So sánh các công cụ quét lỗ hổng bảo mật web – Invicti (trước đây là Netsparker) khẳng định vị thế dẫn đầu thị trường
Nguồn bài viết: https://www.invicti.com/vulnerability-scanner-comparison/
Tiêu chuẩn quét bảo mật ứng dụng web DAST (Web Application Security Scanner) là gì?
Đây là một bài kiểm tra so sánh các tính năng, phạm vi phủ sóng, tỷ lệ phát hiện lỗ hổng và độ chính xác của các trình quét bảo mật ứng dụng web “Web Application Security Scanners” tự động, còn được gọi là trình quét lỗ hổng web hoặc giải pháp kiểm tra bảo mật ứng dụng động (DAST).
Các bài kiểm tra riêng lẻ được thực hiện bởi Nhà nghiên cứu và Phân tích Bảo mật Thông tin độc lập, Shay Chen. Ông đã so sánh cả trình quét lỗ hổng thương mại và mã nguồn mở, nhưng trong kết quả này, chúng tôi chỉ tập trung vào các giải pháp thương mại.
Shay đã thực hiện các bài kiểm tra tiêu chuẩn và cải tiến nền tảng này kể từ năm 2010. Cho đến nay, ông đã phát hành sáu phiên bản (2010, 2011, 2012, 2013/2014, 2015, 2017/2018). Công trình của ông được coi là kết quả so sánh thực tế của ngành bảo mật ứng dụng.
Các bài kiểm tra được thực hiện như thế nào?
Shay Chen và nhóm của ông đã xây dựng Dự án Đánh giá Các Công Cụ Quét Lỗ hổng Ứng dụng Web (WAVSEP – Web Application Vulnerability Scanner Evaluation Project), một nền tảng thử nghiệm mà họ quét để đánh giá hiệu suất của từng công cụ quét lỗ hổng bảo mật. Trong đó, các công cụ quét này được kiểm tra với các thiết lập thực tế, bằng cách thu thập dữ liệu từ trang web HTML cơ bản nhất để xác định các lỗ hổng bảo mật thường thấy trong các Ứng dụng SPA (SPA – Single Page Applications) hiện đại. WAVSEP là một dự án mã nguồn mở và các bài kiểm tra mới được tích hợp hàng năm. Bạn có thể tải xuống từ kho lưu trữ GitHub của WAVSEP.
Kiểm thử các Giải pháp Quản lý & Đánh giá Lỗ hổng
Năm nay, Shay và nhóm của anh ấy đã tiến thêm một bước nữa. Họ đã cài đặt và tích hợp các giải pháp DAST vào các quy trình SSDLC (Vòng đời Phát triển Phần mềm An toàn) thực tế của doanh nghiệp để hiểu rõ hơn về cách họ có thể mở rộng nền tảng thử nghiệm WAVSEP và kiểm tra các máy quét. Vì vậy, họ đã triển khai các công cụ quét lỗ hổng tự động trong các tổ chức tài chính, công nghệ cao và viễn thông.
Họ muốn kiểm tra nhiều hơn là tỷ lệ phát hiện lỗ hổng bảo mật. Họ muốn xem những công cụ này thực sự có thể giúp doanh nghiệp cải thiện quy trình quản lý và phân loại lỗ hổng, cũng như chương trình bảo mật thông tin của họ như thế nào. Như chính Shay giải thích:
“Một số kinh nghiệm này đã dẫn chúng tôi đến việc phát triển các trường hợp kiểm thử nhằm kiểm tra các vấn đề trong các tính năng được công bố mà chúng tôi nhận thấy không hoạt động như mong đợi trong quá trình triển khai thực tế, và một số dẫn đến việc tạo ra các danh mục so sánh rõ ràng rất quan trọng cho việc triển khai thực tế”.
