Die wichtigsten Tools für dynamische Anwendungssicherheitstests (DAST) im Jahr 2025

Moderne Anwendungen werden schnell ausgeliefert - und das bedeutet oft, dass sich Sicherheitslücken in die Produktion einschleichen. In diesem Leitfaden erläutern wir, was Dynamic Application Security Testing (DAST) ist, warum es im Jahr 2025 wichtig ist und wie Sie das richtige DAST-Tool für Ihr Team auswählen, unabhängig davon, ob Sie alleine entwickeln oder für die Sicherheit im Unternehmen zuständig sind.

Nicht jeder Leser muss sich mit allen 15+ Tools befassen. Wenn Sie einen bestimmten Anwendungsfall im Sinn haben - z. B. die besten DAST-Tools für Entwickler, Startups oder API-Sicherheit - können Sie direkt zu den Unterlisten springen, die auf Ihr Szenario zugeschnitten sind.

Wir empfehlen Ihnen jedoch, sich die vollständige Aufschlüsselung der Tools weiter unten anzusehen. Selbst ein kurzer Blick auf die Hauptliste könnte ein Tool zum Vorschein bringen, das Sie noch nicht in Betracht gezogen haben - oder Ihnen helfen zu verstehen, warum einige Optionen in allen Kategorien ganz oben stehen.

Was ist DAST?

Dynamic Application Security Testing (DAST) ist eine Sicherheitstestmethode, bei der eine laufende Anwendung von außen nach innen bewertet wird, ähnlich wie ein Angreifer es tun würde. Ein DAST-Tool interagiert mit einer Webanwendung über deren Frontend (HTTP-Anfragen, Webschnittstellen, APIs), ohne dass ein Zugriff auf den Quellcode erforderlich ist. Bei diesem "Blackbox"-Ansatz werden bösartige Eingaben simuliert und die Antworten der Anwendung analysiert, um Schwachstellen wie SQL-Injection, Cross-Site Scripting (XSS), Authentifizierungsfehler, Fehlkonfigurationen und andere Laufzeitprobleme zu erkennen. Im Grunde genommen verhält sich DAST wie ein automatischer Hacker, der die Verteidigungsmechanismen Ihrer Anwendung testet.

DAST-Lösungen unterscheiden sich von statischen Analysetools (SAST), weil sie die laufende Anwendung in einer realistischen Umgebung testen. Während SAST den Quellcode nach Fehlern durchsucht, startet DAST tatsächlich Angriffe auf eine installierte Anwendung, um zu sehen, ob diese Schwachstellen in Echtzeit ausgenutzt werden können. Das bedeutet, dass DAST Probleme finden kann, die sich erst dann zeigen, wenn das gesamte System läuft - zum Beispiel Konfigurationsfehler, defekte Zugriffskontrollen oder unsichere Standardeinstellungen, die beim bloßen Lesen des Codes nicht auffallen würden. DAST wird häufig in der späten Testphase (QA, Staging oder sogar Produktion mit Vorsicht) als abschließende Prüfung eingesetzt, um alles zu finden, was zuvor übersehen wurde.

Auch im Jahr 2025 ist DAST von entscheidender Bedeutung, da moderne Webanwendungen immer komplexer werden (Single-Page-Anwendungen, Microservices, APIs usw.). DAST-Tools haben sich weiterentwickelt, um diese Herausforderungen zu bewältigen - Crawling von reichhaltigen Schnittstellen, Verfolgung von Redirects, Handhabung von Authentifizierungsströmen und Testen von REST/GraphQL-APIs, ohne dass die Interna der Anwendung sichtbar sein müssen. Viele Unternehmen verwenden eine kombinierte SAST- und DAST-Strategie, um den gesamten Lebenszyklus der Softwareentwicklung abzudecken. (Einen ausführlicheren Vergleich finden Sie in unserem Leitfaden zur gemeinsamen Nutzung von SAST und DAST).

Warum Sie DAST-Tools brauchen

Die Sicherheit von Webanwendungen ist ein bewegliches Ziel - Anwendungen sind heute rund um die Uhr dem Internet ausgesetzt, und Angreifer entdecken ständig neue Schwachstellen. Aus diesem Grund ist der Einsatz von DAST-Tools im Jahr 2025 ein Muss:

• Real-World Coverage: DAST-Tools finden Schwachstellen aus der Perspektive eines Außenstehenden und zeigen Ihnen genau, was ein Angreifer in einer laufenden Anwendung ausnutzen könnte. Sie können Probleme in der Umgebung (Serverkonfigurationen, Komponenten von Drittanbietern, APIs) aufdecken, die bei statischen Codeprüfungen möglicherweise übersehen werden.
• Sprach- und plattformunabhängig: Da DAST mit der Anwendung über HTTP und die Benutzeroberfläche interagiert, spielt es keine Rolle, in welcher Sprache oder welchem Framework die Anwendung geschrieben wurde. Ein DAST-Scanner kann Java, Python, Node oder eine beliebige Webplattform testen - ideal für polyglotte Umgebungen.
• Findet kritische Laufzeitfehler: DAST eignet sich hervorragend zum Aufspüren von Problemen wie falsch konfigurierten Servern, unterbrochenen Authentifizierungsabläufen, unsicheren Cookies und anderen Bereitstellungsproblemen, die erst auftreten, wenn die Anwendung live ist. Dabei handelt es sich oft um schwerwiegende Schwachstellen (z. B. ein offenes Admin-Portal oder ein Standardpasswort), die bei der Codeüberprüfung übersehen werden.
• Geringe False Positives (in vielen Fällen): Moderne DAST-Lösungen verwenden Techniken wie die Angriffsverifizierung (z. B. Proof-of-Exploit), um Schwachstellen zu bestätigen und das Rauschen zu reduzieren. Im Gegensatz zu SAST, das theoretische Probleme aufzeigen kann, zeigt DAST in der Regel konkrete Beweise (z. B. "Ich konnte Ihre Datenbank über SQL-Injection auslesen"), was es für Entwickler einfacher macht, den Ergebnissen zu vertrauen.
• Einhaltung von Vorschriften und Sorgenfreiheit: Viele Sicherheitsstandards und -vorschriften (PCI DSS, OWASP Top 10 usw.) empfehlen oder verlangen dynamische Tests von Webanwendungen. Der Einsatz eines DAST-Tools hilft bei der Überprüfung dieser Vorschriften, indem es Berichte erstellt, die von den Prüfern verstanden werden (z. B. Abdeckung der OWASP-Top-10-Probleme) und sicherstellt, dass Sie vor der Inbetriebnahme keine Lücken in Ihrer Anwendung hinterlassen haben.

Kurz gesagt, DAST fügt eine wesentliche Sicherheitsebene hinzu, indem es Ihre Anwendung so angreift, wie es echte Bedrohungen tun würden - so können Sie Schwachstellen beheben, bevor böse Akteure sie ausnutzen.

Wie man ein DAST-Werkzeug auswählt

Nicht alle DAST-Scanner sind gleich. Berücksichtigen Sie bei der Bewertung von Tools zum Testen der dynamischen Anwendungssicherheit die folgenden Kriterien, um die beste Lösung zu finden:

• Abdeckung von Technologien: Vergewissern Sie sich, dass das Tool den Tech-Stack Ihrer Anwendungen verarbeiten kann - unterstützt es moderne JavaScript-lastige Frontends (Single Page Applications), mobile Backends und APIs (REST, SOAP, GraphQL)? Tools wie HCL AppScan und Invicti unterstützen eine breite Palette von Anwendungstypen.
• Genauigkeit und Tiefe: Achten Sie auf eine hohe Erkennungsrate von Schwachstellen bei minimalen Fehlalarmen. Funktionen wie Bestätigungs-Scans oder Proof-of-Concept-Generierung (z. B. das Proof-based Scanning von Invicti) sind wertvoll, um Ergebnisse automatisch zu validieren. Sie wollen ein Tool, das kritische Probleme aufdeckt, Sie aber nicht mit Rauschen überfordert.
• Benutzerfreundlichkeit und Integration: Ein gutes DAST passt in Ihren Arbeitsablauf. Achten Sie auf Tools, die eine einfache Einrichtung (Cloud-basierte oder verwaltete Optionen), CI/CD-Integration für DevSecOps (Aikido, StackHawk usw.) und Integrationen mit Issue-Trackern (Jira, GitHub) oder Workflows bieten. Wenn Ihre Entwickler Scans aus Pipelines auslösen können und die Ergebnisse in ihren Tools erhalten, wird die Akzeptanz reibungsloser sein.
• Authentifizierung und Umgang mit Komplexität: Viele Anwendungen sind nicht vollständig öffentlich - prüfen Sie, ob der DAST authentifiziertes Scannen (Anmeldung mit einem Benutzerkonto/einer Sitzung) unterstützt und Dinge wie mehrstufige Formulare oder komplexe Abläufe verarbeiten kann. Unternehmenstaugliche Scanner wie Burp Suite, AppScan und andere ermöglichen die Aufzeichnung von Anmeldesequenzen oder Authentifizierungsskripten.
• Berichterstattung und Entwickler-Feedback: Die Ausgabe sollte entwicklerfreundlich sein. Achten Sie auf klare Schwachstellenbeschreibungen, Anleitungen zur Behebung und bei Bedarf auf Compliance-Berichte (z. B. Berichte, die den OWASP Top 10, PCI usw. zugeordnet sind). Einige Plattformen (wie Aikidos DAST) bieten sogar automatische Korrekturvorschläge oder Code-Patches, um die Behebung zu beschleunigen.
• Skalierbarkeit und Leistung: Wenn Sie Dutzende oder Hunderte von Anwendungen scannen müssen, sollten Sie überlegen, wie das Tool skaliert. Cloud-basierte DAST-Dienste (Qualys WAS, Rapid7 InsightAppSec, Tenable.io usw.) können Scans parallel ausführen und die Zeitplanung verwalten. Vor-Ort-Tools sollten mehrere Engines oder Scan-Agenten zur Skalierung zulassen. Beurteilen Sie auch die Scangeschwindigkeit - einige Tools bieten inkrementelles Scannen oder Optimierung für schnellere Re-Tests.
• Unterstützung und Wartung: Schließlich ist ein Tool nur so gut wie sein letztes Update. Beurteilen Sie, wie häufig der Anbieter die Schwachstellenprüfungen des Scanners aktualisiert. Aktive Unterstützung durch die Community oder den Anbieter ist entscheidend, insbesondere bei Open-Source-Optionen. Ein veraltetes DAST (oder eines ohne Support) kann neue Bedrohungen übersehen oder bei modernen Anwendungen versagen.

