Pruebas de seguridad: herramientas de automatización
Hay varias herramientas disponibles para realizar pruebas de seguridad de una aplicación. Hay pocas herramientas que pueden realizar pruebas de seguridad de un extremo a otro, mientras que algunas están dedicadas a detectar un tipo particular de falla en el sistema.
Herramientas de código abierto
Algunas herramientas de prueba de seguridad de código abierto son las siguientes:
| S.No. | Nombre de la herramienta |
|---|---|
| 1 | Zed Attack Proxy Proporciona escáneres automatizados y otras herramientas para detectar fallas de seguridad. |
| 2 | OWASP WebScarab Desarrollado en Java para analizar solicitudes Http y Https. |
| 3 | OWASP Mantra Admite un marco de pruebas de seguridad multilingüe https://www.owasp.org/index.php/OWASP_Mantra_-_Security_Framework |
| 4 | Burp Proxy Herramienta para interceptar y modificar el tráfico y funciona con el trabajo con certificados SSL personalizados. |
| 5 | Firefox Tamper Data Utilice tamperdata para ver y modificar encabezados HTTP / HTTPS y parámetros de publicación |
| 6 | Firefox Web Developer Tools La extensión Web Developer agrega varias herramientas de desarrollo web al navegador. |
| 7 | Cookie Editor Permite al usuario agregar, eliminar, editar, buscar, proteger y bloquear cookies |
Juegos de herramientas específicos
Las siguientes herramientas pueden ayudarnos a detectar un tipo particular de vulnerabilidad en el sistema:
| S.No. | Enlace |
|---|---|
| 1 | DOMinator Pro − Testing for DOM XSS |
| 2 | OWASP SQLiX − SQL Injection |
| 3 | Sqlninja − SQL Injection |
| 4 | SQLInjector − SQL Injection |
| 5 | sqlpowerinjector − SQL Injection |
| 6 | SSL Digger − Testing SSL |
| 7 | THC-Hydra − Brute Force Password |
| 8 | Brutus − Brute Force Password |
| 9 | Ncat − Brute Force Password |
| 10 | OllyDbg − Testing Buffer Overflow |
| 11 | Spike − Testing Buffer Overflow |
| 12 | Metasploit − Testing Buffer Overflow |
Herramientas comerciales de prueba de caja negra
Estas son algunas de las herramientas comerciales de prueba de caja negra que nos ayudan a detectar problemas de seguridad en las aplicaciones que desarrollamos.
| S. No | Herramienta |
|---|---|
| 1 | NGSSQuirreL |
| 2 | IBM AppScan |
| 3 | Acunetix Web Vulnerability Scanner |
| 4 | NTOSpider |
| 5 | SOAP UI |
| 6 | Netsparker |
| 7 | HP WebInspect |
Analizadores de código fuente gratuitos
| S. No | Herramienta |
|---|---|
| 1 | OWASP Orizon |
| 2 | OWASP O2 |
| 3 | SearchDiggity |
| 4 | FXCOP |
| 5 | Splint |
| 6 | Boon |
| 7 | W3af |
| 8 | FlawFinder |
| 9 | FindBugs |
Analizadores de código fuente comercial
Estos analizadores examinan, detectan e informan las debilidades en el código fuente, que son propensas a vulnerabilidades:
| S. No | Herramienta |
|---|---|
| 1 | Parasoft C/C++ test |
| 2 | HP Fortify |
| 3 | Appscan |
| 4 | Veracode |
| 5 | Armorize CodeSecure |
| 6 | GrammaTech |