Tác động Tiêu cực của Kết quả Dương tính Giả
Shay và nhóm của ông cũng đã nói về tầm quan trọng của kết quả quét chính xác trong báo cáo, sau khi họ trải nghiệm trực tiếp với các công cụ quét lỗ hổng trong môi trường thực tế. Trích dẫn từ kết quả benchmark chính thức:
Việc loại bỏ một lượng lớn kết quả dương tính giả “False Positives” trong quá trình kiểm tra thâm nhập “Pentest” không phải là lý tưởng, nhưng có thể thực hiện tương đối dễ dàng. Tuy nhiên, hàng ngàn kết quả dương tính giả trong các tình huống quét định kỳ SSDLC của doanh nghiệp có thể gây ra hậu quả nghiêm trọng.
Kết quả dương tính giả xuất hiện trong kết quả quét gây bất lợi cho ngành bảo mật ứng dụng web. Nhiều đến mức các tổ chức lớn, với hàng trăm, thậm chí hàng ngàn ứng dụng web, chỉ tập trung nỗ lực vào một số ít trang web quan trọng và bỏ qua phần còn lại. Tôi khá sốc khi biết điều này, mặc dù điều này không có gì đáng ngạc nhiên vì hàng năm có rất nhiều vụ tấn công mạng và rò rỉ dữ liệu.
Lỗi dương tính giả khiến việc mở rộng bảo mật web trở nên bất khả thi
Nếu một giải pháp báo cáo lỗi dương tính giả, bạn sẽ không thể – trừ khi bạn có một đội ngũ hùng hậu – mở rộng quy mô nỗ lực và bảo mật tất cả các ứng dụng web của mình. Ngay cả khi bạn có ngân sách cho việc này, vẫn tồn tại vấn đề rắc rối về lỗi của con người.
Đây là lý do tại sao Invicti phát triển công nghệ Quét dựa trên bằng chứng “Proof-Based Scanning” độc quyền của Invicti, công nghệ tự động xác minh các lỗ hổng được phát hiện – chứng minh chúng là lỗi thực sự chứ không phải lỗi dương tính giả. Công nghệ này mang lại rất nhiều lợi ích, và vì kết quả quét chính xác, bạn có thể dễ dàng mở rộng quy mô nỗ lực của mình. Trong môi trường thực tế, với hàng nghìn ứng dụng web, bạn có thể bắt đầu quy trình phân loại lỗ hổng và khắc phục chúng chỉ trong vài giờ.
Tiêu chí Đánh giá
Trong các bài kiểm tra benchmark năm 2017/2018, Shay và nhóm của ông đã đưa vào một số khía cạnh chưa được khám phá trước đây của trình quét và các bài kiểm tra mới để kiểm tra khả năng phát hiện các lỗ hổng đã được khám phá trước đó. Các bài kiểm tra này bao gồm chèn lệnh hệ điều hành và tái sử dụng XSS thông qua các bài kiểm tra RFI, cũng có thể được sử dụng để đánh giá giả mạo yêu cầu phía máy chủ (SSRF – Server-side Request Forgery).
Kết quả Benchmark – Kết quả đánh giá chung
Bạn có thể nhận thấy các nhà cung cấp như Qualys, Tenable Nessus, Retina và Nexpose không được đề cập trong các so sánh này. Invicti đã liên hệ với Shay và anh ấy xác nhận rằng anh ấy đã liên hệ với tất cả các nhà cung cấp nhưng không phải tất cả đều muốn đóng góp và tham gia vào các bài kiểm tra đánh giá này. Vì đây là so sánh công cụ quét lỗ hổng thương mại, các công cụ mã nguồn mở thủ công như OWASP ZAP cũng không được đưa vào.
Các công cụ quét lỗ hổng đã phát hiện được bao nhiêu lỗ hổng?
