六款較流行的開源漏洞掃描工具推薦及特點(diǎn)分析

2024-04-09 12:49:35

未修補(bǔ)的漏洞是網(wǎng)絡(luò)犯罪分子最容易攻擊的目標(biāo)之一。企業(yè)中很多的數(shù)據(jù)安全事件往往由于已知的漏洞造成的，盡管相關(guān)的安全補(bǔ)丁已經(jīng)發(fā)布，但許多企業(yè)由于種種原因并不能及時(shí)發(fā)現(xiàn)并修補(bǔ)這些漏洞。

當(dāng)組織想要開展全面且持續(xù)的漏洞掃描工作時(shí)，通常需要得到廣泛的安全社區(qū)支持。在此過程中，安全人員可以借助一些的流行開源漏洞掃描工具。由于它們具有開放源代碼的特性，用戶可以自由地查看、修改和定制這些工具，以滿足自身的安全需求。此外，這些工具會經(jīng)常更新和改進(jìn)以適應(yīng)不斷變化的漏洞威脅。本文收集了6款目前較熱門的開源漏洞掃描工具（詳見下表），并從功能性、兼容性和可擴(kuò)展性等方面對其應(yīng)用特點(diǎn)進(jìn)行了分析。

圖片

1、Nmap

圖片

Nmap是一款非常流行的自動化安全測試工具。它可以在各種主流操作系統(tǒng)上運(yùn)行，并快速掃描大型網(wǎng)絡(luò)。它通常會檢測以下信息：網(wǎng)絡(luò)上有哪些主機(jī)可用，主機(jī)在運(yùn)行什么服務(wù)，主機(jī)在運(yùn)行哪些操作系統(tǒng)版本，使用哪種類型的數(shù)據(jù)包過濾器和防火墻，以及發(fā)動攻擊之前需要的其他有用情報(bào)。此外，Nmap的說明文檔也很全面，還有針對命令行和GUI（圖形化操作界面）版本的眾多教程，很容易上手。

主要特點(diǎn)

?快速查詢開放端口，基于可用的 TCP 和 UDP 服務(wù)分析協(xié)議、應(yīng)用程序和操作系統(tǒng)。

?擁有龐大的活躍用戶群，也被大多數(shù)網(wǎng)絡(luò)和網(wǎng)絡(luò)安全認(rèn)證計(jì)劃所接受。

?對使用者友好，使用命令行控件自動執(zhí)行漏洞掃描或?qū)⒔Y(jié)果導(dǎo)出到票證系統(tǒng)或安全工具中。

?包含一個(gè)不斷增長的檢測腳本庫，可用于增強(qiáng)網(wǎng)絡(luò)發(fā)現(xiàn)和漏洞評估的功能。

?可基于協(xié)議請求的端口響應(yīng)進(jìn)行掃描，適用于所有具有開放端口的計(jì)算機(jī)、物聯(lián)網(wǎng)設(shè)備、網(wǎng)站、云系統(tǒng)和網(wǎng)絡(luò)設(shè)備。

不足

?沒有正式的客戶支持選項(xiàng)

?使用時(shí)需要一定的經(jīng)驗(yàn)或編程能力

?并非所有選項(xiàng)在 GUI 版本中都可用

2、OpenVAS

圖片

OpenVAS是一個(gè)較全面的開源滲透測試軟件。在世界各地的滲透測試專家的幫助下，它得到了不斷的支持和更新，從而使其保持最新狀態(tài)。OpenVAS的其他特性還包括提供未經(jīng)身份驗(yàn)證的測試、目標(biāo)掃描和web漏洞掃描。需要說明的是，OpenVAS工具的漏洞掃描能力最初是從Nessus產(chǎn)品派生而來，后者現(xiàn)在是Tenable公司的非開源商業(yè)化產(chǎn)品。

主要特點(diǎn)

?幾乎每天都會更新威脅信息源，并定期提供產(chǎn)品更新和功能更新。?免費(fèi)版本的功能就非常全面，并在企業(yè)版本中提供更多功能和特性，同時(shí)提供客戶支持。?能夠?qū)K端、服務(wù)器和云等多種系統(tǒng)進(jìn)行常見漏洞和曝光（CVE）的掃描。?產(chǎn)品得到主流網(wǎng)絡(luò)安全社區(qū)的支持，能夠在許多不同的認(rèn)證課程中教授。?可以為每個(gè)漏洞提供額外的上下文信息，用于漏洞修復(fù)或攻擊路徑解釋。

不足

?對于初學(xué)者來說專業(yè)門檻較高?在同時(shí)進(jìn)行多個(gè)掃描任務(wù)時(shí)，可能會導(dǎo)致程序崩潰?一些高級掃描功能需要使用付費(fèi)版本

3、ZAP

圖片

Zed Attack Proxy (ZAP)是一款用戶友好的滲透測試工具，能找出網(wǎng)絡(luò)應(yīng)用中的漏洞。它不僅提供自動化掃描器，也為想要手動查找漏洞的用戶提供了一套工具。ZAP通常預(yù)裝在Kali Linux上，它能夠?qū)⒆陨碇糜跍y試人員的瀏覽器和Web應(yīng)用程序之間，攔截請求以充當(dāng)"代理"。通過修改內(nèi)容、轉(zhuǎn)發(fā)數(shù)據(jù)包和模擬其他用戶行為，ZAP也可以對應(yīng)用程序進(jìn)行漏洞掃描測試。

