Sızma Testi araçları, bir ağ, sunucu veya web uygulamasındaki güvenlik zayıflıklarının belirlenmesine yardımcı olur. Bu araçlar, bir güvenlik ihlaline neden olabilecek yazılım ve ağ uygulamalarındaki “bilinmeyen güvenlik açıklarını” belirlemenize olanak sağladıkları için çok kullanışlıdır. Güvenlik Açığı Değerlendirmesi ve Sızma Testi (Pentest- Penetration test) Araçları, sisteminize ağ içinde ve ağın dışında bir bilgisayar korsanı saldıracakmış gibi saldırır. Yetkisiz erişim mümkünse, sistemin düzeltilmesi gerekir.
1-Netsparker
Netsparker , web uygulamalarınızda ve web hizmetlerinizde SQL Injection, XSS ve diğer güvenlik açıklarını otomatik olarak bulabilen, kullanımı kolay bir web uygulama güvenlik tarayıcısıdır. Şirket içi ve SAAS çözümü olarak mevcuttur.
Özellikleri:
- Benzersiz İspat Tabanlı Tarama Teknolojisi (Proof-Based Scanning Technology) ile tam doğru güvenlik açığı tespiti
- Minimum yapılandırma gerekliliği. Tarayıcı, URL yeniden yazma kurallarını, özel 404 hata sayfalarını otomatik olarak algılama.
- SDLC (Yazılım Ürünlerini geliştirmek veya değiştirmek için planlanan yazılım geliştirme süreci), hata izleme sistemleri vb. ile sorunsuz entegrasyon için REST API
- Tamamen ölçeklenebilir çözüm. Yalnızca 24 saat içinde 1.000 web uygulamasını tarama
2-Acunetix:
Acunetix , tam otomatik bir sızma / penetrasyon test aracıdır. Web uygulaması güvenlik tarayıcısı, HTML5, JavaScript ve Tek sayfalı uygulamaları doğru bir şekilde tarar. Karmaşık, kimliği doğrulanmış web uygulamalarını denetleyebilir ve bant dışı güvenlik açıkları dahil olmak üzere çok çeşitli web ve ağ güvenlik açıkları hakkında uyum ve yönetim raporları yayınlayabilir.
Özellikleri:
- Tüm SQL Injection, XSS ve 4500+ ek güvenlik açığı çeşitlerini tarar.
- 1200’den fazla WordPress çekirdeği, teması ve eklenti güvenlik açıklarını tespit eder.
- Hızlı ve Ölçeklenebilir yapısı ile kesintisiz yüz binlerce sayfayı tarar.
- SDLC’ye yardımcı olmak için popüler WAF’ler ve Sorun İzleyiciler ile entegre olur.
- Şirket İçi ve Bulut çözümü olarak sunulur.
3-Intruder
Intruder, BT ortamınızdaki güvenlik zayıflıklarını keşfeden güçlü, otomatik bir sızma testi aracıdır. Sektör lideri güvenlik kontrolleri, sürekli izleme ve kullanımı kolay bir platform sunan Intruder, her boyuttaki işletmeyi bilgisayar korsanlarından korur.
Özellikleri
- 10.000’den fazla güvenlik kontrolüyle sınıfının en iyisi tehdit kapsamı
- Yapılandırma zayıflıkları, eksik yamalar, uygulama zayıflıkları (SQL enjeksiyonu ve siteler arası komut dosyası oluşturma gibi) ve daha fazlasını denetler
- Tarama sonuçlarının otomatik analizi ve önceliklendirilmesi
- Sezgisel arayüz, hızlı kurulum ve ilk taramalarınızı çalıştırma
- En son güvenlik açıkları için proaktif güvenlik izleme
- AWS, Azure ve Google Cloud bağlayıcıları
- CI / CD ardışık düzeninizle API entegrasyonu
4-Indusface
Indusface WAS, OWASP top 10 ve SANS ilk 25’e göre güvenlik açıklarını tespit etmek ve raporlamak için manuel Sızma / Penetrasyon testi ve otomatikleştirilmiş tarama sunar.
Özellikleri
- Tarayıcı, tek sayfalı uygulamaları tarar
- Duraklatma ve devam ettirme özelliği
- Aynı panoda görüntülenen Manuel PT ve Otomatik tarayıcı raporları
- Sınırsız konsept kanıtı talepleri, bildirilen güvenlik açıklarının kanıtını sunar ve otomatik tarama bulgularından yanlış pozitifin ortadan kaldırılmasına yardımcı olur
- Sıfır Yanlış pozitif ile anında sanal yama sağlamak için isteğe bağlı WAF entegrasyonu
- WAF sistemlerinden gelen gerçek trafik verilerine dayalı olarak tarama kapsamını otomatik olarak genişletir (WAF’a abone olunur ve kullanılırsa)
- İyileştirme yönergelerini / POC’yi tartışmak için 7 gün 24 saat destek
5) Intrusion Detection Software (Saldırı Tespit Yazılımı)
İzinsiz Giriş Tespit Yazılımı, her tür gelişmiş tehdidi tespit etmenizi sağlayan bir araçtır. DSS (Karar Destek Sistemi) ve HIPAA için uyumluluk raporlaması sağlar. Bu uygulama, şüpheli saldırıları ve etkinlikleri sürekli olarak izleyebilir.
Özellikleri:
- İzinsiz girişi tespit etme çabalarını en aza indirir.
