Тестирование безопасности - Инструменты автоматизации

Существуют различные инструменты для тестирования безопасности приложения. Существует несколько инструментов, которые могут выполнять сквозное тестирование безопасности, в то время как некоторые предназначены для выявления определенного типа уязвимости в системе.

Инструменты с открытым исходным кодом

Некоторые инструменты тестирования безопасности с открытым исходным кодом приведены ниже -

S.No. Название инструмента
1

Zed Attack Proxy

Предоставляет автоматизированные сканеры и другие инструменты для обнаружения недостатков безопасности.

https://www.owasp.org

2

OWASP WebScarab

Разработан на Java для анализа запросов Http и Https.

https://www.owasp.org/index.php

3

OWASP Mantra

Поддерживает многоязычную среду тестирования безопасности

https://www.owasp.org/index.php/OWASP_Mantra_-_Security_Framework

4

Burp Proxy

Инструмент для перехвата и изменения трафика и работает с пользовательскими сертификатами SSL.

https://www.portswigger.net/Burp/

5

Firefox Tamper Data

Используйте tamperdata для просмотра и изменения заголовков HTTP / HTTPS и параметров публикации

https://addons.mozilla.org/en-US

6

Firefox Web Developer Tools

Расширение Web Developer добавляет в браузер различные инструменты веб-разработчика.

https://addons.mozilla.org/en-US/firefox

7

Cookie Editor

Позволяет пользователю добавлять, удалять, редактировать, искать, защищать и блокировать файлы cookie

https://chrome.google.com/webstore

Специальные наборы инструментов

Следующие инструменты могут помочь нам определить конкретный тип уязвимости в системе:

S.No. Ссылка
1

DOMinator Pro − Testing for DOM XSS

https://dominator.mindedsecurity.com/

2

OWASP SQLiX − SQL Injection

https://www.owasp.org/index.php

3

Sqlninja − SQL Injection

http://sqlninja.sourceforge.net/

4

SQLInjector − SQL Injection

https://sourceforge.net/projects/safe3si/

5

sqlpowerinjector − SQL Injection

http://www.sqlpowerinjector.com/

6

SSL Digger − Testing SSL

https://www.mcafee.com/us/downloads/free-tools

7

THC-Hydra − Brute Force Password

https://www.thc.org/thc-hydra/

8

Brutus − Brute Force Password

http://www.hoobie.net/brutus/

9

Ncat − Brute Force Password

https://nmap.org/ncat/

10

OllyDbg − Testing Buffer Overflow

http://www.ollydbg.de/

11

Spike − Testing Buffer Overflow

https://www.immunitysec.com/downloads/SPIKE2.9.tgz

12

Metasploit − Testing Buffer Overflow

https://www.metasploit.com/

Коммерческие инструменты тестирования черного ящика

Вот некоторые из коммерческих инструментов тестирования черного ящика, которые помогают нам выявлять проблемы безопасности в разрабатываемых нами приложениях.

S.No Инструмент
1

NGSSQuirreL

https://www.nccgroup.com/en/our-services

2

IBM AppScan

https://www-01.ibm.com/software/awdtools/appscan/

3

Acunetix Web Vulnerability Scanner

https://www.acunetix.com/

4

NTOSpider

https://www.ntobjectives.com/products/ntospider.php

5

SOAP UI

https://www.soapui.org/Security/getting-started.html

6

Netsparker

https://www.mavitunasecurity.com/netsparker/

7

HP WebInspect

http://www.hpenterprisesecurity.com/products

Бесплатные анализаторы исходного кода

S.No Инструмент
1

OWASP Orizon

https://www.owasp.org/index.php

2

OWASP O2

https://www.owasp.org/index.php/OWASP_O2_Platform

3

SearchDiggity

https://www.bishopfox.com/resources/tools

4

FXCOP

https://www.owasp.org/index.php/FxCop

5

Splint

http://splint.org/

6

Boon

https://www.cs.berkeley.edu/~daw/boon/

7

W3af

http://w3af.org/

8

FlawFinder

https://www.dwheeler.com/flawfinder/

9

FindBugs

http://findbugs.sourceforge.net/

Коммерческие анализаторы исходного кода

Эти анализаторы исследуют, обнаруживают и сообщают о слабостях в исходном коде, которые подвержены уязвимостям:

S.No Инструмент
1

Parasoft C/C++ test

https://www.parasoft.com/cpptest/

2

HP Fortify

http://www.hpenterprisesecurity.com/products

3

Appscan

http://www-01.ibm.com/software/rational/products

4

Veracode

https://www.veracode.com

5

Armorize CodeSecure

http://www.armorize.com/codesecure/

6

GrammaTech

https://www.grammatech.com/