《電子技術(shù)應(yīng)用》
您所在的位置:首頁(yè) > 通信與網(wǎng)絡(luò) > 業(yè)界動(dòng)態(tài) > 2021年值得持續(xù)關(guān)注的10大網(wǎng)安工具

2021年值得持續(xù)關(guān)注的10大網(wǎng)安工具

2020-12-27
來(lái)源:51CTO

  2a8672ef5ecda2c7f9994912a0806756.png-wh_651x-s_916453576.png

如今,,隨著大數(shù)據(jù),、物聯(lián)網(wǎng),、人工智能,、機(jī)器學(xué)習(xí)等新技術(shù)逐漸出現(xiàn)在我們的日常生活中,,隨著大量公司陸續(xù)成功地完成并實(shí)現(xiàn)了數(shù)字化轉(zhuǎn)型,,各種網(wǎng)絡(luò)威脅與犯罪也在呈指數(shù)級(jí)增加,。根據(jù)Statista的統(tǒng)計(jì)(如下圖所示),在2019年,,網(wǎng)絡(luò)安全漏洞造成了全球2038萬(wàn)美元的損失,。而Cybriant.com也認(rèn)為,網(wǎng)絡(luò)犯罪導(dǎo)致世界GDP在2019年折損0.8個(gè)百分點(diǎn)(總計(jì)約2.1萬(wàn)億美元),。

246f6fea07eca3d65799d90872267dee.png-wh_600x-s_2302833970.png

  今年,,隨著疫情對(duì)于全球經(jīng)濟(jì)環(huán)境的持續(xù)影響,無(wú)論是個(gè)人,、還是小微企業(yè),,在面對(duì)網(wǎng)絡(luò)安全威脅時(shí),會(huì)變得比以前更加脆弱,。因此,,為了更好地應(yīng)對(duì)“寒冬”,我們勢(shì)必需要提高自身的防御能力,。在此,,我將向您介紹10大優(yōu)秀的網(wǎng)絡(luò)安全工具,希望能夠?yàn)槟趯?duì)本企業(yè)的安全總體加固,,以及計(jì)劃2021年的安全預(yù)算時(shí)提供參考,。

  什么是滲透測(cè)試?

  在正式介紹之前,,讓我們首先來(lái)了解一個(gè)安全基本概念--滲透測(cè)試,。它是指通過(guò)使用惡意攻擊等安全性測(cè)試方法,,仔細(xì)檢查目標(biāo)系統(tǒng)(如:軟件、硬件,、業(yè)務(wù)服務(wù),、以及網(wǎng)絡(luò)環(huán)境等)的所有安全風(fēng)險(xiǎn)或漏洞,在評(píng)估安全態(tài)勢(shì)的基礎(chǔ)上,,最終管理系統(tǒng)的各項(xiàng)正常功能,,并保護(hù)業(yè)務(wù)數(shù)據(jù)。值得注意的是,,滲透測(cè)試是一種非功能性測(cè)試,,執(zhí)行測(cè)試的QA工程師也被稱為道德黑客。

  值得關(guān)注的10大網(wǎng)安工具

  目前,,市場(chǎng)上有付費(fèi)和開(kāi)源兩大陣營(yíng)的安全測(cè)試工具,,下面我們來(lái)逐一進(jìn)行了解:

