Рекомендации по тестированию веб-пера - Инструменты и рекомендации внешнего подрядчика
Я не уверен, что это даже подходящий вопрос для SO, но я все равно продолжу, так как я не уверен.
Я смотрел на инструменты Pen Testing для своего текущего проекта и нашел их несколько, но в конечном итоге от этого всерьез не уйти, и я обращаюсь к профессиональной организации или частному лицу, специализирующемуся на выполнении такой работы.
Причина, по которой я ищу инструменты, состоит в том, чтобы просто позволить мне собрать низко висящие фрукты перед началом полного цикла тестирования ручкой. Надеюсь, это также удешевит этот процесс, так как я надеюсь, что я устраню все очевидные уязвимости.
Инструменты и ресурсы
Организация и частные лица
Мне интересно, есть ли какие-либо ресурсы, которые оценивают и проверяют организации, выполняющие эти задачи? Есть ли какая-либо организация, которую вы могли бы порекомендовать использовать ранее с хорошими результатами?
2 ответа
@Jammer, я не уверен, существует ли такой рейтинг, который ты ищешь. Мой личный взгляд будет состоять в том, чтобы изучить ваши требования - ищете ли вы сертификат или соответствие или просто пытаетесь повысить безопасность. Основываясь на этих критериях, вы можете посмотреть на организации, проводящие тестирование, и оценить их самостоятельно. Эта ссылка может помочь,
http://www.ivizsecurity.com/blog/penetration-testing/how-to-choose-penetration-testing-companies/
В любом случае всегда есть компромисс между выбором сторонних поставщиков или владением собственной командой безопасности. Вы можете обратиться за консультацией к третьей стороне, а затем иметь собственную внутреннюю группу обеспечения безопасности.
Надеюсь это поможет.
Боюсь, что некоторые из перечисленных вами инструментов сопоставимы.
Burp - это прокси-сканер. Вы можете перехватывать трафик с помощью burp и манипулировать запросом перед отправкой на сервер. Pro версия имеет сканер для конкретного запроса вы отправляете сканер
Nikto и Appscan являются автоматическим сканером. В конце вам нужно устранить ложноположительные результаты, а также могут иметь ложноотрицательные результаты.
Nmap - мощный инструмент для сетевого взаимодействия, такого как сканирование портов, поиск по ftp, snmp и т. д. с использованием механизма сценариев.
Кроме того, использование автоматизированных инструментов не уменьшит ваши затраты на тестирование на проникновение. Потому что в любом случае вы должны пройти тестирование на проникновение, прежде чем делать ваше приложение публичным.
Сокращение затрат на безопасность не является хорошей идеей, вместо этого лучше нанимать разработчиков, обладающих безопасным фоном кодирования, или применять жизненный цикл разработки в своей среде разработки.
Если у вас есть другие вопросы, пожалуйста, ответьте на них.