主要特點(diǎn)

?可執(zhí)行常見的動態(tài)應(yīng)用程序安全測試（DAST），特別是針對跨站點(diǎn)腳本（XSS）漏洞，還能夠執(zhí)行一些新型的測試工作，例如模糊測試；

?可提供 API 和 docker 集成以實(shí)現(xiàn)快速部署，并與 DevSecOp 工具集成，實(shí)現(xiàn)對開發(fā)團(tuán)隊(duì)的自動化工單管理；?通過Crash Override開源獎學(xué)金的支持，ZAP擁有多名全職開發(fā)人員，不再與OWASP有關(guān)聯(lián)；?經(jīng)常被滲透測試人員使用，可以很好地了解黑客可能發(fā)現(xiàn)的漏洞。

不足

?某些掃描功能需要額外的插件

?需要一些專業(yè)知識才能使用

?相比其他工具，誤報(bào)率較高

4、OSV-Scanner

圖片

OSV-Scanner是一款由谷歌公司開發(fā)的開源漏洞掃描工具，提供專門的軟件組成分析（SCA），可用于掃描靜態(tài)軟件，以確保開源軟件的編程代碼安全漏洞，并保護(hù)開源軟件清單（SBOM）。在掃描項(xiàng)目時(shí)，OSV-Scanner 首先通過分析清單、軟件材料清單（SBOM）和代碼提交哈希值來確定正在使用的所有依賴項(xiàng)。這些信息用于查詢 OSV 數(shù)據(jù)庫，并報(bào)告與項(xiàng)目相關(guān)的漏洞。漏洞通過表格的形式或基于 JSON 的 OSV 格式（可選）進(jìn)行報(bào)告。

主要特點(diǎn)

?能夠定期擴(kuò)展支持的編程語言列表，包括C/C++、Dart、Elixir、Go、Java、JavaScript、PHP、Python、R、Ruby和Rust。?可以從大量信息源中獲取漏洞，包括Debian、Linux、Maven、npm、NuGet、OSS-Fuzz、Packagist、PyPl和RubyGems。?允許API、可腳本化和與GitHub集成的調(diào)用，以實(shí)現(xiàn)漏洞掃描自動化。?使用JSON存儲有關(guān)受影響版本的信息，以便與開發(fā)人員工具包進(jìn)行集成。?檢查目錄、軟件清單（SBOM）、鎖定文件、基于Debian的Docker鏡像或在Docker容器中運(yùn)行的軟件。

不足

?只檢查開源庫中有的漏洞?產(chǎn)品較新，尚未被納入到主流的認(rèn)證教育中

5、CloudSploit

圖片

CloudSploit是一款開源的云基礎(chǔ)設(shè)施掃描引擎，目前被Aqua公司收購并繼續(xù)對其進(jìn)行維護(hù)，以使用戶能夠下載、修改并享受這個(gè)專業(yè)工具的好處。CloudSploit可以根據(jù)用戶需求進(jìn)行掃描，也可以配置為持續(xù)運(yùn)行，并向安全和DevOps團(tuán)隊(duì)發(fā)送漏洞警報(bào)。該工具不僅檢查已知的云和容器部署漏洞，還能夠檢查常見的配置錯(cuò)誤問題。

主要特點(diǎn)

?可持續(xù)掃描AWS、Azure、Google Cloud、Oracle Cloud等環(huán)境，以便對云基礎(chǔ)設(shè)施的更改進(jìn)行警報(bào)。

?通過安全人員常用的工具（如Slack、Splunk、OpsGenie、Amazon SNS等）發(fā)送實(shí)時(shí)警報(bào)和結(jié)果。

?可從命令行、腳本或構(gòu)建系統(tǒng)（Jenkins、CircleCL、AWS CodeBuild 等）調(diào)用 API。

?提供了廣泛的云支持，包括針對主要公共云平臺（阿里云、AWS、Azure、Google Cloud 等）的插件嚴(yán)重程度。

不足

?某些功能需要付費(fèi)使用?必須與其他安全工具一起使用?專注于公有云基礎(chǔ)設(shè)施安全性

6、sqlmap

圖片

sqlmap是一款專注但功能強(qiáng)大的免費(fèi)數(shù)據(jù)庫漏洞掃描工具。盡管其適用范圍有限，但在一些需要進(jìn)行嚴(yán)格合規(guī)和安全測試的數(shù)字化業(yè)務(wù)場景中，數(shù)據(jù)庫漏洞測試往往是至關(guān)重要的組成部分。SQLmap能夠自動化查找與SQL注入相關(guān)的威脅和攻擊的過程。相比其他的web應(yīng)用程序滲透測試工具，SQLmap具有較強(qiáng)大的測試引擎和多種注入攻擊識別能力，并支持多種數(shù)據(jù)庫服務(wù)器，如MySQL、Microsoft Access、IBM DB2和SQLite。