028-86922220

2023版漏洞评估工具Top10（含容器方向）

对于发现资产中已知漏洞、配置不当等问题的工具，大家习惯性称之为“漏洞扫描”工具，但随着技术演进，很多工具越来越智能，逐渐具备分析总结能力，因此将它们称为“漏洞评估”工具似乎更准确。

大多数漏洞评估工具都能覆盖常规漏洞，例如OWASP Top10，但一般都各有所长。常见的区分维度包括部署灵活性、扫描速度、扫描准确度以及与流程管理、代码开发等平台的整合性。如果不考虑license的限制和成本，很多团队都会选择同时部署多款工具。本文推荐的开源工具能与主流的流程管理平台集成，输出包含优先级的处置分析报告，而且这些工具仍有团队在积极维护。

另外，针对容器方向的漏洞评估工具，尽管有一些新工具出现，如Anchore,Clair​, Dagda，Trivy，但大量用户反映这些工具存在功能不全、整合性差等问题，因此考虑到易用性，本文仅推荐OSV-Scanner、OpenSCAP、ZAP这几款支持或包含一部分容器安全扫描功能的开源工具。

OSV-Scanner（开源代码扫描）

传送门：​ ​OSV-Scanner​​

OSV Scanner由谷歌团队开发，发布于2022 年 12 月 13 日。开源市场也不乏能有效扫描静态代码漏洞的SCA（软件成分分析）工具。但作为“新秀”，OSV从OSV.dev 开源漏洞数据库中提取并适用于不同的生态系统，其漏洞来源和支持的语言更加广泛，可以很好地为DevOps 团队降本增效。

主要功能：

优：

劣：

与开发者工作流集成、发现C/C++漏洞等功能不完善；

在某些编程语言的漏洞检测中可能弱于一些早期的开源SCA工具：

Sqlmap（数据库扫描）

传送门：​​Sqlmap​​

一些DevOps团队会在后端数据库与代码hook之前对数据库进行安全扫描。Sqlmap就是其中的代表工具。

主要功能：

优：

劣：

Wapiti（SQL注入检测）

传送门：​​Wapiti​​

Wapiti是一款针对应用的黑盒扫描工具，采用fuzzing技术，在脚本中注入payload来发现常见漏洞。

主要功能：

优：

劣：

ZAP (OWASP Zed Attack Proxy) （XSS检测）

传送门：​​ZAP​​

OWASP的Zed攻击代理（ZAP）在浏览器和web应用之间，以代理身份拦截请求，并通过模拟用户和黑客行为，如修改内容、转发数据包等进行安全测试。

主要功能：

优：

劣：

CloudSploit（云资源安全扫描）

传送门：​​CloudSploit​​

Aqua公司开源了CloudSploit的核心扫描引擎，供广大用户下载、更改和使用。CloudSploit支持按需扫描也可配置为持续运行，并及时告警。

主要功能：

优：

劣：

Firmwalker （物联网）

传送门：​​Firmwalker​​

有些开源团队开发了很多安全工具来扫描网络设备和物联网（IoT）的固件，但漏洞扫描器比较少。Firmwalker可以搜索提取或装好的固件，并报告潜在漏洞。

主要功能：

优：

劣：

Nikto2（Web Server）

传送门：​​Nikto2​​

Nikto2是一个开源的web server扫描器，可发现风险文件、程序、错误配置。用户也可在Kali Linux访问Nikto。

主要功能：

优：

劣：

OpenSCAP（合规类）

传送门：​​OpenSCAP​​

OpenSCAP是一个Linux平台的开源框架，对标美国国家标准与技术研究所（NIST）维护的安全内容自动化协议（SCAP），实施合规评估。OpenSCAP支持扫描web应用、网络基础设施、数据库和主机。与绝大部分CVE扫描器不同，OpenSCAP根据SCAP的标准执行安全测试。

主要功能：

优：

劣：

OpenVAS （终端和网络）

传送门：​​OpenVAS​​

Nessus是Tenable发布的一款全球领先的漏洞评估产品。而OpenVAS是Nessus的一个开源分支，功能丰富，漏洞来源广泛，可对传统端点和网络进行大规模的漏洞评估。

主要功能：

优：

劣：

Nmap（网络和端口）

传送门：​​Nmap​​

Nmap支持绝大多数操作系统，通过IP数据包扫描设备端口并确定被检查的资产有哪些主机、服务和操作系统，是渗透测试人员和IT团队必不可少的工具之一。

主要功能：

优：

劣：；

参考资料：https://www.esecurityplanet.com/applications/open-source-vulnerability-scanners/


当前文章：2023版漏洞评估工具Top10（含容器方向）
文章网址：http://www.turtgq.com/article/cogsppg.html

其他资讯