Behalten Sie diese Kriterien im Hinterkopf, wenn Sie sich die Landschaft der DAST-Lösungen ansehen. Lassen Sie uns nun einen Blick auf die Top-Tools des Jahres 2025 werfen und sehen, wie sie abschneiden.

Die wichtigsten DAST-Tools für 2025

In diesem Abschnitt finden Sie eine Liste der besten Tools zum Testen der dynamischen Anwendungssicherheit im Jahr 2025. Dabei handelt es sich um eine Mischung aus kommerziellen und Open-Source-Optionen, die jeweils einzigartige Stärken aufweisen. Wir haben eine alphabetisch geordnete Liste der Top-Tools erstellt, zusammen mit den wichtigsten Funktionen, idealen Anwendungsfällen, Preisinformationen und sogar einigen Auszügen aus Nutzerbewertungen. Egal, ob Sie ein Entwickler in einem Startup oder ein Sicherheitsverantwortlicher in einem Unternehmen sind, Sie werden eine DAST-Lösung finden, die Ihren Anforderungen entspricht.

Zunächst ein Vergleich der 5 besten DAST-Tools auf der Grundlage von Funktionen wie API-Scanning, CI/CD-Integration und Genauigkeit. Diese Tools sind die besten ihrer Klasse für eine Reihe von Anforderungen von Entwicklern bis hin zu Unternehmensteams.

Acunetix von Invicti

Acunetix von Invicti ist ein leistungsstarker, auf DAST ausgerichteter Web-Schwachstellen-Scanner, der auf kleine und mittlere Unternehmen zugeschnitten ist. Er bietet schnelles, automatisiertes Scannen von Websites und APIs, wobei der Schwerpunkt auf Benutzerfreundlichkeit und schnelle Bereitstellung liegt. Acunetix wurde ursprünglich als eigenständiges Produkt entwickelt und ist nun Teil der Invicti Security-Produktfamilie (als Ergänzung zum Invicti-Scanner der Enterprise-Klasse). Acunetix ist ein hervorragender Einstiegspunkt für Teams, die ihr Programm für Anwendungssicherheit starten.

Wesentliche Merkmale:

• Robuste Abdeckung von Schwachstellen: Scans für mehr als 7.000 bekannte Web-Schwachstellen, einschließlich aller OWASP Top 10 Probleme, mit Prüfungen für SQLi, XSS, Fehlkonfigurationen, schwache Passwörter und mehr.
• Beweisbasiertes Scannen: Verwendet Invictis proprietäre Proof-of-Exploit-Technologie, um viele Ergebnisse automatisch zu verifizieren und Fehlalarme zu reduzieren. Zum Beispiel kann es SQL-Injections sicher bestätigen, indem es einen Beispieldatenextrakt demonstriert.
• API- und SPA-Scanning: Acunetix kann mit modernen Anwendungen umgehen - es crawlt HTML5 Single-Page-Anwendungen und kann REST- und GraphQL-APIs testen. Es unterstützt auch den Import von Swagger/OpenAPI-Definitionen, um eine vollständige API-Abdeckung sicherzustellen.
• Integrationen und CI/CD: Bietet integrierte Integrationen mit Issue-Trackern (wie Jira) und CI/CD-Pipelines (Jenkins, GitLab CI usw.), um die Automatisierung in DevSecOps zu ermöglichen. Scans können bei neuen Builds ausgelöst und die Ergebnisse als Entwicklertickets für schnelle Korrekturschleifen exportiert werden.
• Einhaltung & Berichterstattung: Bietet vorgefertigte Konformitätsberichte für Standards wie OWASP Top 10, PCI DSS, HIPAA, ISO 27001 und andere - nützlich für Audits und den Nachweis von Sicherheitstests gegenüber Interessengruppen.

Am besten geeignet für: Kleine bis mittelgroße Unternehmen, die ein schnelles, benutzerfreundliches DAST-Tool mit einer Scan-Engine auf Unternehmensniveau suchen. Die Preise von Acunetix sind erschwinglicher als die einiger großer Unternehmenstools (Jahreslizenzen mit Optionen für On-Premise oder Cloud).

‍Preismodell: Kommerziell, mit Editionen basierend auf der Anzahl der Ziele; eine 14-tägige kostenlose Testversion ist verfügbar.

Highlight der Bewertung: "Acunetix hat eine benutzerfreundliche Oberfläche, ist einfach zu konfigurieren und zu betreiben und liefert zuverlässige Ergebnisse. Das Lizenzierungsmodell ist nicht so granular wie es sein könnte, was bedeutet, dass eine Planung für die Skalierung nach oben oder unten erforderlich ist." (Quelle: G2)

Aikido-Sicherheit

Aikido Security ist eine auf Entwickler ausgerichtete All-in-One-Plattform für Anwendungssicherheit, die neben anderen Tools auch einen DAST-Scanner umfasst. Aikidos DAST (genannt Surface Monitoring) simuliert Blackbox-Angriffe auf Ihre Webanwendung, um Schwachstellen in Echtzeit zu finden. Das Besondere an Aikido ist sein einheitlicher Ansatz - es vereint DAST, SAST, API-Sicherheitsscans, Cloud-Konfigurationsprüfungen und vieles mehr in einer einzigen Schnittstelle, die Entwicklern und Sicherheitsteams gleichermaßen eine nahtlose Erfahrung bietet. Die Plattform ist Cloud-basiert und verfügt über ein großzügiges kostenloses Angebot, das sowohl Startups als auch großen Unternehmen Sicherheit auf Enterprise-Niveau bietet.

Wesentliche Merkmale:

• Vereinheitlichtes SAST + DAST: Aikido kombiniert statische und dynamische Tests - Sie können Probleme frühzeitig mit SAST erkennen und sie in laufenden Anwendungen mit DAST überprüfen. Alle Ergebnisse fließen in ein Dashboard für eine ganzheitliche AppSec-Transparenz ein (SAST & DAST zusammen als Anwendungsfall).
• Entwicklerfreundlicher Workflow: Entwickelt als "No-Nonsense-Sicherheit für Entwickler". Aikido lässt sich in Entwicklungstools (IDEs, CI/CD-Pipelines, GitHub/GitLab, Slack-Benachrichtigungen) integrieren. Entwickler erhalten sofortiges Feedback - z. B. können DAST-Ergebnisse als Pull Request-Kommentare oder Pipeline-Ergebnisse mit Links zu Korrekturvorschlägen erscheinen. Ein Benutzer sagte: "Mit Aikido ist Sicherheit jetzt einfach ein Teil unserer Arbeitsweise. Es ist schnell, integriert und tatsächlich hilfreich für Entwickler."
• Automatisierte API-Erkennung und -Scanning: Die DAST-Engine umfasst eine automatische Erkennung von API-Endpunkten (REST und GraphQL) und scannt sie auf Schwachstellen. Dies ist von entscheidender Bedeutung, da APIs häufig moderne Webanwendungen begleiten. Aikido kann sich auch in authentifizierte Bereiche einloggen und diese testen, um die Angriffsfläche Ihrer App zu vergrößern.
• KI-gestütztes Autofix: Ein herausragendes Merkmal: Die Aikido-Plattform kann mithilfe von KI mit einem Klick Korrekturen für bestimmte Feststellungen generieren. Wenn die DAST beispielsweise ein reflektiertes XSS findet, kann die Plattform einen Code-Patch oder eine Konfigurationsänderung vorschlagen. Auf diese Weise werden Sicherheitsbefunde in umsetzbare Aufgaben verwandelt, die Entwickler in Sekundenschnelle lösen können.
• Skalierbarkeit und Cloud-Integration: Da es sich um einen Cloud-Service handelt, kann Aikido viele Anwendungen kontinuierlich scannen. Er ist für Unternehmen geeignet (rollenbasierter Zugriff, Team-Dashboards für den Unternehmenseinsatz usw.), aber auch für schlanke Teams sehr gut zugänglich. Die Plattform kann in Ihrer KI laufen, oder Sie können On-Demand-Scans über eine einfache Web-UI oder API auslösen.