  1. NMap

357cccbb184b58bbc4e7cd7b964a57c5.png

  作為Network Mapper的縮寫(xiě),NMap是一個(gè)開(kāi)源且免費(fèi)的安全掃描工具,,可被用于安全審計(jì)和網(wǎng)絡(luò)發(fā)現(xiàn),。它能夠工作在Windows、Linux,、HP-UX,、Solaris、BSD(包括Mac OS),、以及AmigaOS上,。Nmap可用于探測(cè)網(wǎng)絡(luò)中那些可訪問(wèn)的主機(jī),檢測(cè)它們操作系統(tǒng)的類型和版本,,正在提供的服務(wù),,以及正在使用的防火墻或數(shù)據(jù)包過(guò)濾器的信息等。由于它既帶有GUI界面,,又提供命令行,,因此許多網(wǎng)絡(luò)與系統(tǒng)管理員經(jīng)常將它運(yùn)用到自己的日常工作中,,其中包括:檢查開(kāi)放的端口,,維護(hù)服務(wù)的升級(jí)計(jì)劃,發(fā)現(xiàn)網(wǎng)絡(luò)拓?fù)?,以及監(jiān)視主機(jī)與服務(wù)的正常運(yùn)行時(shí)間等方面,。

  核心功能:

  識(shí)別網(wǎng)絡(luò)上的主機(jī)

  發(fā)現(xiàn)網(wǎng)絡(luò)映射與清單,維護(hù)和管理資產(chǎn)

  產(chǎn)生針對(duì)網(wǎng)絡(luò)中主機(jī)流量,、響應(yīng)時(shí)間等指標(biāo)的分析

根據(jù)既定的審計(jì)安排,,識(shí)別目標(biāo)主機(jī)上的開(kāi)放端口

搜索和利用網(wǎng)絡(luò)中的漏洞以及風(fēng)險(xiǎn)

  下載鏈接:https://nmap.org/


  2. Wireshark

ab7989eedaa08ffe66af4f1ac5899fe5.png

  作為業(yè)界最好的工具之一,Wireshark可以提供免費(fèi)且開(kāi)源的滲透測(cè)試服務(wù),。通常,,您可以把它當(dāng)作網(wǎng)絡(luò)協(xié)議分析器,,以捕獲并查看目標(biāo)系統(tǒng)與網(wǎng)絡(luò)中的流量。它可以在Linux,、Windows,、Unix、Solaris,、Mac OS,、NetBSD、FreeBSD,、以及其他操作系統(tǒng)上運(yùn)行,。Wireshark廣受教育工作者、安全專家,、網(wǎng)絡(luò)專業(yè)人員,、以及開(kāi)發(fā)人員的使用和喜愛(ài)。那些經(jīng)由Wireshark還原的信息,,可以被其圖形用戶界面(GUI)或TTY模式的TShark工具來(lái)查看,。

  核心功能:

  提供豐富的VoIP分析

  提供實(shí)時(shí)捕獲和離線檢查

  能夠深入檢查數(shù)百種協(xié)議

  可以運(yùn)行在多種操作系統(tǒng)及其版本上

  可以捕獲系統(tǒng)或網(wǎng)絡(luò)數(shù)據(jù),并通過(guò)GUI或TTY模式的TShark工具呈現(xiàn)

能夠讀/寫(xiě)多種變體捕獲文件(variant capture file)的格式

可以通過(guò)gzip來(lái)壓縮已捕獲的文件,,并能同時(shí)解壓縮

可以將不同顏色的現(xiàn)實(shí)規(guī)則應(yīng)用到數(shù)據(jù)包列表上,,以進(jìn)行直觀、快速的分析

可以從藍(lán)牙,、PPP/HDLC,、互聯(lián)網(wǎng)、ATM,、令牌環(huán),、USB等途徑讀取實(shí)時(shí)數(shù)據(jù)

可以將結(jié)果導(dǎo)出為PostScript、CSV,、XML或純文本

      下載鏈接:https://www.wireshark.org/


  3. Metasploit

82e7817b0acb3f259ff18b7a2706bf03.png

  作為一個(gè)安全項(xiàng)目,,Metasploit可為用戶提供有關(guān)安全風(fēng)險(xiǎn)或漏洞等方面的重要信息。該開(kāi)源的框架可以通過(guò)滲透測(cè)試服務(wù),,讓用戶獲悉各種應(yīng)用程序,、平臺(tái)和操作系統(tǒng)上的最新漏洞,以及可以被利用的代碼,。從滲透測(cè)試角度來(lái)看,,Metasploit可以實(shí)現(xiàn)對(duì)已知漏洞的掃描,偵聽(tīng),,利用,,以及證據(jù)的收集。它提供可在Linux、Windows以及Apple Mac OS上運(yùn)行的命令行和圖形用戶界面,。雖然Metasploit是一種商業(yè)工具,,但它附帶有一個(gè)開(kāi)源的有限試用版。

