Revisión de Fortify WebInspect y mejores alternativas

Pruebas dinámicas de seguridad de aplicaciones (DAST) es un campo muy especializado en la industria de la ciberseguridad. Las herramientas DAST son útiles para probar aplicaciones web. Activan varias funciones en una página web o una API para probar su comportamiento. Como DAST tiene como objetivo sondear la seguridad de la aplicación web, intenta romperla para corromperla de alguna manera.

Inspección Web es una herramienta DAST que investiga las debilidades de seguridad en las aplicaciones Wen. El nombre completo de este sistema de seguridad es Fortalecer WebInspect . La línea de productos Fortify es propiedad de Microenfoque que está destinado a probar la seguridad del sistema. Por tanto, WebInspect forma parte de una familia de herramientas creadas por ingenieros de software con gran experiencia en ciberseguridad.

¿Qué hace WebInspect?

Fortify Software es una división de Micro Focus y se especializa en sistemas de seguridad y verificación, particularmente servicios DAST, SAST e IAST. WebInspect es un producto que se centra en Pruebas de seguridad de aplicaciones web . El sistema se puede utilizar durante el desarrollo de aplicaciones y como servicio de evaluación al considerar la compra de nuevas aplicaciones y servicios web. Por ejemplo, un equipo de proyecto de desarrollo usaría la herramienta para verificar una API que podría estar considerando usar, y un equipo de Operaciones de TI usaría la herramienta para evaluar sitios web activos.

El sistema implementa un rastreador para recorrer las funciones de una aplicación web y utiliza API abierta para probar API. Los métodos de prueba exactos implementados por la plataforma de prueba se pueden adaptar para compararlos con objetivos específicos. Esta configuración del sistema se puede establecer aplicando una plantilla preescrita de una biblioteca que incluye pruebas de cumplimiento según los estándares PCI DSS, DISA STIG, NIST 800-53, ISO 27K, OWASP e HIPAA.

¿Cómo implemento WebInspect?

WebInspect es un paquete local . Se instala en Windows Server 2016 y 2019 o Windows 8, 8.1 y 10. Se ejecutará una versión en Docker, pero esto también requiere que el sistema operativo subyacente sea Windows o Windows Server.

El sistema funciona como un proxy que captura el tráfico web, por lo que el objetivo de su inspección DAST debe ser accesible a través de un navegador. El servicio WebInspect monitorea los mensajes que van y vienen entre el host de la aplicación examinado y el navegador. Además, el servicio proporciona una plataforma de prueba para API y funciones que no representan una página web completa.

Los análisis implementados por WebInspect pueden iniciarse según demanda, según una programación o configurarse para que se ejecuten de forma continua. El modo continuo es adecuado para la integración en Canalizaciones de CI/CD .

Puede evaluar Fortify WebInspect en un Prueba gratuita de 15 días .

Pros y contras de WebInspect

Al evaluar Fortify WebInspect, identificamos sus puntos buenos y malos.

Ventajas:

• Una instalación de larga data que se ha implementado ampliamente y es estable.
• Integración posible con canalizaciones de CI/CD
• Adaptación automática a estándares de privacidad de datos específicos
• La implementación local garantiza la confidencialidad
• Opciones de ejecución bajo demanda, programada o continua

Contras:

• Sin funciones SAST

Fortify ofrece otros servicios de prueba de sistemas, que incluyen un módulo SAST llamado Static Code Analyzer. Es posible combinar esto con WebInspect para obtener una suite IAST completa. La empresa también ofrece un servicio de pruebas combinado llamado Fortify on Demand. Esto es una plataforma SaaS que ofrece DAST , SAST , IAST , y pruebas de aplicaciones moviles .

Alternativas a Fortify WebInspect

Aunque DAST es un nicho de mercado, existe una sorprendente cantidad de herramientas disponibles para realizarlo. No todos ellos podrían considerarse alternativas adecuadas a WebInspect. Sin embargo, las capacidades del equipo de Fortify para producir herramientas de prueba de seguridad de sistemas son excepcionales y la empresa es difícil de igualar en el mercado DAST.