‍Bestfür: Entwicklungsteams, die eine integrierte, auf den Entwickler ausgerichtete Sicherheitslösung wünschen. Aikido ist ideal, wenn Sie DAST ohne großen Aufwand in den Entwicklungszyklus einbinden möchten. Aikido wird sowohl von Startups (mit speziellen Startup-freundlichen Plänen) als auch von Unternehmen genutzt (siehe Enterprise-Funktionen).

‍Preismodell: Kostenlose "Forever"-Stufe (mit DAST, SAST und anderen Kernscannern für kleine Projekte) und kostenpflichtige Pauschaltarife für zusätzliche Benutzer oder erweiterte Funktionen. Sie können kostenlos und ohne Kreditkarte starten, was die Evaluierung erleichtert.

Highlight der Rezension: "Mit Aikido können wir ein Problem in nur 30 Sekunden beheben - ein Klick auf eine Schaltfläche, Zusammenführen des PR und fertig." (Nutzer-Feedback zur automatischen Korrektur)

Arachni

Arachni ist ein in Ruby geschriebenes Open-Source-Framework zum Scannen der Sicherheit von Webanwendungen. Es ist ein funktionsreiches DAST-Tool, das durch seine modulare Architektur und seine gründlichen Scan-Fähigkeiten bekannt geworden ist. Arachni kann als Standalone-Scanner über seine CLI oder Web-UI verwendet werden, und es ist auch ein Framework, mit dem Penetrationstester benutzerdefinierte Scan-Module erstellen können. Obwohl Arachni nicht mehr aktiv weiterentwickelt wird (das letzte größere Update stammt aus dem Jahr 2017), bleibt es eine leistungsstarke Option für alle, die bereit sind, mit einem Open-Source-Projekt zu arbeiten und es möglicherweise zu erweitern.

Wesentliche Merkmale:

• Umfassende Schwachstellentests: Arachni deckt alle kritischen Web-Schwachstellen ab - SQL Injection (einschließlich blinder Techniken), XSS (reflektiert und gespeichert), File Inclusion, OS Command Injection, XXE, CSRF und mehr. Es führt sowohl aktive Prüfungen (Angriffseingaben) als auch passive Prüfungen (Suche nach Informationslecks, Konfigurationsproblemen usw.) durch.
• Modular und erweiterbar: Der Scanner ist hochgradig modular. Dutzende von vorgefertigten Modulen behandeln verschiedene Testarten, und Sie können Ihre eigenen in Ruby schreiben. Diese Modularität erstreckt sich auch auf die Profileinstellungen und sogar auf die Möglichkeit, Scans zu verteilen. Für fortgeschrittene Benutzer kann Arachni ein Toolkit für Penetrationstests sein, nicht nur ein Scanner auf Knopfdruck.
• GUI- und CLI-Optionen: Arachni bietet eine Befehlszeilenschnittstelle für die Automatisierung und eine browserbasierte GUI für die einfachere Nutzung. Weniger erfahrene Benutzer können die Web-UI nutzen, um Scans zu konfigurieren und Berichte anzuzeigen, während Power-User die CLI in Skripte oder CI-Pipelines integrieren können.
• Detaillierte Berichterstattung: Das Tool generiert detaillierte HTML-Berichte mit interaktiven Diagrammen und Schwachstellen-Drilldowns. In den Berichten werden die einzelnen Schwachstellen erläutert, wobei häufig auf OWASP-Beschreibungen verwiesen wird, und es werden Schritte zur Reproduktion und Vorschläge zur Abhilfe gemacht. Diese Berichterstattung wurde als eine der Stärken von Arachni angesehen.
• Leistung und Automatisierung: Es unterstützt Multi-Thread-Scans und kann sogar in einer verteilten Weise eingerichtet werden, um Scans für große Anwendungen zu beschleunigen. Sie können Scans anhalten und fortsetzen und den Scanbereich auf bestimmte Domänen oder Seiten zuschneiden - nützlich in Automatisierungsszenarien.

Am besten geeignet für: Sicherheitsforscher und Pen-Tester, die ein kostenloses, quelloffenes DAST-Framework zum Tüfteln suchen. Arachni ist auch lehrreich für diejenigen, die lernen möchten, wie Scanner unter der Haube funktionieren. Beachten Sie jedoch: Der Entwickler von Arachni hat die aktive Entwicklung eingestellt, und das Projekt wurde seit 2017 nicht mehr wesentlich aktualisiert. Es funktioniert immer noch für viele Anwendungsfälle (dank der Anpassungen durch die Community) und kann viele Schwachstellen finden, aber es kann sein, dass es mit einigen modernen Technologien (wie den neuesten JavaScript-Frameworks) nicht so reibungslos funktioniert.

‍Preismodell: Frei und Open-Source (GPLv2). Benutzer sollten aufgrund des minimalen offiziellen Supports und der Notwendigkeit, Module für neueste Technologien zu aktualisieren, eine Lernkurve einplanen.

Highlight der Rezension: "Durchläuft alle kritischen Tests für die OWASP Top 10... Beeindruckende Berichtsausgabe mit aufschlussreichen Erklärungen. Nachteile: Seit 2017 wurde es nicht mehr aktualisiert, kein Support, das Projekt wurde aufgegeben." (Comparitech-Review)

Rülps-Suite

Burp Suite von PortSwigger ist ein legendäres Tool in der Welt der Web-Sicherheit. Es handelt sich um eine integrierte Plattform, die sowohl manuelle als auch automatisierte Sicherheitstests von Webanwendungen unterstützt. Burp Suite wird häufig von Penetrationstestern, Bug-Bounty-Jägern und Sicherheitsexperten verwendet. Sie arbeitet als Abfangproxy (der es Ihnen ermöglicht, den Datenverkehr zu verändern) und enthält einen automatisierten Scanner (Burp Scanner) für DAST. Die modularen Tools der Suite (Proxy, Scanner, Intruder, Repeater, etc.) bieten ein umfassendes Hacking-Toolkit. Burp Suite gibt es in einer kostenlosen Community Edition und einer kostenpflichtigen Professional Edition (mit deutlich mehr Funktionen und Geschwindigkeit).

Wesentliche Merkmale:

• Abfangender Proxy: Das Herzstück von Burp ist ein Proxy, der HTTP/S-Anfragen und Antworten abfängt. Dadurch können die Tester den Datenverkehr im laufenden Betrieb überprüfen und verändern. Dies ist von unschätzbarem Wert für manuelle Tests - Sie können Parameter, Header usw. manipulieren und dann Anfragen an andere Burp-Tools für weitere Tests senden.
• Automatisierter Scanner: Der DAST-Scanner von Burp kann eine Anwendung automatisch crawlen und auf Schwachstellen untersuchen. Er erkennt über 300 Schwachstellenarten, darunter SQLi, XSS, CSRF, Befehlsinjektion und andere. Mit mehr als 2500 Testfällen und -mustern ist er sehr gründlich. Die Ergebnisse des Scanners enthalten Beweise und Hinweise zur Behebung.
• Erweiterbarkeit (BApp Store): Burp verfügt über ein umfangreiches Plugin-Ökosystem. Der BApp Store bietet von der Community entwickelte Erweiterungen, die Funktionen hinzufügen - von Schwachstellenprüfungen bis zur Integration mit anderen Tools. Das bedeutet, dass Sie Burp erweitern können, um nach neuen Bedrohungen zu scannen oder in Entwicklungspipelines zu integrieren (es gibt sogar ein Burp CI-Plugin, und Burp Enterprise ist ein separates Produkt für die Automatisierung).
• Werkzeuge für manuelle Tests: Über das Scannen hinaus glänzt die Burp Suite mit Tools wie Intruder (für automatisiertes Fuzzing/Brute Force), Repeater (für die Erstellung und Wiedergabe einzelner Anfragen), Sequencer (für die Token-Analyse) und Decoder/Comparer. Mit diesen Tools können erfahrene Tester bestimmte Probleme, die bei automatischen Scans auffallen, genauer untersuchen.
• CI/CD-Integration: Für DevSecOps bietet PortSwigger die Burp Suite Enterprise (eine separate Edition) an, die für die Durchführung von Scans in CI und in großem Umfang konzipiert ist. Aber auch Burp Pro kann in Skripten über die Befehlszeile oder API verwendet werden. So können Teams Burp-Scans als Teil ihrer Pipeline einbinden (oft für kritische Anwendungen oder zur doppelten Überprüfung anderer Scanner).

Am besten geeignet für: Penetrationstester und Unternehmen mit engagierten AppSec-Experten. Burp Suite Professional wird aufgrund seiner Flexibilität und Tiefe häufig für praktische Sicherheitstests eingesetzt. Für ein Entwicklerteam kann Burp zur Überprüfung spezifischer Probleme oder bei der Bedrohungsmodellierung und dem Debugging von Sicherheitskorrekturen verwendet werden. Die Community Edition ist kostenlos, hat aber Einschränkungen (langsameres Scannen, kein Speicherstatus). Die Pro-Lizenz kostet ~$449 pro Benutzer und Jahr - "das ist es wert für den ernsthaften Tester", wie ein Reddit-Nutzer bemerkte: "Es ist das billigste und beste Tool seiner Art. Es ist sein Geld wert.". Der Burp-Scanner ist stark, aber beachten Sie, dass er manchmal sehr geschäftslogikspezifische Probleme übersieht - menschliches Fachwissen ist seine beabsichtigte Ergänzung.