  核心功能:

  提供網(wǎng)絡(luò)發(fā)現(xiàn)

  具有命令行和GUI界面

  適用于Windows,、Linux和Mac OS X

  提供模塊化的瀏覽器

  支持基本發(fā)掘和手動(dòng)發(fā)掘兩種模式

  提供漏洞掃描器的導(dǎo)入

  為信息安全(InfoSec)社區(qū)提供免費(fèi)的社區(qū)版

      下載鏈接:https://www.metasploit.com/


  4.Netsparker

48c5a914c0c251f2e526115ab8ba762b.png

  作為一款商業(yè)化的安全測(cè)試工具,,Netsparker是一個(gè)精確、自動(dòng)化且易用的Web應(yīng)用安全掃描程序,。該工具可以被用于自動(dòng)化地識(shí)別Web應(yīng)用服務(wù)中的跨站點(diǎn)腳本(XSS)和SQL注入等安全風(fēng)險(xiǎn),。通過(guò)基于證據(jù)的掃描技術(shù),它不僅可以生成風(fēng)險(xiǎn)報(bào)告,,還能夠通過(guò)概念證明(Proof of Concept),,來(lái)確認(rèn)是否有誤報(bào),并能減少手動(dòng)驗(yàn)證漏洞的時(shí)間,。

  核心功能:

  提供高級(jí)Web服務(wù)掃描,、漏洞評(píng)估、HTTP請(qǐng)求生成器

通過(guò)以證據(jù)為核心的掃描技術(shù),,實(shí)現(xiàn)精確的威脅發(fā)現(xiàn)

全面支持HTML5,,能夠整合軟件開(kāi)發(fā)生命周期(SDLC)

提供手動(dòng)測(cè)試與報(bào)告

  可自動(dòng)識(shí)別定制的404錯(cuò)誤頁(yè)面

  支持反跨站點(diǎn)請(qǐng)求偽造(CSRF)令牌、反CSRF令牌,、以及REST API

下載鏈接:https://www.netsparker.com/


  5. Acunetix

232d8c884d8799f0b20593c8a38aaea3.png

  Acunetix是一款全自動(dòng)化的Web漏洞掃描程序,。它可以智能地檢測(cè)、識(shí)別并報(bào)告超過(guò)4500種Web應(yīng)用漏洞,,其中包括XSS XXE,、SSRF、主機(jī)頭部注入(Host Header Injection)和SQL注入的所有變體,。作為一種商業(yè)工具,,Acunetix通過(guò)其DeepScan Crawler來(lái)掃描重AJAX(AJAX-heavy)客戶端類型的單頁(yè)面應(yīng)用(SPA)和HTML5網(wǎng)站。用戶可以利用它將檢測(cè)到的漏洞導(dǎo)出至諸如:GitHub,、Atlassian JIRA,、Microsoft TFS(Team Foundation Server)等問(wèn)題跟蹤器中。

  核心功能:

  提供針對(duì)高風(fēng)險(xiǎn)漏洞的檢測(cè),,且誤報(bào)率較低

  通過(guò)集成漏洞管理,,以便組織控制各類風(fēng)險(xiǎn)