Nuestra metodología para seleccionar una alternativa a WebInspect

Revisamos el mercado de herramientas DAST y analizamos las opciones en función de los siguientes criterios:

• Opciones que están disponibles como plataforma SaaS o para una instalación local
• Un servicio que se puede ejecutar bajo demanda, según un cronograma o de forma continua
• Es bueno tener análisis de código estático (SAST) para proporcionar un servicio completo de pruebas de seguridad de aplicaciones interactivas (IAST).
• Un sistema que recomienda correcciones para errores y debilidades descubiertos.
• La opción de integrar la herramienta en un proceso de CI/CD
• Una prueba gratuita, un sistema de demostración o una garantía de devolución de dinero
• Buen valor para el dinero

Nuestra selección incluye herramientas que se pueden utilizar para evaluar aplicaciones web activas o para probar aplicaciones en desarrollo.

Aquí está nuestra lista de las ocho mejores alternativas a Fortify WebInspect:

1. Invencible (ACCESO A LA DEMO GRATUITA ) Este paquete integral de herramientas de prueba de seguridad de aplicaciones web incluye escaneo de código estático (SAST), así como servicios DAST para ofrecer un sistema IAST completo que puede integrarse en proyectos de desarrollo o usarse para pruebas de aplicaciones en vivo. Disponible como plataforma SaaS o para instalación en Windows o Windows Server.
2. Acunetix (ACCESO A LA DEMOSTRACIÓN GRATUITA) También se puede instalar un escáner de vulnerabilidades SaaS en el sitio y ofrece opciones DAST y SAST para pruebas de desarrollo. El paquete local se ejecuta en Windows, macOS y Linux.
3. Rapid7 InsightAppSec Una plataforma SaaS a la que el cliente envía código para que lo evalúen expertos en pruebas de penetración utilizando herramientas DAST.
4. GitLab último es una plataforma de desarrollo basada en la nube organizada para admitir canales de DevOps e incluye puntos de prueba DAST en el flujo de trabajo.
5. Análisis dinámico de Veracode Un sistema SaaS que ofrece evaluaciones DAST automatizadas para aplicaciones web en desarrollo o en desarrollo con acceso a asesores expertos para soluciones.
6. Detectar escaneo profundo Un sistema de pruebas basado en la nube que proporciona escaneo de descubrimiento, evaluaciones DAST y consejos de reparación.
7. Appknox Servicio de pruebas automatizadas basado en la nube diseñado específicamente para evaluar aplicaciones móviles. Elija entre módulos de prueba DAST, DAST y API.
8. TORTAS DE VERANO Este sistema interactivo de pruebas de seguridad de aplicaciones combina comprobaciones de sistemas DAST y SAST desde una plataforma en la nube.

Puede leer más sobre cada una de estas opciones en las siguientes secciones.

Las ocho mejores alternativas para fortalecer WebInspect

1. Invencible (ELECCIÓN DEL EDITOR)

Invenciblese puede utilizar para pruebas de desarrollo o para escaneo de vulnerabilidades de aplicaciones web existentes. Este servicio es un poco mejor que el servicio WebInspect porque incluye ambos análisis estático y dinámico de aplicaciones listas para usar: con WebInspect, esas dos funciones se entregan en módulos separados. Esta combinación en Invicti proporciona una completa IAST sistema.

Invicti incluye un servicio de descubrimiento. Esto es útil para escanear aplicaciones web existentes, en particular las API que evalúa para su inclusión en un nuevo desarrollo. Además, el módulo de descubrimiento le ayuda a trazar interdependencias, lo que forma un mapa fuente para pruebas de integración donde es necesario examinar las conexiones entre aplicaciones para detectar posibles fugas de datos.

La flexibilidad de Invicti permite su uso para escaneo de vulnerabilidades, pruebas de penetración o pruebas continuas en un ciclo de vida del desarrollo . Los análisis se pueden iniciar según demanda o programarse. Además, los objetivos de prueba del servicio se pueden ajustar para hacer cumplir los estándares de privacidad de datos, como HIPAA y PCI DSS.

Puede elegir entre una versión alojada de Invicti y una paquete local . El sistema alojado es una plataforma SaaS completa, que incluye espacio para almacenar los resultados del escaneo a lo largo del tiempo para análisis históricos. La versión local se instala en ventanas y Servidor de windows . Puedes acceder a una demostración gratuita.

SELECCIÓN DEL EDITOR

Invenciblees un gran competidor de Fortify WebInspect porque proporciona un único paquete de funciones DAST y SAST para brindar un servicio IAST que verifica todas las aplicaciones web, incluidas las API. Esta herramienta ayuda a prevenir aplicaciones Web existentes y también para la prueba de módulos en desarrollo. Por lo tanto, Invicti puede ser utilizado tanto para una canalización de CI/CD como para el personal de operaciones de TI.

