Порівняння комерційних сканерів вразливостей веб-додатків та сканерів з відкритим кодом

Анотація

У роботі порівнюється вісім сканерів вразливостей на основі двох, навмисно вразливих додатків. Порівняння виконується за допомогою п’яти критеріїв: точність, відкликання, розрахунок індекса Юдена, веб-бенчмарк від WASSEC та OWASP. У якості додатків, що тестувалися обрані: OWASP WebGoat та Damn Vulnerable Web Application (DVWA). Серед досліджуваних сканерів є три комерційних сканера: Acunetix, HP WebInspect, AppScan, та п’ять сканерів з відкритим кодом такі, як: Arachni, IronWASP, Skipfish, OWASP ZAP, Vega. За результатами тестування зроблено висновок, що комерційні сканери є більш ефективними по ряду показників (в т.ч. переліку загроз). Деякі сканери з відкритим кодом (наприклад, ZAP та Skipfish) можна визначити, як початково таргетовані на певних видах загроз. Підкреслено, що не існує єдиного сканеру безпеки, який забезпечував би стабільно високі показники виявлення для всіх типів вразливостей. За результатами проведеного огляду стверджується, що існуючи відмінності в частоті хибно-позитивних вразливостей (для обох груп сканерів), обумовлені тим, що більшість комерційних рішень, мають автоматизовані сканери, які виявляються більш ефективнішими, ніж ручне налаштування з боку тестувальника. Вочевидь, що результати ручних налаштувань мають прямий зв'язок з фактичним рівнем компетенцій тестувальника, та в значній мірі обумовлюють кінцеві результати.