarheden | Platformondersteuning | Serverconfiguratieproblemen | Specifieke versiekwetsbaarheden | DoS-kwetsbaarheid | Patch Management | SQL-injectie | Cross-site scripting |
| Netsparker | Windows |  |
|
|
 |
|
|
| OpenVAS | Windows, Linux, MacOS | |
|
|
|
|
|
| Nessus | Windows, Linux, MacOS | |
|
|
|
|
|
| Acunetix | Windows, Linux | |
|
|
|
|
|
| Retina | Windows, Linux, MacOS | |
|
|
|
|
|
| Probely | Windows, Linux, MacOS | |
|
|
|
|
|
| ZAP | Windows, Linux, MacOS | |
|
|
|
|
|
| Wfuzz | Windows, Linux, MacOS | |
|
|
|
|
|
| SQLmap | Windows, Linux, MacOS | |
|
|
|
|
|
| Metasploit | Windows, Linux, MacOS | |
|
|
|
|
|
Hopelijk was dit nuttig en heeft u de juiste tool gevonden voor het scannen van uw software. Maar als u er al een gebruikt die niet op de lijst staat, laat het dan weten in de reacties!