Obtenga una demostración : invicti.com/get-demo/

Sistema operativo : SaaS o para instalación en Windows y Windows Server

dos. Acunetix (ACCESO A LA DEMOSTRACIÓN GRATUITA)

acunetix es un escáner de vulnerabilidades que está disponible en tres formatos. Este sistema es adecuado para análisis de vulnerabilidades bajo demanda de aplicaciones web, análisis regulares programados de aplicaciones y redes web o pruebas integradas en un Canalización de CI/CD .

El servicio que obtienes con Acunetix depende del plan que elijas. El Estándar El plan ofrece análisis de vulnerabilidades bajo demanda. Esto también se puede utilizar como herramienta de prueba de penetración para aplicaciones web. Busca 7.000 vulnerabilidades que incluyen la Top 10 de OWASP .

Mira el De primera calidad planea automatizar el escaneo de aplicaciones web y agregar escaneos de vulnerabilidades de red. el automatizado exploraciones internas Detectar más de 50.000 debilidades.

Acunetix se ofrece como plataforma SaaS. Sin embargo, también es posible obtener el software como un paquete para instalarlo en su host. Esta versión está disponible para ventanas , Mac OS , y linux . Accede al sistema demo para valorar Acunetix gratis.

acunetix 360 es el plan superior y ofrece escaneo de vulnerabilidades para aplicaciones web, pero también se puede usar para realizar pruebas en un Canalización de CI/CD . En el escenario de desarrollo, configuraría el sistema de prueba para que se ejecute continuamente, lo que opera una estrategia DAST. El paquete también incluye un sistema de escaneo de códigos para brindarle SAST.

Obtenga una demostración : acunetix.com/web-vulnerability-scanner/demo/

Sistema operativo : SaaS o para instalación en Windows y Windows Server

3. Rapid7 InsightAppSec

rápido7 patrocina Metasploit y produce Metasploit Professional. Además de eso, el servicio de prueba de penetración y escaneo de vulnerabilidades, Rapid7 también ofrece el InsightAppSec paquete, que proporciona un sistema DAST.

Este servicio proporciona escaneo de vulnerabilidades de aplicaciones web programado y bajo demanda que cubre la Top 10 de OWASP . Se trata de una plataforma en la nube, por lo que el servicio no se limita a monitorear sistemas residentes en un servidor en particular o en un solo sitio. El servicio también está disponible para verificar aplicaciones que aún son privadas mientras están en desarrollo.

Las pruebas realizadas por Rapid7 InsightAppSec se pueden recalibrar para adaptarse a una situación específica. estándar de privacidad de datos . Usted nombra un estándar en la configuración de la herramienta y todas las pruebas y objetivos del evaluador se ajustan automáticamente en consecuencia. El sistema también puede producir documentación de verificación de la solicitud que sea adecuada para su presentación como parte de un prueba de cumplimiento paquete.

Puede evaluar Rapid7 InsightAppSec accediendo a su Prueba gratuita de 30 días .

Cuatro. GitLab último

GitLab es un entorno de desarrollo basado en la nube que incluye un sistema de pruebas. El sistema de soporte DevOps se ofrece en tres ediciones: Gratis , De primera calidad , y Último . La plataforma de prueba solo está incluida en el plan Ultimate.

El servicio de prueba del paquete GitLabs Ultimate ofrece una DAST sistema. Puede realizar un servicio de descubrimiento que escanea aplicaciones web y mapea sus dependencias . Además, este sistema puede rastrear a través de API y realizar pruebas sobre los procedimientos de respaldo. El probador se puede iniciar bajo demanda al estilo de un escaneo de vulnerabilidad, o puede ejecutarse según un cronograma o configurarse para correr continuamente .

El servicio de pruebas en el plan Ultimate también cuenta con escaneo de códigos. servicios SAST disponible. Este servicio de evaluación estática califica el código por seguridad e identifica áreas de mejora. El servicio de pruebas también se puede utilizar para hacer cumplir cumplimiento de licencia .

GitLab Ultimate está disponible para una prueba gratuita de 30 días .

5. Análisis dinámico de Veracode

Análisis dinámico de Veracode es una plataforma de prueba DAST basada en la nube que busca más de 150 errores de seguridad típicos que se encuentran en aplicaciones web en desarrollo. Este es un servicio que está diseñado para encajar en el proceso de CI/CD. El servicio de pruebas produce recomendaciones sobre cambios en el código para corregir las debilidades descubiertas.