Highlight der Rezension: "Eines der besten Proxy-Tools für Bug Bounty Hunters und Penetrationstester. Es gibt nichts zu beanstanden; jeder Profi liebt es." (G2 Bewertung)

HCL AppScan Standard

HCL AppScan Standard (früher IBM AppScan) ist ein Desktop-basiertes DAST-Tool für Unternehmensanwender. Es bietet eine Vielzahl von Funktionen zum Scannen von Webanwendungen, Webdiensten und sogar einigen mobilen App-Backends auf Sicherheitsschwachstellen. AppScan Standard ist Teil des breiteren HCL AppScan-Portfolios (zu dem auch AppScan Enterprise, AppScan on Cloud, SAST-Tools usw. gehören). Es ist für seine tiefgreifenden Scan-Funktionen bekannt und wird häufig von Sicherheitsprüfern und QA-Teams in großen Unternehmen eingesetzt.

Wesentliche Merkmale:

• Umfassende Scanning-Engine: AppScan Standard verwendet fortschrittliche Crawling- und Testalgorithmen, um die Abdeckung komplexer Anwendungen zu maximieren. Sein "aktionsbasiertes" Scannen kann Anwendungen mit nur einer Seite und umfangreichen clientseitigen Code verarbeiten. Außerdem verfügt es über Zehntausende von integrierten Testfällen, die alles von SQLi, XSS bis hin zu Logikfehlern abdecken. Die Software wurde entwickelt, um die komplexesten Webanwendungen mit Anmeldesequenzen, mehrstufigen Workflows und vielem mehr zu bewältigen.
• Testen von APIs und mobilen Backends: Neben herkömmlichen Webanwendungen können Sie auch Web-APIs (SOAP, REST) und mobile Backends testen. Sie können es mit API-Definitionen füttern oder den mobilen Datenverkehr aufzeichnen, um die Endpunkte zu prüfen. Dies macht AppScan für Unternehmen mit mobilen Anwendungen nützlich, die mit JSON/REST-Diensten kommunizieren.
• Inkrementelle & optimierte Scans: AppScan ermöglicht inkrementelle Scans, d. h. es werden nur die neuen oder geänderten Teile einer Anwendung erneut getestet, was bei Regressionstests Zeit spart. Sie können auch die Einstellungen für die Scan-Geschwindigkeit im Verhältnis zur Abdeckung anpassen, um schnelle Entwicklungsscans oder gründliche Audits durchzuführen.
• Berichterstattung und Compliance: AppScan Standard verfügt über robuste Berichtsfunktionen. Es kann eine Vielzahl von Berichten generieren, einschließlich entwicklerorientierter Berichte mit Korrekturempfehlungen und Zusammenfassungen. Insbesondere bietet es Compliance- und Industriestandard-Berichte (PCI, HIPAA, OWASP Top 10, DISA STIGs, etc.), die den Nachweis der Einhaltung von Sicherheitsanforderungen erleichtern.
• Integration in Unternehmen: AppScan Standard ist zwar ein eigenständiger Client, kann aber mit AppScan Enterprise (zur Skalierung von Scans in einem Team) und mit CI/CD-Pipelines über Befehlszeilenausführung oder APIs integriert werden. HCL bietet auch Plugins für Tools wie Jenkins. Darüber hinaus unterstützt es authentifiziertes Scannen mit verschiedenen Mechanismen (Basic, NTLM, form auth, etc.) und kann problemlos hinter der Unternehmensfirewall arbeiten, da es vor Ort ausgeführt wird.

Am besten geeignet für: Unternehmen und Sicherheitsteams, die eine leistungsstarke Vor-Ort-DAST-Lösung mit umfangreichen Konfigurationsoptionen benötigen. Wenn Sie eine fein abgestufte Kontrolle über Scans benötigen, Anwendungen in einer sicheren Umgebung offline testen müssen oder Compliance-Vorgaben haben, ist AppScan ein guter Kandidat.

‍Preismodell: Kommerziell (Unternehmenspreis). Normalerweise wird es pro Benutzer oder pro Installation lizenziert. HCL bietet es auch als Teil von AppScan on Cloud-Abonnements an. Erwarten Sie einen höheren Preis, der dem Funktionsumfang für Unternehmen entspricht; eine Schulung wird empfohlen, um das Beste daraus zu machen.

Kontext der Überprüfung: Da AppScan schon lange auf dem Markt ist (seit den Tagen von IBM), hat es sich bereits bewährt. Die Benutzer loben oft seine Tiefe, weisen aber darauf hin, dass die Benutzeroberfläche und die Einrichtung komplex sein können. Wenn Sie Zeit investieren, wird es zuverlässig Schwachstellen finden und die Berichte erstellen, die Sie benötigen, um Auditoren zufrieden zu stellen.

Micro Focus Fortify WebInspect

Micro Focus Fortify WebInspect (jetzt unter OpenText, das Micro Focus übernommen hat) ist ein unternehmenstaugliches DAST-Tool, das für seinen Einsatz bei tiefgreifenden Sicherheitsbewertungen und die Integration in die Fortify-Suite bekannt ist. WebInspect bietet automatisiertes dynamisches Scannen von Webanwendungen und -diensten und wird oft zusammen mit den statischen Analysetools (SAST) von Fortify eingesetzt, um beide Aspekte abzudecken. Dieses Tool hat eine lange Tradition im Bereich AppSec und wird von Unternehmen bevorzugt, die Scans vor Ort und eine Integration in umfassendere Schwachstellenmanagementprogramme benötigen.

Wesentliche Merkmale:

• Gründliches automatisiertes Scannen: WebInspect führt gründliche Scans durch, die eine Vielzahl von Schwachstellen in Webanwendungen und APIs identifizieren können. Dazu gehören Prüfungen auf die OWASP Top 10, Fehler in der Geschäftslogik und Probleme bei der Serverkonfiguration. Der Scanner verwendet eine Mischung aus Signaturen und heuristischen Ansätzen, um sowohl bekannte CVEs als auch Zero-Day-Probleme (z. B. ungewöhnliche Edge Cases bei der Eingabeverarbeitung) zu erkennen.
• JavaScript und Client-seitige Analyse: In den letzten Versionen hat Fortify WebInspect das Parsing und die Analyse von clientseitigem Code verbessert. Es kann JavaScript ausführen, AJAX-lastige Anwendungen handhaben und sogar Web-Socket-Kommunikation während der Scans erfassen (ab den 2024er Updates). Das bedeutet, dass SPAs und moderne Web-Frameworks effektiver geprüft werden können.
• Integration von Unternehmensabläufen: WebInspect lässt sich in das Fortify-Ökosystem integrieren. So können die Ergebnisse beispielsweise in das Fortify Software Security Center (SSC) einfließen, wo sie zentral verwaltet, mit SAST-Ergebnissen korreliert und Entwicklern zugewiesen werden. Außerdem verfügt es über APIs und Unterstützung für die Automatisierung, so dass es in CI-Pipelines oder Sicherheits-Orchestrierungssysteme integriert werden kann. Viele große Unternehmen nutzen es in geplanten Scan-Workflows für die kontinuierliche Überwachung.
• Authentifizierte und zustandsabhängige Scans: Das Tool unterstützt eine Vielzahl von Authentifizierungsmethoden (einschließlich Multi-Faktor-Techniken, Login-Makros und OAuth/Token-basierte Authentifizierung). Es kann den Status während des Scannens beibehalten, was für Anwendungen, die eine Anmeldung erfordern und komplexe Benutzerströme aufweisen, entscheidend ist. WebInspect ermöglicht auch die Aufzeichnung von Makros, um bestimmte Sequenzen zu durchlaufen (z. B. das Hinzufügen von Artikeln zu einem Warenkorb und das anschließende Auschecken), um sicherzustellen, dass diese Bereiche getestet werden.
• Berichterstattung und Einhaltung von Vorschriften: Fortify WebInspect liefert detaillierte technische Ergebnisse für Entwickler und zusammenfassende Berichte für das Management. Es gleicht die Ergebnisse mit Standards ab und umfasst Compliance-Berichte. Da es häufig in regulierten Branchen eingesetzt wird, bietet es Berichte, die PCI DSS, DISA STIG, OWASP und anderen Richtlinien entsprechen, sofort einsatzbereit.

Am besten geeignet für: Große Unternehmen und Regierungsorganisationen mit strengen Sicherheitsanforderungen und bestehenden Fortify-Implementierungen. WebInspect ist leistungsstark, richtet sich aber an Sicherheitsexperten - für ein kleines Team könnte es zu viel sein. Es eignet sich hervorragend für die Integration in ein ausgereiftes AppSec-Programm (vor allem, wenn auch Fortify SAST im Einsatz ist, um ein umfassendes Bild zu erhalten).

‍Preismodell: Kommerziell. Wird in der Regel als Teil der Fortify-Produktsuite verkauft (node-locked oder concurrent licenses). Support-Verträge stellen sicher, dass Sie regelmäßig Updates für Schwachstellensignaturen und Produktverbesserungen erhalten.