  通過(guò)自動(dòng)化掃描,來(lái)深入爬取和審查各種網(wǎng)站

  能夠與時(shí)下流行的WAF,,以及GitHub,、JIRA,、TFS等問(wèn)題跟蹤器相集成

      提供開(kāi)源Web安全掃描和手動(dòng)測(cè)試工具

  可以在Linux,、Windows、以及在線環(huán)境中運(yùn)行

  下載鏈接:https://www.acunetix.com/


  6. Nessus

0f20509b10a411956742aeccad026891.png

  由Tenable Network Security公司開(kāi)發(fā)和維護(hù)的Nessus,是針對(duì)安全從業(yè)人員的漏洞評(píng)估解決方案,。它能夠協(xié)助檢測(cè)和修復(fù)各種操作系統(tǒng),、應(yīng)用程序、乃至設(shè)備上的漏洞,、惡意軟件,、配置錯(cuò)誤、以及補(bǔ)丁的缺失,。通過(guò)運(yùn)行在Windows,、Linux、Mac,、Solaris上,,用戶可以用它來(lái)進(jìn)行IP與網(wǎng)站的掃描,合規(guī)性檢查,,敏感數(shù)據(jù)搜索等測(cè)試,。

  核心功能:

  提供針對(duì)配置和移動(dòng)設(shè)備的審計(jì)

  可以簡(jiǎn)單地定制報(bào)告摘要,突出顯示掃描結(jié)果,,并能夠按照主機(jī)或漏洞進(jìn)行排序

能夠識(shí)別可被遠(yuǎn)程攻擊者訪問(wèn)到的機(jī)密數(shù)據(jù)系統(tǒng)的漏洞

可以識(shí)別網(wǎng)絡(luò)中的主機(jī)故障,,并判定是否缺少補(bǔ)丁

下載鏈接:http://www.tenable.com/products/nessus


7. W3af

f8fd81952e34b3d7eedb77be86b40b92.png

  作為一個(gè)免費(fèi)工具,W3af是一個(gè)Web應(yīng)用攻擊和審計(jì)框架,。它通過(guò)搜索,、識(shí)別和利用200多種已知的Web應(yīng)用漏洞,來(lái)掌控目標(biāo)網(wǎng)站的總體風(fēng)險(xiǎn),。這些漏洞包括:跨站點(diǎn)腳本(XSS),、SQL注入、未處理的應(yīng)用錯(cuò)誤,、可被猜測(cè)的密鑰憑據(jù),、以及PHP錯(cuò)誤配置等。W3af不但適用于Mac,、Linux和Windows OS,,而且提供控制臺(tái)和圖形用戶界面。

  核心功能:

  能夠?qū)eb和代理服務(wù)器納入其代碼中,,并支持代理

能夠?qū)⒂行У呢?fù)載,,注入到HTTP請(qǐng)求的各個(gè)部分

支持HTTP的基礎(chǔ)和摘要式身份驗(yàn)證

  可以處理Cookie,偽造UserAgent

  支持HTTP響應(yīng)緩存和DNS緩存

  能夠使用分段的方式上傳文件

  可以向請(qǐng)求添加自定義的頭部

  下載鏈接:http://w3af.org/


  8. Zed Attack Proxy

5764ab64ab0b27c1f5966afd10c5e97c.png

  Zed Attack Proxy(ZAP)是由OWASP開(kāi)發(fā)的免費(fèi)且開(kāi)源的安全測(cè)試工具,。它可以讓您在Web應(yīng)用中發(fā)現(xiàn)一系列安全風(fēng)險(xiǎn)與漏洞,。由于支持Unix/Linux、Windows和Mac OS,,即使您是滲透測(cè)試的新手,,也能輕松地上手該工具,。

  核心功能:

  支持認(rèn)證、AJAX爬取,、自動(dòng)化掃描

  支持強(qiáng)制瀏覽和動(dòng)態(tài)SSL證書(shū)

  支持Web套接字與即插即用(Plug-n-hack)