Ma dưới đây liệt kê tỷ lệ phần trăm tổng số lỗ hổng mà mỗi máy quét bảo mật ứng dụng web đã phát hiện. Dữ liệu hoặc điểm số bị thiếu được biểu thị bằng ký hiệu “N/A”.
| Invicti (Netsparker) | WebInspect | AppSpider | Burp Suite | AppScan | |
|---|---|---|---|---|---|
| OS Command Injection (New) | 100 | N/A | 99.11 | 93.3 | N/A |
| Remote File Inclusion/SSRF (New) | 100 | 100 | 82.67 | 74.67 | N/A |
| Path Traversal | 100 | 91.18 | 81.61 | 78.31 | 100 |
| SQL Injection | 100 | 98.46 | 95.39 | 97 | 100 |
| Reflective XSS | 100 | 100 | 100 | 97 | 100 |
| Unvalidated Redirect | 100 | 95.51 | 100 | 76.67 | 36.67 |
| Average % | 100.0 | 97.0 | 93.1 | 86.2 | 84.2 |
Rõ ràng, Invicti vượt trội hơn đối thủ về khả năng phát hiện lỗ hổng. Đây là công cụ quét duy nhất xác định được tất cả các vấn đề bảo mật, tiếp theo là HP WebInspect với 97% và Rapid7 AppSpider với 93,1%.
Lưu ý: Việc thiếu dữ liệu hoặc điểm số là do thiếu hỗ trợ (trong một số trường hợp thậm chí là thiếu phản hồi) từ một số nhà cung cấp. Chỉ những bài kiểm tra mà các công cụ quét lỗ hổng có kết quả mới được sử dụng để tính toán mức trung bình toàn cầu.
Có bao nhiêu kết quả dương tính giả được báo cáo?
Ma trận dưới đây liệt kê tỷ lệ phần trăm kết quả dương tính giả mà mỗi trình quét bảo mật ứng dụng web phát hiện được.
| Invicti (Netsparker) | AppSpider | WebInspect | AppScan | Burp Suite | |
|---|---|---|---|---|---|
| OS Command Injection (New) | 0 | 0 | 0 | 0 | 0 |
| Remote File Inclusion/SSRF (New) | 0 | 0 | 0 | 0 | 16.67 |
| Path Traversal | 0 | 0 | 0 | 0 | 12.5 |
| SQL Injection | 0 | 0 | 0 | 0 | 0 |
| Reflective XSS | 0 | 0 | 0 | 0 | 0 |
| Unvalidated Redirect | 0 | 0 | 11 | 11 | 0 |
| Total % | 0.0 | 0.0 | 1.8 | 1.8 | 4.9 |
Invicti và Rapid7 AppSpider là những giải pháp duy nhất báo cáo không có kết quả dương tính giả nào, trong khi Burp Suite là giải pháp báo cáo nhiều kết quả dương tính giả nhất.
Biểu đồ với Tỷ lệ Phát hiện Toàn cầu & Tỷ lệ Báo động Giả (Global Detection & False Positives Rates)
Biểu đồ này là hình ảnh minh họa trực quan kết quả toàn cầu, minh họa cả tỷ lệ phát hiện lỗ hổng và tỷ lệ báo động giả cho từng nhà cung cấp.
Kết quả Benchmark – Kết quả kiểm tra riêng
OS Command Injection Detection
Kiểm tra lỗ hổng tiêm lệnh hệ điều hành “OS command injection vulnerability tests” là một trong những bài kiểm tra mới. Invicti là công cụ quét duy nhất phát hiện được tất cả các trường hợp lỗ hổng trong bài kiểm tra.
Remote File Inclusion / SSRF
Đây cũng là một trong những bài kiểm tra mới được đưa vào các bài kiểm tra chuẩn mực WAVSEP. Invicti và WebInspect là hai công cụ quét duy nhất phát hiện được tất cả các lỗ hổng trong bài kiểm tra này. AppSpider đứng thứ hai với 82,67%, và Burp Suite đứng thứ ba với 74,67%. Tuy nhiên, Burp Suite cũng có 16,67% kết quả dương tính giả.
Path Traversal
Lần này, Invicti và Appscan dẫn đầu, cả hai đều phát hiện tất cả các lỗ hổng duyệt đường dẫn/duyệt thư mục (path traversal/directory traversal). HP Webinspect đứng thứ hai, theo sau là Appspider. Burp Suite là trình quét phát hiện ít nhất với tỷ lệ 78,31% và cũng báo cáo 12,5% kết quả dương tính giả.