Hinweis: Nach der Übernahme durch OpenText ist Fortify WebInspect nun Teil des OpenText Cybersecurity-Portfolios. Es wird manchmal einfach als "OpenText Dynamic Application Security Testing (DAST)" bezeichnet. Das Kernprodukt ist dasselbe und setzt die Tradition von WebInspect fort. Anwender haben festgestellt, dass WebInspect ressourcenintensiv sein kann und möglicherweise eine Anpassung erfordert, um einige Anwendungen nicht zu überfordern, aber es ist sehr effektiv beim Aufdecken komplexer Probleme.

Nessus

Nessus von Tenable ist einer der bekanntesten Schwachstellen-Scanner in der Branche. Nessus wird zwar oft als Netzwerkscanner betrachtet, führt aber auch Scans von Webanwendungen durch (in erster Linie zur Überprüfung auf bekannte Schwachstellen, Fehlkonfigurationen und allgemeine Schwachstellen). Es ist kein vollwertiger Web-Crawler wie dedizierte DAST-Tools, aber es ist hier enthalten, weil viele Teams Nessus verwenden, um zusätzlich zu den Netzwerk- und System-Scans die grundlegende Sicherheit von Webanwendungen abzudecken. Nessus bietet eine breite Abdeckung mit einer riesigen Plugin-Datenbank für Schwachstellenprüfungen.

Wesentliche Merkmale:

• Massive Schwachstellenbibliothek: Nessus hat über 99.000 CVEs in seiner Abdeckung und mehr als 250.000 Plugin-Checks. Bei Webanwendungen kann es Dinge wie veraltete CMS-Versionen (WordPress, Joomla usw.), bekannte Schwachstellen in Web-Frameworks, unsichere Konfigurationen und das Vorhandensein von Standarddateien oder Backups erkennen. Es eignet sich hervorragend, um niedrig hängende Früchte und bekannte Probleme aufzuspüren.
• Web-Anwendungs-Tests: Nessus enthält web-spezifische Tests wie SQL-Injection, XSS, lokale Dateieinbindung und Directory Traversal - aber diese sind im Allgemeinen signaturbasiert oder einfache Fuzzes. Es könnte zum Beispiel ein paar generische SQL-Injection-Payloads ausprobieren oder gängige Admin-URLs testen. Auch die OWASP Top 10 werden auf generische Art und Weise überprüft. Es ist jedoch nicht so sehr auf die Logik der einzelnen Anwendungen zugeschnitten wie ein spezielles DAST-Tool.
• Benutzerfreundlichkeit: Nessus ist bekannt für seine Benutzerfreundlichkeit. Sie können eine IP oder URL mit ein paar Klicks oder über die Befehlszeile scannen. Die Berichterstattung ist einfach und die Schwachstellen werden nach Schweregrad eingestuft. Für einen IT-Generalisten oder DevOps-Ingenieur bietet Nessus eine einheitliche Möglichkeit, sowohl Server als auch die darauf befindlichen Webanwendungen zu scannen.
• Integration mit der Tenable-Plattform: Nessus kann eigenständig (Nessus Professional) oder als Teil von Tenable.io oder Tenable.sc (Security Center) für das Unternehmensmanagement verwendet werden. Wenn Nessus integriert ist, werden die Ergebnisse der Web-App-Scans Teil des Dashboards für das gesamte Schwachstellenmanagement und korrelieren mit den Netzwerkvulns. Tenable.io Web App Scanning (separates Produkt, siehe unten) verwendet eine andere Engine, aber Nessus selbst hat auch Web-Plugins.
• Kontinuierliche Updates: Nessus erhält wöchentlich (oder schneller bei kritischen Problemen) Plugin-Updates vom Tenable-Forschungsteam. Das bedeutet, dass man schnell Prüfungen für die neuesten CVEs erhält (wenn z. B. ein neues Apache Struts RCE herauskommt, hat Nessus oft innerhalb weniger Tage ein Plugin, das es erkennt). Dieser schnelle Aktualisierungszyklus ist ein großer Vorteil, um mit neuen Bedrohungen Schritt zu halten.

Am besten geeignet für: Als Ergänzung zu anderen Tools, um eine umfassende Abdeckung zu gewährleisten. Nessus ist ein großartiges Tool für den ersten Durchgang - es findet allgemeine Schwachstellen und bekannte Probleme schnell. Kleinere Unternehmen verlassen sich beim Scannen von Webanwendungen manchmal allein auf Nessus, aber seine Tiefe ist im Vergleich zu spezialisierten DAST-Tools begrenzt. Es ist ideal, Nessus zusammen mit einem Web-fokussierten Scanner (wie den oben genannten) einzusetzen, um alles zu erfassen.

‍Preismodell: Nessus Essentials ist eine kostenlose Version (begrenzt auf 16 IPs, gut für kleine Projekte oder zum Lernen). Nessus Professional ist ein kostenpflichtiges Jahresabonnement (ca. $2.790/Jahr für unbegrenztes IP-Scannen). Tenable.io (Cloud) und Security Center (On-Premise) beinhalten Nessus-Scanner als Teil dieser Plattformen, die pro Asset lizenziert werden. Nessus ist kostengünstig, da es mehr als nur Webanwendungen abdeckt.

Review-Highlight: "Nessus verfügt über eine der größten Bibliotheken von Schwachstellen- und Konfigurationsprüfungen, die ein breites Spektrum von Systemen, Geräten und Anwendungen abdeckt. Obwohl Nessus für seine umfassenden Fähigkeiten zum Scannen von Schwachstellen bekannt ist, kann es manchmal falsch-positive Ergebnisse liefern...". (In der Praxis sind die Fehlalarme in der Regel gering, wenn Nessus richtig konfiguriert ist, aber wie im Zitat erwähnt, müssen Sie einige Ergebnisse möglicherweise manuell überprüfen).

Netsparker (Invicti)

Netsparker (jetzt Invicti) ist ein führender automatisierter Web Application Security Scanner für Unternehmensumgebungen. Netsparker wurde in den letzten Jahren in Invicti umbenannt, nachdem Invicti Security die Produkte von Netsparker und Acunetix unter einem Dach vereint hat. Invicti (Netsparker) ist für seine Genauigkeit bekannt - insbesondere für die Verwendung von Proof-Based Scanning, um Fehlalarme durch die tatsächliche Bestätigung von Schwachstellen praktisch auszuschließen. Es handelt sich um ein voll ausgestattetes DAST, das auch einige interaktive Testelemente für eine tiefergehende Analyse enthält.

Wesentliche Merkmale:

• Beweisbasiertes Scannen: Invicti versucht automatisch, Schwachstellen zu bestätigen, indem es sie auf sichere Weise ausnutzt. Findet es beispielsweise eine SQL-Injection, führt es eine gutartige Nutzlast aus, die eine Datenprobe extrahiert, um das Problem zu beweisen. Dies führt zu einer behaupteten Scan-Genauigkeit von 99,98 %, so dass Sie sich auf die Ergebnisse verlassen können und weniger Zeit für die manuelle Überprüfung der Ergebnisse aufwenden müssen.
• Breite Technologieunterstützung: Invicti kann traditionelle Webanwendungen, SPAs mit viel JavaScript und alle Arten von APIs (REST, SOAP, GraphQL, gRPC) scannen. Es kann effektiv mit modernen Frameworks umgehen und bietet Unterstützung für das Scannen von Unternehmenstechnologien (es kann durch benutzerdefinierte Authentifizierung navigieren, OAuth-Tokens verarbeiten usw.). Außerdem kann es JSON-Anfragekörper und SOAP-Umschläge auf Injektionsfehler testen.
• IAST-Hybrid-Fähigkeiten: Invicti kombiniert DAST mit einem Teil von IAST (Interactive Application Security Testing) über seine Agententechnologie. Wenn Sie einen leichtgewichtigen Agenten neben Ihrer Anwendung einsetzen können, kann der Scanner die Anwendung während der Laufzeit instrumentieren, um zusätzliche Erkenntnisse zu gewinnen (z. B. die Bestätigung der genauen Codezeile für eine Schwachstelle). Dieser hybride Ansatz kann die Abdeckung und Detailgenauigkeit erhöhen, ohne dass ein vollständiger Zugriff auf den Quellcode erforderlich ist.
• CI/CD und Integration: Invicti wurde mit Blick auf die Automatisierung entwickelt und bietet robuste Integrationsoptionen - Plugins für CI-Pipelines (Jenkins, Azure DevOps, GitLab CI usw.), Integration mit Projektmanagement und Ticketing (Jira, Azure Boards) und sogar Verknüpfung mit WAFs für sofortiges virtuelles Patching. Dadurch eignet es sich für DevSecOps-Workflows, bei denen ein kontinuierliches Scannen erforderlich ist.
• Skalierbarkeit und Verwaltung: Die Plattform kann so skaliert werden, dass Tausende von Anwendungen gescannt werden können, mit Zeitplanung, Priorisierung und rollenbasierter Zugriffskontrolle für die Zusammenarbeit im Team. Invicti bietet auch ein mandantenfähiges Dashboard und Funktionen zur Erkennung von Assets (es kann neue Webanwendungen in Ihrer Umgebung erkennen, um sicherzustellen, dass sie gescannt werden). Invicti wird häufig als Rückgrat für das unternehmensweite Schwachstellenmanagement von Webanwendungen eingesetzt.