- Etkili raporlama ile uyum sağlar.
- Gerçek zamanlı günlükler sağlar.
- Kötü amaçlı IP’leri, uygulamaları, hesapları ve daha fazlasını tespit edebilir.
6) Traceroute NG
Traceroute NG , ağ yolunu analiz etmenizi sağlayan bir uygulamadır. Bu yazılım, IP adreslerini, ana bilgisayar adlarını ve paket kaybını belirleyebilir. Komut satırı arayüzü aracılığıyla doğru analiz sağlar.
Özellikleri:
- Hem TCP hem de ICMP ağ yolu analizi sunar.
- Bu uygulama bir txt günlük dosyası oluşturabilir.
- Hem IP4 hem de IPV6’yı destekler.
- Yol değişikliklerini tespit edip bildirim verir.
- Bir ağın sürekli araştırılmasına izin verir.
7) ExpressVPN
ExpressVPN, dolandırıcılara karşı internette gezinmeyi güvence altına alır. Müziğe, sosyal medyaya ve videoya sınırsız erişim sağlar, öyle ki bu programlar hiçbir zaman IP adreslerini, tarama geçmişini, DNS sorgularını veya trafik hedefini kaydetmez.
Özellikleri:
- 160 lokasyonda ve 94 ülkede sunucu.
- Herhangi bir bant genişliği sınırlaması olmaksızın VPN’e bağlanın.
- Sızıntı önleme ve şifreleme kullanarak çevrimiçi koruma sağlar.
- IP adresini gizleyerek ve ağ verilerinizi şifreleyerek güvende kalın.
- Yardım, e-posta ve canlı sohbet yoluyla 7/24 mevcuttur.
- Gizli sitelere erişmek için Bitcoin ile ödeme yapma ve Tor’u kullanma.
8) Owasp
Açık Web Uygulama Güvenliği Projesi ( OWASP ), yazılım güvenliğini artırmaya odaklanan dünya çapında kar amacı gütmeyen bir kuruluştur. Proje, çeşitli yazılım ortamlarını ve protokollerini test etmek için birden fazla araca sahiptir. Projenin amiral gemisi araçları şunları içerir:
- Zed Attack Proxy (ZAP – entegre bir sızma testi aracı)
- OWASP Bağımlılık Kontrolü (proje bağımlılıklarını tarar ve bilinen güvenlik açıklarına karşı kontrol eder)
- OWASP Web Test Ortamı Projesi (güvenlik araçları ve dokümantasyon koleksiyonu)
OWASP test kılavuzu, en yaygın web uygulamasına sızma testi yapmak için “en iyi uygulamayı” verir
9) WireShark
Wireshark , daha önce Ethereal olarak bilinen bir ağ analiz pentest aracıdır. Paketi gerçek zamanlı olarak yakalar ve bunları insan tarafından okunabilir biçimde görüntüler. Temel olarak, ağ protokolleriniz, şifre çözme, paket bilgileriniz vb. Hakkında en ufak ayrıntılar sağlayan bir ağ paket analizcisidir. Açık kaynaktır ve Linux, Windows, OS X, Solaris, NetBSD, FreeBSD ve birçoğunda kullanılabilir. diğer sistemler. Bu araç aracılığıyla alınan bilgiler bir GUI veya TTY modu TShark Yardımcı Programı aracılığıyla görüntülenebilir.
WireShark özellikleri şunları içerir:
- Canlı yakalama ve çevrimdışı analiz
- Zengin VoIP analizi
- Gzip ile sıkıştırılmış yakalama dosyaları anında açılabilir
- Çıktı XML, PostScript, CSV veya düz metne aktarılabilir
- Çoklu platform: Windows, Linux, FreeBSD, NetBSD ve diğerleri üzerinde çalışır
- Canlı veriler internetten, PPP / HDLC’den, ATM’den, Blue-diş’ten, USB’den, Token Ring’den vb. Okunabilir.
- IPsec, ISAKMP, SSL / TLS, WEP ve WPA / WPA2 içeren birçok protokol için şifre çözme desteği
- Hızlı sezgisel analiz için renklendirme kuralları pakete uygulanabilir
- Birçok farklı yakalama dosyası formatını okuyun / yazın
10) w3af
w3af , bir web uygulaması saldırı ve denetim çerçevesidir. Üç tür eklenti vardır; Sitedeki güvenlik açıkları için birbirleriyle iletişim kuran keşif, denetim ve saldırı, örneğin w3af’daki bir keşif eklentisi, güvenlik açıklarını test etmek için farklı url’leri arar ve daha sonra güvenlik açıklarını aramak için bu URL’leri kullanan denetim eklentisine iletir.
Ayrıca bir MITM proxy’si olarak çalışacak şekilde yapılandırılabilir. Yakalanan istek, istek üreticisine gönderilebilir ve ardından değişken parametreler kullanılarak manuel web uygulama testi yapılabilir. Ayrıca bulduğu güvenlik açıklarından yararlanacak özelliklere de sahiptir.
W3af özellikleri
- Proxy desteği
- HTTP yanıt önbelleği
- DNS önbelleği
- Çok parçalı dosya yükleme
- Çerez kullanımı
- HTTP temel ve özet kimlik doğrulaması
- Kullanıcı aracısı taklidi
- İsteklere özel başlıklar ekleyin
Genel olarak 40 araç incelenmiş olup devamı sonraki makalelerde yayınlanacaktır.