Las instalaciones de prueba incluyen sistemas automáticos y detección continua y ofrecer un sistema de secuencias de comandos que permite que el código pruebe elementos interactivos . Consiste en la capacidad de emitir acciones para probar pantallas de inicio de sesión y actividades como el pago del cliente. Con estas pruebas podrás comprobar el éxito interacción con sistemas como administradores de derechos de acceso y bases de datos.

Las pruebas se inician ingresando una URL en la pantalla del sistema Veracode o cargando un archivo que contiene una lista de URL para probar por lotes muchas aplicaciones nuevas en una ejecución desatendida. Este DAST El lanzamiento de pruebas se puede integrar en sistemas de automatización de tareas de desarrollo y gestión de proyectos para que las pruebas se realicen automáticamente a medida que un nuevo módulo avanza a lo largo del proceso de CI/CD.

El análisis dinámico de Veracode está disponible como un sistema de demostración para evaluación.

6. Detectar escaneo profundo

Detectar escaneo profundo ofrece una fácil de usar interfaz web para iniciar las pruebas DAST. Las pruebas se pueden configurar ingresando una URL para escanear o usando el servicio Discovery del sistema para buscar en sus aplicaciones web y mapear dependencias.

El sistema de pruebas se implementa DAST pruebas de caja negra para aplicaciones web, concentrándose en OWASP Top 10 y una base de datos patentada de Día cero vulnerabilidades que el sistema Detectify descubre durante sus implementaciones de trabajo para muchos clientes. El sistema Detectify fue ensamblado por un equipo de pruebas de penetración que utiliza la herramienta durante las comisiones. Los nuevos ataques y debilidades que este grupo descubre en su labor de consultoría también se suman a Detectify Explotaciones de vulnerabilidad base de datos.

Detectify Deep Scan es adecuado para su uso durante pruebas de penetración, y también se puede utilizar como escáner de vulnerabilidad para aplicaciones web. La herramienta se puede configurar para que se ejecute continuamente, integrada en una canalización de CI/CD. El plataforma saas está alojado en Suecia y sus tarifas están fijadas en euros. El servicio está disponible para una prueba gratuita de dos semanas .

7. Appknox

Appknox es una plataforma de prueba especializada diseñada específicamente para probar aplicaciones móviles. Las utilidades de este sistema basado en la nube se pueden utilizar para pruebas de penetración y pruebas de vulnerabilidad . El servicio también se puede integrar en entornos de desarrollo para proporcionar desarrolladores, probadores de sistemas, probadores de aceptación y equipos de operaciones de TI en la producción y el mantenimiento de DevOps de aplicaciones móviles.

El servicio Appknox está disponible en tres ediciones. Estos son Básico , Profesional , y Empresa . La plataforma ofrece una variedad de estrategias de prueba y todos los planes incluyen pruebas estáticas ( SAST ) y pruebas dinámicas ( DAST ) opciones, lo que le brinda una completa IAST servicio. Las pruebas de la biblioteca son adecuadas para diferentes necesidades en cada etapa del ciclo de vida del desarrollo.

La oferta estándar de los planes Appknox automatización de pruebas servicios. Sin embargo, también hay servicios impulsados ​​por humanos disponibles como extras. Estos incluyen evaluación de código por parte de expertos en seguridad y servicios de pruebas de penetración.

8. TORTAS DE VERANO

TORTAS DE VERANO es una plataforma interactiva de prueba de seguridad de aplicaciones que incluye servicios de escaneo de códigos y sistemas de prueba de caja negra. Esta combinación ofrece pruebas desde dentro y desde fuera de cada aplicación web. La combinación de SAST y DAST brinda al equipo de desarrollo una variedad de pruebas necesarias en cada paso del ciclo de vida de desarrollo. Además, el sistema de pruebas se puede integrar en el Canalización de CI/CD .

El servicio DAST de cIAST escanea el Top 10 de OWASP que cubren el acceso a bases de datos y sistemas de autenticación y a la propia aplicación web. La herramienta se puede integrar en un rastreador de problemas y administradores de flujo de trabajo del proyecto para enviar módulos al desarrollador si surgen problemas durante las pruebas. El informe de problemas resaltará el problema y sugerirá soluciones.