Am besten geeignet für: Mittlere bis große Unternehmen, die eine hochpräzise, skalierbare DAST-Lösung benötigen. Sicherheitsteams, die von Fehlalarmen frustriert sind oder Entwickler davon überzeugen müssen, Probleme zu beheben, finden die validierten Ergebnisse sehr nützlich ("der Scanner hat bewiesen, dass dies echt ist"). Invicti (Netsparker) ist auch die erste Wahl für Unternehmen mit Hunderten von Web-Assets, die routinemäßig gescannt werden müssen.

‍Preismodell: Kommerziell - in der Regel Jahresabonnement pro gescannter Website oder Anwendung (unbegrenzte Scan-Nutzung). Es liegt am oberen Ende des Preisspektrums, was den Fokus auf Unternehmen widerspiegelt. Sie können eine Demo- oder Testversion anfordern, um die Software für Ihre Anwendungen zu testen.

Review-Highlight: "Invicti, d.h. Netsparker, hat mir eine große Schwachstellendatenbank zur Verfügung gestellt, mit der ich Schwachstellen für Remote-Ausführung, Domäneninvalidierung und viele Schwachstellen-Patches finden konnte... Wiederkehrende Scans ermöglichen es mir, Dateien auf einer Integritätsebene abzurufen." (G2-Review). Im Klartext: Benutzer schätzen die Tiefe der Schwachstellenabdeckung und die Möglichkeit, wiederholte Scans zu planen, um Regressionen zu erkennen. Einige merken an, dass Invictis Testumfang (mehr als 1400 einzigartige Tests) riesig ist, obwohl bestimmte erweiterte Funktionen eine Feinabstimmung erfordern könnten.

Nikto

Nikto ist ein klassischer Open-Source-Webserver-Scanner. Es ist ein einfaches, aber effektives Tool, das umfassende Prüfungen auf Tausende von potenziellen Problemen auf Webservern durchführt. Nikto ist ein Perl-basiertes Befehlszeilen-Tool, das von CIRT.net gepflegt wird und seit Jahren ein fester Bestandteil der Sicherheits-Toolbox ist. Obwohl Nikto nicht über die ausgefeilte Oberfläche oder die komplexe Logik moderner Scanner verfügt, ist es sehr nützlich, um bekannte Schwachstellen und unsichere Konfigurationen schnell zu identifizieren.

Wesentliche Merkmale:

• Große Datenbank mit Checks: Nikto kann für über 7.000 potenziell gefährliche Dateien/CGIs und Konfigurationen auf einem Webserver. Dazu gehören Überprüfungen von Standarddateien (z. B. Admin-Seiten, Installationsskripte), Beispielanwendungen, Konfigurationssicherungen (*.alt, *.bak Dateien) und andere Artefakte, nach denen Angreifer üblicherweise suchen. Außerdem werden veraltete Versionen von über 1.250 Servern und Software-Komponenten sowie versionsspezifische Probleme bei über 270 Server-Produkten erkannt.
• Überprüfung der Server-Konfiguration: Nikto sucht nicht nur nach Sicherheitslücken in Webanwendungen, sondern prüft auch Serverinformationen. Es meldet zum Beispiel, ob die Verzeichnisindizierung aktiviert ist, ob HTTP-Methoden wie PUT oder DELETE erlaubt sind (was das Hacken von Dateiuploads ermöglichen könnte) oder ob bestimmte unsichere HTTP-Header vorhanden sind oder fehlen. Es ist ein großartiges schnelles Audit der Webserver-Härtung.
• Schnell und ohne Schnickschnack: Nikto ist nicht unauffällig - es ist darauf ausgelegt, so schnell wie möglich zu arbeiten und wird in den Protokollen laut sein. Für autorisiertes Scannen ist das in Ordnung. Es ist befehlszeilengesteuert, so dass Sie es mit einer Liste von Hosts füttern oder problemlos in Skripten verwenden können. Ausführen von nikto -h <hostname> gibt eine Liste der identifizierten Probleme im Klartext aus.
• Ausgabe-Optionen: Die Ergebnisse können in verschiedenen Formaten gespeichert werden (einfacher Text, XML, HTML, NBE, CSV, JSON), was nützlich ist, wenn Sie die Ergebnisse in andere Tools oder Berichtssysteme einspeisen möchten. Viele Menschen verwenden Nikto als Teil eines größeren Toolkits und analysieren die Ergebnisse, um bestimmte Ergebnisse zu kennzeichnen.
• Erweiterbarkeit: Obwohl Nikto nicht so modular ist wie andere Programme, können Sie das Verhalten von Nikto anpassen. Es unterstützt Plugins (seine Prüfdatenbank ist im Wesentlichen ein Satz von Plugins). Sie können seine Signaturen aktualisieren, und es wird häufig von der Gemeinschaft mit neuen Prüfungen aktualisiert. Außerdem unterstützt es die Anti-IDS-Techniken von LibWhisker, wenn Sie versuchen, sich zu tarnen (obwohl es standardmäßig laut ist).

Am besten geeignet für: Schnelle Scans zum Auffinden bekannter Probleme und als Ergänzung zu tiefergehenden Scannern. Nikto wird von vielen Penetrationstestern für eine erste Erkundung eines Ziel-Webservers geschätzt. Wenn Sie Entwickler oder Systemadministrator sind, können Sie Nikto auf Ihrer Website ausführen, um offensichtliche Probleme zu finden (und es ist oft aufschlussreich). Es findet jedoch keine komplexen Logikfehler oder Dinge, die das Crawlen von JavaScript erfordern - dafür ist es nicht geeignet. Betrachten Sie Nikto als eine automatische Checkliste für häufige Fehlkonfigurationen und Schwachstellen im Web.

‍Preismodell: Kostenlos, Open-Source (GPL). Es ist in Sicherheitsdistributionen wie Kali Linux enthalten und kann ohne Plattformbeschränkungen verwendet werden (Perl-Skript). Die Unterstützung ist gemeinschaftsbasiert (Foren, GitHub).

Pro-Tipp: Da Nikto in Bezug auf die Logik passiv ist (kein Login, kein schweres Crawling), ist es sehr schnell. Sie könnten Nikto in eine CI-Pipeline integrieren, um einen schnellen Sweep jedes Builds durchzuführen (um sicherzustellen, dass z. B. keine Debug-Endpunkte versehentlich bereitgestellt wurden). Auch wenn es einige "Info"-Funde meldet, bei denen es sich nicht um echte Sicherheitslücken handelt, gibt es Ihnen die Gewissheit, dass Sie nichts Offensichtliches übersehen haben.

OWASP ZAP

OWASP ZAP (Zed Attack Proxy) ist ein freies und quelloffenes DAST-Tool, das im Rahmen des OWASP-Projekts gepflegt wird. Es ist eines der beliebtesten DAST-Tools aufgrund seiner Kosten (kostenlos), der offenen Community und der umfangreichen Funktionalität. ZAP ist sowohl ein Proxy für manuelle Tests als auch ein automatischer Scanner. Es wird oft als die Open-Source-Alternative zur Burp Suite für diejenigen betrachtet, die nur ein geringes Budget zur Verfügung haben, und es ist eine fantastische Option für Entwickler und kleine Unternehmen, um Sicherheitstests ohne Beschaffungshürden zu starten.

Wesentliche Merkmale:

• Aktives und passives Scannen: ZAP führt passives Scannen durch, indem es den Datenverkehr beobachtet (über seinen Proxy oder Spider) und Probleme markiert, und aktives Scannen, bei dem es aktiv Angriffe einleitet, sobald es Seiten entdeckt. Der passive Modus eignet sich hervorragend für einen sanften Start (es wird nichts verändert, sondern nur auf Dinge wie Informationslecks oder Sicherheits-Header geachtet), während der aktive Scan die wirklichen Bugs (SQLi, XSS usw.) durch Angriffe auf die Anwendung findet.
• Proxy und manuelle Testwerkzeuge: Wie Burp kann auch ZAP als Abfangproxy fungieren. Außerdem verfügt es über eine Reihe von Tools: einen HTTP-Abfangproxy, einen Spider zum Crawlen von Inhalten, einen Fuzzer zum Angreifen von Eingaben und eine Skripting-Konsole (mit Unterstützung für das Schreiben von Skripten in Python, Ruby usw. zur Erweiterung von ZAP). Im Heads-Up-Display (HUD)-Modus können Sie sogar während der Navigation Scanning-Informationen über Ihren Browser legen - sehr nützlich für Entwickler, die sich mit Sicherheit beschäftigen.
• Automatisierung und API: ZAP wurde mit Blick auf die Automatisierung für die QA-Integration entwickelt. Es verfügt über eine leistungsstarke API (REST und eine Java-API), mit der Sie alle Aspekte von ZAP steuern können. Viele Teams nutzen die ZAP-API in CI-Pipelines - z. B. das Starten von ZAP im Daemon-Modus, das Spidern eines Ziels, die Durchführung eines aktiven Scans und das Abrufen der Ergebnisse - alles automatisiert. Es gibt sogar fertige GitHub-Aktionen und Jenkins-Plugins für ZAP. Das macht es zu einer guten Lösung für DevSecOps mit kleinem Budget.
• Erweiterbarkeit über Add-ons: ZAP verfügt über einen Add-on-Marktplatz (den ZAP Marketplace), auf dem Sie offizielle und Community-Add-ons installieren können. Dazu gehören spezielle Scanregeln (für JSON, XML, SOAP, WebSockets usw.), Integrationen oder praktische Funktionen. Die Community aktualisiert ständig die Scan-Regeln, einschließlich der Alpha-/Beta-Regeln für neue Schwachstellenarten. Auf diese Weise werden die Scan-Funktionen von ZAP ständig weiterentwickelt.
• Gemeinschaft und Unterstützung: Da es sich um OWASP handelt, hat es eine starke Benutzergemeinschaft. Es gibt reichlich Dokumentation, kostenlose Schulungsvideos und aktive Foren. Sie erhalten zwar keinen kommerziellen Support (es sei denn, Sie arbeiten mit Beratern von Drittanbietern zusammen), aber das Wissen, das dort vorhanden ist, kann oft mit dem Support von Anbietern mithalten. ZAP wird außerdem regelmäßig von seinen Projektleitern und Mitwirkenden aktualisiert.