  可以攔截代理

  支持基于REST的API

  下載鏈接:https://www.owasp.org/index.php/OWASP_Zed_Attack_Proxy_Project


9. Burpsuite

333d4c4c8801c079fa06de198561d293.png-wh_600x-s_3606094183.png

  作為一個(gè)嚴(yán)控“入侵者”掃描工具,,Burpsuite被部分安全測(cè)試專家認(rèn)為:“如果沒(méi)有它,滲透測(cè)試將無(wú)法開(kāi)展,?!彪m然不是免費(fèi),但是Burpsuite提供豐富的功能,。通常,,人們可以在Mac OS X、Windows和Linux環(huán)境中使用它,,以實(shí)現(xiàn)爬取內(nèi)容和功能,,攔截代理,以及掃描Web應(yīng)用等測(cè)試目的,。

  核心功能:

  提供跨平臺(tái)支持

  穩(wěn)定且輕量級(jí)

  可以與幾乎所有的主流瀏覽器協(xié)同使用

  可執(zhí)行自定義的攻擊

  用戶界面設(shè)計(jì)精良

  可以協(xié)助爬取網(wǎng)站

  可以協(xié)助掃描Https/HTTP類型的請(qǐng)求和響應(yīng)

  網(wǎng)站:http://portswigger.net/burp/


  10. Sqlninja

5b0c944f588d2b974a1bef5dd8657e08.png

  作為最好的開(kāi)源滲透測(cè)試工具之一,,Sqlninja可以利用Microsoft SQL Server作為后端,來(lái)檢測(cè)Web應(yīng)用上的SQL注入威脅和漏洞,。該自動(dòng)化測(cè)試工具提供命令行界面,,可以在Linux和Apple Mac OS X上被使用。Sqlninja具有包括:對(duì)遠(yuǎn)程命令進(jìn)行計(jì)數(shù),,DB指紋識(shí)別,,及其檢測(cè)引擎等描述性功能。

  核心功能:

  為UDP和TCP提供直接和反向shell

  支持遠(yuǎn)程SQL Server的指紋

  如果原始被禁用,,則可以自生成XP cmdshell

  可以從遠(yuǎn)程數(shù)據(jù)庫(kù)中提取數(shù)據(jù)

  可以在遠(yuǎn)程數(shù)據(jù)庫(kù)服務(wù)器上進(jìn)行操作系統(tǒng)級(jí)別的提權(quán)

       能夠通過(guò)反向掃描,,來(lái)尋找可用于反向shell的端口

       下載鏈接:http://sqlninja.sourceforge.net/


       總結(jié)

  上述所列的10大網(wǎng)絡(luò)安全測(cè)試工具,無(wú)疑能夠通過(guò)嚴(yán)格的滲透測(cè)試,,減少您的個(gè)人數(shù)據(jù)與隱私被盜,,以及被泄露的可能。與此同時(shí),,它們也能夠?yàn)槠髽I(yè)規(guī)避網(wǎng)絡(luò)攻擊,,進(jìn)而保護(hù)IT基礎(chǔ)架構(gòu)。當(dāng)然,,這些安全軟件工具也需要持續(xù)升級(jí)和維護(hù),,以提供一流的安全性服務(wù)。


 

 


本站內(nèi)容除特別聲明的原創(chuàng)文章之外,,轉(zhuǎn)載內(nèi)容只為傳遞更多信息,,并不代表本網(wǎng)站贊同其觀點(diǎn)。轉(zhuǎn)載的所有的文章,、圖片,、音/視頻文件等資料的版權(quán)歸版權(quán)所有權(quán)人所有,。本站采用的非本站原創(chuàng)文章及圖片等內(nèi)容無(wú)法一一聯(lián)系確認(rèn)版權(quán)者。如涉及作品內(nèi)容,、版權(quán)和其它問(wèn)題,,請(qǐng)及時(shí)通過(guò)電子郵件或電話通知我們,,以便迅速采取適當(dāng)措施,,避免給雙方造成不必要的經(jīng)濟(jì)損失。聯(lián)系電話:010-82306118,;郵箱:[email protected],。