Pruebas de seguridad: herramientas de automatización
Hay varias herramientas disponibles para realizar pruebas de seguridad de una aplicación. Hay pocas herramientas que pueden realizar pruebas de seguridad de un extremo a otro, mientras que algunas están dedicadas a detectar un tipo particular de falla en el sistema.
Herramientas de código abierto
Algunas herramientas de prueba de seguridad de código abierto son las siguientes:
| S.No. | Nombre de la herramienta |
|---|---|
| 1 | Zed Attack Proxy Proporciona escáneres automatizados y otras herramientas para detectar fallas de seguridad. https://www.owasp.org |
| 2 | OWASP WebScarab Desarrollado en Java para analizar solicitudes Http y Https. https://www.owasp.org/index.php |
| 3 | OWASP Mantra Admite un marco de pruebas de seguridad multilingüe https://www.owasp.org/index.php/OWASP_Mantra_-_Security_Framework |
| 4 | Burp Proxy Herramienta para interceptar y modificar el tráfico y funciona con el trabajo con certificados SSL personalizados. https://www.portswigger.net/Burp/ |
| 5 | Firefox Tamper Data Utilice tamperdata para ver y modificar encabezados HTTP / HTTPS y parámetros de publicación https://addons.mozilla.org/en-US |
| 6 | Firefox Web Developer Tools La extensión Web Developer agrega varias herramientas de desarrollo web al navegador. https://addons.mozilla.org/en-US/firefox |
| 7 | Cookie Editor Permite al usuario agregar, eliminar, editar, buscar, proteger y bloquear cookies https://chrome.google.com/webstore |
Juegos de herramientas específicos
Las siguientes herramientas pueden ayudarnos a detectar un tipo particular de vulnerabilidad en el sistema:
| S.No. | Enlace |
|---|---|
| 1 | DOMinator Pro − Testing for DOM XSS https://dominator.mindedsecurity.com/ |
| 2 | OWASP SQLiX − SQL Injection https://www.owasp.org/index.php |
| 3 | Sqlninja − SQL Injection http://sqlninja.sourceforge.net/ |
| 4 | SQLInjector − SQL Injection https://sourceforge.net/projects/safe3si/ |
| 5 | sqlpowerinjector − SQL Injection http://www.sqlpowerinjector.com/ |
| 6 | SSL Digger − Testing SSL https://www.mcafee.com/us/downloads/free-tools |
| 7 | THC-Hydra − Brute Force Password https://www.thc.org/thc-hydra/ |
| 8 | Brutus − Brute Force Password http://www.hoobie.net/brutus/ |
| 9 | Ncat − Brute Force Password https://nmap.org/ncat/ |
| 10 | OllyDbg − Testing Buffer Overflow http://www.ollydbg.de/ |
| 11 | Spike − Testing Buffer Overflow https://www.immunitysec.com/downloads/SPIKE2.9.tgz |
| 12 | Metasploit − Testing Buffer Overflow https://www.metasploit.com/ |
Herramientas comerciales de prueba de caja negra
Estas son algunas de las herramientas comerciales de prueba de caja negra que nos ayudan a detectar problemas de seguridad en las aplicaciones que desarrollamos.
| S. No | Herramienta |
|---|---|
| 1 | NGSSQuirreL https://www.nccgroup.com/en/our-services |
| 2 | IBM AppScan https://www-01.ibm.com/software/awdtools/appscan/ |
| 3 | Acunetix Web Vulnerability Scanner https://www.acunetix.com/ |
| 4 | NTOSpider https://www.ntobjectives.com/products/ntospider.php |
| 5 | SOAP UI https://www.soapui.org/Security/getting-started.html |
| 6 | Netsparker https://www.mavitunasecurity.com/netsparker/ |
| 7 | HP WebInspect http://www.hpenterprisesecurity.com/products |
Analizadores de código fuente gratuitos
| S. No | Herramienta |
|---|---|
| 1 | OWASP Orizon https://www.owasp.org/index.php |
| 2 | OWASP O2 https://www.owasp.org/index.php/OWASP_O2_Platform |
| 3 | SearchDiggity https://www.bishopfox.com/resources/tools |
| 4 | FXCOP https://www.owasp.org/index.php/FxCop |
| 5 | Splint http://splint.org/ |
| 6 | Boon https://www.cs.berkeley.edu/~daw/boon/ |
| 7 | W3af http://w3af.org/ |
| 8 | FlawFinder https://www.dwheeler.com/flawfinder/ |
| 9 | FindBugs http://findbugs.sourceforge.net/ |
Analizadores de código fuente comercial
Estos analizadores examinan, detectan e informan las debilidades en el código fuente, que son propensas a vulnerabilidades:
| S. No | Herramienta |
|---|---|
| 1 | Parasoft C/C++ test https://www.parasoft.com/cpptest/ |
| 2 | HP Fortify http://www.hpenterprisesecurity.com/products |
| 3 | Appscan http://www-01.ibm.com/software/rational/products |
| 4 | Veracode https://www.veracode.com |
| 5 | Armorize CodeSecure http://www.armorize.com/codesecure/ |
| 6 | GrammaTech https://www.grammatech.com/ |