Am besten geeignet für: Entwicklungsteams, budgetbewusste Organisationen und als Lernwerkzeug. OWASP ZAP ist ideal für Entwickler, die in Sicherheitstests einsteigen wollen ("shift-left"). Es wird auch von Fachleuten in Verbindung mit Burp verwendet, um eine zusätzliche Perspektive zu erhalten. Wenn Sie ein Startup sind, bietet Ihnen ZAP eine DAST-Funktion ohne Lizenzkosten, was ein großer Vorteil ist.

Highlight der Rezension: "Das OWASP-Tool ist kostenlos, was einen großen Vorteil darstellt, insbesondere für kleinere Unternehmen, die das Tool nutzen wollen". peerspot.com. Diese Meinung ist weit verbreitet - ZAP senkt die Einstiegshürde für Web-Sicherheit. Es hat vielleicht nicht die Premium-Funktionen wie einige kommerzielle Scanner, aber für viele Anwendungsfälle erfüllt es die Aufgabe effektiv.

Qualys Web-Anwendungs-Scanner (WAS)

Qualys Web Application Scanning (WAS) ist ein Cloud-basiertes DAST-Angebot von Qualys, das in deren QualysGuard Security and Compliance Suite integriert ist. Qualys WAS nutzt die Qualys-Cloud-Plattform, um einen On-Demand-Scan-Service für Webanwendungen und APIs anzubieten. Die Lösung ist besonders für Unternehmen interessant, die Qualys bereits für das Scannen von Schwachstellen im Netzwerk oder für die Einhaltung von Vorschriften einsetzen, da sie diese Single-Pane-of-Glass-Funktion auf Webanwendungen ausweitet. Qualys WAS ist bekannt für seine Skalierbarkeit (Scannen von Tausenden von Websites) und seine Benutzerfreundlichkeit über ein SaaS-Modell.

Wesentliche Merkmale:

• Cloud-basiert & skalierbar: Qualys WAS wird als Service bereitgestellt - Sie führen Scans aus der Qualys Cloud gegen Ihre Ziele durch (mit der Option, verteilte Scan-Appliances für interne Anwendungen zu verwenden). Dies bedeutet keinen Wartungsaufwand für das Tool selbst und die Möglichkeit, viele Scans parallel laufen zu lassen. Die Plattform hat mehr als 370.000 Webanwendungen und APIs entdeckt und gescannt, was ihre weite Verbreitung zeigt.
• Breite Abdeckung von Schwachstellen: Es erkennt Schwachstellen einschließlich der OWASP Top 10 (SQLi, XSS, CSRF usw.), Fehlkonfigurationen, die Offenlegung sensibler Daten (z. B. Kreditkartennummern auf Seiten) und sogar Malware-Infektionen auf Websites. Es wird auch auf Dinge wie die versehentliche Offenlegung von PII oder Geheimnissen in Webseiten geprüft. Qualys verwendet bei seinen Scans einige KI/ML (maschinelles Lernen), um die Erkennung komplexer Probleme zu verbessern und Fehlalarme zu reduzieren (laut Marketing).
• API-Sicherheitstests: Qualys WAS deckt auch die OWASP API Top 10 ab. Es kann OpenAPI/Swagger-Dateien oder Postman-Sammlungen importieren und REST-APIs gründlich testen. Es überwacht die Abweichung von den API-Spezifikationen, d. h. wenn Ihre Implementierung nicht mit der Swagger-Datei übereinstimmt (was auf undokumentierte Endpunkte hindeuten könnte), kann Qualys dies kennzeichnen. Das ist großartig für die Verwaltung der API-Sicherheit.
• Integration & DevOps: Qualys bietet eine umfangreiche API für alle seine Produkte, einschließlich WAS. Sie können Scans automatisieren, Berichte abrufen und sogar Ergebnisse in Fehlerverfolgungsprogramme integrieren. Es gibt auch ein Chrome-Plug-in (Qualys Browser Recorder) zur Aufzeichnung von Authentifizierungssequenzen oder Benutzer-Workflows, die in Qualys WAS hochgeladen werden können, um die Teile einer App zu scannen, die eine Anmeldung erfordern. Darüber hinaus können die Ergebnisse von Qualys WAS in die WAF von Qualys eingespeist werden (wenn Sie Qualys WAF verwenden), um schnell virtuelle Patches zu erstellen.
• Konformität und Berichterstattung: Da Qualys großen Wert auf Compliance legt, ist WAS in der Lage, die erforderlichen Berichte zu erstellen, um PCI DSS 6.6 (Web-App-Vuln-Scanning-Anforderung) und andere Richtlinien zu erfüllen. Alle Ergebnisse werden in der Qualys-Benutzeroberfläche konsolidiert und können mit anderen Modulen wie Schwachstellenmanagement- oder Risikomanagement-Tools geteilt werden. Diese einheitliche Berichterstattung ist ein Plus für das Management.

Am besten geeignet für: Unternehmen, die eine Cloud-basierte Sicherheitsplattform nutzen und das Scannen konsolidieren möchten. Wenn Sie Qualys bereits für andere Sicherheitsscans verwenden, ist die Hinzufügung von WAS ein Kinderspiel, um Webanwendungen abzudecken. Es ist auch eine gute Lösung, wenn Sie eine vollständig verwaltete Lösung (SaaS) wünschen und keine Scanner vor Ort betreiben möchten. Da Qualys für Updates zuständig ist, verfügen Sie immer über die neuesten Scan-Verbesserungen, ohne einen Finger krumm zu machen.

‍Preismodell: Qualys WAS ist abonnementbasiert und wird in der Regel pro Webanwendung lizenziert (mit Abstufungen je nach Anzahl der gescannten Anwendungen oder IPs). Qualys wird oft in Paketen verkauft (z. B. ein Paket mit Schwachstellenmanagement + WAS). Es gibt eine kostenlose Testversion, und die Preise von Qualys sind in der Regel unternehmensorientiert (nicht die billigsten, aber Sie erhalten eine robuste Plattform).

Anmerkung der Industrie: Qualys WAS war im GigaOm Radar 2023 für Application Security Testing führend. Die Nutzer loben den Komfort der Cloud und den Vorteil der kontinuierlichen Überwachung. Auf der anderen Seite finden einige die Benutzeroberfläche etwas veraltet und die anfängliche Einrichtung (z. B. Authentifizierungsskripte) ist mit einer Lernkurve verbunden. Dennoch ist es eine sehr solide Wahl mit der Unterstützung von Qualys.

Rapid7 EinsichtAppSec

Rapid7 InsightAppSec ist eine Cloud-basierte DAST-Lösung, die Teil der Insight-Plattform von Rapid7 ist. InsightAppSec konzentriert sich auf Benutzerfreundlichkeit und Integration und macht dynamische Tests sowohl für Sicherheitsteams als auch für Entwickler zugänglich. Es nutzt das Fachwissen von Rapid7 (aus Produkten wie Metasploit und ihren Schwachstellenmanagement-Tools), um einen Scanner bereitzustellen, der mit modernen Webanwendungen umgehen kann, einschließlich Single-Page-Anwendungen und APIs. Da es sich um einen Cloud-Service handelt, entfällt die Notwendigkeit, die Scanner-Infrastruktur zu verwalten.