SQL Injection
Đây là một trong những bài kiểm tra kinh điển: lỗ hổng SQL injection vulnerability. Trong bài kiểm tra này, Invicti và Appscan đã phát hiện tất cả các lỗ hổng. HP Webinspect đứng thứ hai với 98,46%. Không có máy quét nào báo cáo kết quả dương tính giả trong bài kiểm tra này.
Reflective Cross-site Scripting (XSS)
Tất cả các trình quét trừ Burp Suite đều phát hiện ra tất cả các lỗ hổng tấn công xuyên trang web “cross-site scripting vulnerabilities”.
SQL Injection
Đây là một trong những bài kiểm tra kinh điển: lỗ hổng SQL injection vulnerability. Trong bài kiểm tra này, Invicti và Appscan đã phát hiện tất cả các lỗ hổng. HP Webinspect đứng thứ hai với 98,46%. Không có máy quét nào báo cáo kết quả dương tính giả trong bài kiểm tra này.
Việc So sánh Công Cụ Quét Lỗ Hổng Bảo mật Web có Hữu ích & Thực tế không?
Theo nguyên tắc chung, không gì có thể sánh bằng một bài kiểm tra môi trường thực tế. Mặc dù không thể kiểm tra tất cả các trình quét bảo mật web hiện có trên thị trường. Vì vậy, những so sánh này cực kỳ hữu ích vì chúng làm nổi bật những người dẫn đầu thị trường – những trình quét lỗ hổng có thể phát hiện nhiều lỗ hổng nhất và tạo ra kết quả chính xác.
Sau khi xác định được hai hoặc ba giải pháp bạn muốn kiểm tra, hãy yêu cầu nhà cung cấp dùng thử để kiểm tra trình quét lỗ hổng. Trên thực tế, Invicti khuyến khích khách hàng tiềm năng kiểm tra giải pháp bảo mật web của họ bằng cách quét bản sao thử nghiệm của ứng dụng web của họ, như đã giải thích trong bài viết Cách Đánh giá Trình quét Bảo mật Ứng dụng Web.
Để thực hiện bài kiểm tra này, rất dễ dàng – hãy đăng ký dùng thử Invicti Enterprise hoặc cài đặt Invicti Standard trên máy ảo Microsoft Windows.
Công cụ quét bảo mật ứng dụng web nào tốt nhất?
Công cụ quét lỗ hổng bảo mật web tốt nhất là trình quét phát hiện nhiều lỗ hổng nhất trong ứng dụng web của bạn, dễ sử dụng nhất và có thể giúp bạn tự động hóa hầu hết công việc. Việc tìm kiếm lỗ hổng trong ứng dụng web không chỉ phụ thuộc vào thời lượng quét mà còn phụ thuộc vào thời gian thiết lập quét (quét trước) và xác minh kết quả (quét sau). Thời gian hoàn tất toàn bộ quy trình, bao gồm cả việc phân loại lỗ hổng và kiểm tra bản sửa lỗi. Do đó, khi đánh giá các giải pháp, bạn nên đảm bảo rằng việc xác nhận lỗ hổng tự động là một phần của phương trình.
Đọc báo cáo đầy đủ của Shay Chen: Đánh giá các trình quét lỗ hổng ứng dụng web trong các tình huống sử dụng Pentest/SSDLC hiện đại.
Invicti có thể phát hiện lỗ hổng bảo mật trong ứng dụng web và API của bạn không?
Invicti có thể quét bất kỳ loại ứng dụng web nào, bất kể công nghệ được xây dựng. Nó sử dụng công cụ thu thập dữ liệu dựa trên Chrome và có thể phát hiện lỗ hổng trong các ứng dụng HTML5, Web 2.0 hiện đại, cả cũ lẫn tùy chỉnh, và các ứng dụng Single Page Application (SPA). Nó cũng có khả năng kiểm tra lỗ hổng cho các framework, thư viện và phần mềm nguồn mở phổ biến như WordPress, Joomla! và Drupal.
Trình quét lỗ hổng Invicti rất dễ sử dụng và hầu hết các cấu hình trước khi quét đều có thể được tự động hóa. Đây là giải pháp quản lý lỗ hổng tất cả trong một, với khả năng tích hợp và hỗ trợ nhiều người dùng. Tuy nhiên, để kiểm tra, tất cả những gì bạn cần làm là chỉ định URL và thông tin đăng nhập (để quét các trang web được bảo vệ bằng mật khẩu) và khởi chạy chương trình quét lỗ hổng.
So sánh trước đây giữa các trình quét bảo mật ứng dụng web tự động
Xem kết quả trước đây để so sánh giữa các trình quét bảo mật ứng dụng web năm 2015 và các trình quét bảo mật ứng dụng web năm 2013-2014.
Tham khảo các giải pháp quét lỗ hổng bảo mật
- Bài viết:
Burp Suite DAST – Mô phỏng các cuộc tấn công thực tế từ bên ngoài để tìm ra các lỗ hổng bảo mật
- Bài viết:
SonarQube – Công cụ Phân tích Chất lượng Mã nguồn, Bảo mật
- Bài viết:
Phần mềm quét lỗ hổng bảo mật là gì?
- Bài viết:
Burp Suite Professional – Công Cụ Toàn Diện Kiểm Thử Bảo Mật Web App
- Bài viết:
Bitdefender GravityZone: Phần mềm an ninh mạng phòng thủ đa lớp
- Bài viết:
LetsDefend – Giải Pháp Đào Tạo SOC và An Ninh Mạng Hàng Đầu
- Bài viết:
Acunetix – Nền tảng quét lỗ hổng bảo mật ứng dụng web và quản lý bảo mật toàn diện
- Bài viết:
Invicti – Nền tảng quản lý bảo mật ứng dụng web toàn diện
Mua bản quyền phần mềm quét lỗ hổng bảo mật tại LicenseSoft
LicenseSoft là đối tác cung cấp các sản phẩm phần mềm bản quyền chính hãng của nhiều hãng phần mềm trên thế giới. Với kinh nghiệm 10 năm trong lĩnh vực phần mềm bản quyền, LicenseSoft tự tin mang tới cho quý khách hàng gói phần mềm quét lỗ hổng bảo mật bản quyền với giá ưu đãi nhất thị trường.
LicensSoft cam kết bán hàng:
- Miễn phí giao hàng toàn quốc.
- Chỉ cung cấp bản quyền chính hãng.
- Xuất hóa đơn VAT đầy đủ thông tin.
- Điện thoại: (+84) 0981 434 884
- Email: [email protected]
TẠI SAO CHỌN MUA BẢN QUYỀN TẠI LICENSESOFT
Đối tác hàng đầu
LicenseSoft là đơn vị hàng đầu trong lĩnh vực cung cấp các sản phẩm phần mềm bản quyền chính hãng với hơn 10 năm kinh nghiệm.
1.000+ Khách hàng
LicenseSoft đã triển nhiều dự án cung cấp phần mềm bản quyền cho hơn 1000 khách hàng trên toàn quốc.
Đối tác của các hãng lớn
Chúng tôi đã đạt được chứng nhận đối tác vinh dự và uy tín của nhiều hãng phần mềm lớn trên toàn thế giới.
Chi phí tối ưu
LicenseSoft mang tới quý khách hàng các gói bản quyền phần mềm với chi phí tối ưu. Cam kết giá luôn tốt nhất thị trường
Tư vấn tận tình
Đội ngũ nhân viên kinh doanh của LicenseSoft có kinh nghiệm tư vấn và am hiểu về các gói bản quyền phần mềm để tư vấn tối ưu cho khách hàng
Hỗ trợ nhanh chóng
Mọi yêu cầu về báo giá, tư vấn sản phẩm hay hỗ trợ kỹ thuật của khách hàng đều được chúng tôi đáp ứng nhanh nhất có thể.