Wesentliche Merkmale:

• Moderne Web-App-Abdeckung: InsightAppSec kann sowohl traditionelle Webanwendungen als auch SPAs testen, die auf Frameworks wie React oder Angular basieren. Es ist in der Lage, JavaScript auszuführen und dynamisch generierte Inhalte zu crawlen. Es beherrscht auch HTML5 und neuere Webmuster. Rapid7 betont, dass es alles von alten HTML-Formularen bis hin zu modernen clientseitigen Anwendungen absichern kann.
• Über 95 Angriffsarten: Der Scanner hat über 95 Angriffsarten in seinem Repertoire, die gängige und komplexe Vektoren abdecken. Dazu gehören die üblichen Verdächtigen (SQLi, XSS) und auch Dinge wie CRLF-Injektion, SSRF und andere weniger verbreitete Web-Fehler. Die Ergebnisse werden je nach Risiko priorisiert, damit Sie sich auf das Wesentliche konzentrieren können.
• Vereinfachte UX: InsightAppSec ist mit einer benutzerfreundlichen UI ausgestattet. Das Einrichten eines Scans ist unkompliziert - geben Sie eine URL und optionale Anmeldeinformationen ein und los geht's. Die Schnittstelle führt weniger erfahrene Benutzer durch die Konfiguration. Sobald die Scans abgeschlossen sind, werden die Ergebnisse mit Ratschlägen zur Abhilfe und entwicklerfreundlichen Einblicken erläutert. Die Software verfügt außerdem über Funktionen wie die Angriffswiederholung (um einen Befund zu überprüfen, indem die spezifische Anfrage, die ihn aufgedeckt hat, erneut abgespielt wird).
• Paralleles Scannen und keine Ausfallzeiten: Da es sich um eine Cloud-basierte Lösung handelt, können Sie mehrere Scans gleichzeitig durchführen, ohne sich Gedanken über lokale Ressourcen zu machen. Dies ist ideal für das Scannen mehrerer Anwendungen oder Multitasking (Rapid7 weist darauf hin, dass Sie viele Ziele ohne Ausfallzeiten scannen können). Diese Skalierbarkeit ist nützlich für Agenturen oder große Organisationen, die viele Webanwendungen scannen.
• Integration und Ökosystem: InsightAppSec lässt sich in die breitere Rapid7 Insight-Plattform integrieren. Sie können zum Beispiel Schwachstellen an InsightVM (deren Vuln-Management) senden oder Tickets in Jira generieren. Es kann auch in CI-Pipelines integriert werden und verfügt über eine API für die Automatisierung. Wenn Sie Rapid7 InsightConnect (SOAR) verwenden, können Sie außerdem DAST-Aktionen automatisieren (z. B. einen Scan auslösen, wenn eine neue Anwendung bereitgestellt wird usw.).

Am besten geeignet für: Unternehmen, die ein Cloud-basiertes DAST mit einer intuitiven Schnittstelle und starken Integrationsfunktionen wünschen. Wenn Sie bereits Rapid7-Kunde sind (mit InsightIDR, InsightVM usw.), wird sich die Hinzufügung von InsightAppSec ganz natürlich anfühlen und Daten können zwischen den Produkten fließen. Es ist auch eine gute Wahl für Teams, die möglicherweise keinen dedizierten AppSec-Experten haben - der benutzerfreundliche Ansatz senkt die Qualifikationshürde für die Durchführung von Scans.

‍Preismodell: Kommerzielles SaaS. Rapid7 lizenziert InsightAppSec in der Regel pro Anwendung oder Ziel, oft in Paketen. Oft wird es mit anderen Produkten gebündelt, um eine ganzheitliche Sicherheitslösung zu erhalten. Eine kostenlose Testversion ist verfügbar, und es werden geführte Demos angeboten. In Rezensionen erwähnen einige KMUs, dass die Preise für den Wert angemessen sind, während eine sehr große Nutzung teurer werden kann (typisch für SaaS bei der Skalierung auf Hunderte von Anwendungen).

Höhepunkt der Bewertung: "Wir haben Rapid7 für unsere Schwachstellentests eingesetzt und... Sie haben sich bei der Bereitstellung einer vollständigen und effektiven Lösung als unschätzbar erwiesen.". Die Benutzer loben häufig den Support von Rapid7 und die allgemeine Qualität der Plattform. Ein potenzieller Nachteil ist, dass die Behebung von Fehlern im Produkt manchmal langsam erfolgen kann, aber neue Funktionen und Verbesserungen kommen regelmäßig auf den Markt.

Tenable.io Web App Scanning

Tenable.io Web App Scanning ist das dedizierte DAST-Angebot von Tenable innerhalb der Tenable.io Cloud-Plattform. Während Nessus (wir berichteten bereits) einige Web-Scans durchführen kann, ist Tenable.io WAS eine speziell entwickelte Lösung zum dynamischen Testen von Webanwendungen und profitiert von einer moderneren Engine und Schnittstelle. Tenable positioniert es als einen einfach zu bedienenden und dennoch umfassenden Scanner, der oft Kunden anspricht, die bereits Tenable.io für das Schwachstellenmanagement nutzen.

Wesentliche Merkmale:

• Einheitliche Plattform: Tenable.io WAS läuft neben den anderen Tenable-Diensten (wie Tenable.io Vulnerability Management, Container Security usw.), sodass alle Ergebnisse in einem Dashboard zugänglich sind. Für Sicherheitsteams ist diese "Ein-Scheiben-Ansicht" für Infrastruktur- und Web-Schwachstellen sehr praktisch. Sie können Ihre Webanwendungsschwachstellen im Zusammenhang mit Netzwerkschwachstellen sehen, Risikobewertungen für Anlagen verfolgen und alles zusammen verwalten.
• Einfacher Einsatz: Da es sich um ein SaaS-Produkt handelt, können Sie einen Scan mit wenigen Klicks starten. Tenable.io WAS kann externe Webanwendungen sofort scannen. Für interne Anwendungen können Sie eine Tenable-Scanner-Appliance einsetzen, die den Scan durchführt und an die Cloud zurückmeldet. Die Einrichtung ist einfach, und Tenable bietet Vorlagen für Schnellscans und Tiefenscans.
• Automatischer Crawl & Audit: Der Scanner durchsucht die Anwendung automatisch, um eine Sitemap zu erstellen, und prüft dann jede gefundene Seite/Formular. Er testet gängige Injektionspunkte und Schwachstellen. Tenable hat die Scan-Engine verbessert, um moderne Webanwendungen (wie die Verarbeitung von JS) zu verarbeiten. In der Praxis deckt sie jedoch die meisten Standardschwachstellen ab und bietet spezielle Prüfungen für Dinge wie DOM XSS und JSON-basierte Angriffe.
• Schnelle Ergebnisse und inkrementelle Scans: Tenable.io WAS legt großen Wert auf schnelle Ergebnisse - es kann bei häufigen Problemen innerhalb von Minuten verwertbare Ergebnisse liefern. Es ist auch für kontinuierliche Scans ausgelegt - Sie können wöchentliche oder monatliche Scans planen, und es unterstützt inkrementelle Scans (nur neue oder geänderte Inhalte testen), um die Scanzeit bei nachfolgenden Durchläufen zu reduzieren. Dies ist nützlich für agile Entwicklungsumgebungen mit häufigen Releases.
• Integration und DevOps: Tenable.io verfügt über eine API, so dass Sie Web-App-Scans programmatisch auslösen oder in CI/CD integrieren können. Es gibt auch Integrationen, um Ergebnisse in Ticketing-Systeme zu übertragen. Wenn Sie Infrastructure as Code nutzen, können Sie sogar eine Testumgebung einrichten, sie mit Tenable.io WAS über die API scannen und dann zerstören - ein vollautomatisches Sicherheitstor in CI-Pipelines (einige fortgeschrittene Nutzer tun dies).
• Ergänzend zu Nessus: Tenable empfiehlt oft, Nessus und WAS zusammen zu verwenden - Nessus für Netzwerk- und grundlegende Web-Prüfungen und WAS für tiefergehende Web-App-Tests. Wenn Sie bereits Nessus-Scans in Tenable.io verwalten, ist das Hinzufügen von WAS nahtlos. Die Dashboards können kombinierte Risikobewertungen anzeigen, usw. Die Analysefunktionen von Tenable (mit Tenable Lumin) können dann Probleme über alle Asset-Typen hinweg konsistent priorisieren.

Am besten geeignet für: Diejenigen, die DAST in einem breiteren Kontext des Schwachstellenmanagements einsetzen möchten. Wenn Ihr AppSec- und NetSec-Schwachstellenmanagement von einem Team verwaltet wird, können sie mit Tenable.io WAS ein einziges Toolset verwenden. Tenable.io WAS eignet sich auch für Teams, die eine relativ unkomplizierte DAST-Lösung wünschen - man muss kein Web-Sicherheitsguru sein, um es zu bedienen, denn es ist ziemlich automatisiert. Bei extrem komplexen Anwendungen kann jedoch eine Anpassung erforderlich sein, und in solchen Fällen könnten andere Tools mehr manuelle Kontrolle bieten.

‍Preismodell: Tenable.io WAS ist abonnementbasiert, oft pro Anwendung oder URL. Tenable kann es mit seiner Tenable.io-Plattformlizenz bündeln. Zum Beispiel können Sie eine bestimmte Anzahl von WAS-Zielen erhalten, wenn Sie bereits Tenable.io-Kunde sind. Der Preis ist im Allgemeinen konkurrenzfähig zu anderen SaaS-Lösungen für Unternehmens-DAST.

Hinweis: Tenable hat in WAS investiert, um mit der Konkurrenz Schritt zu halten. 2024 wurde die Unterstützung für Dinge wie die einfachere Aufzeichnung von Anmeldesequenzen und das verbesserte Scannen von einseitigen Anwendungen hinzugefügt. Benutzer sagen, dass es "einfach, skalierbar und automatisiert " ist - was der Tenable-Botschaft entspricht, umfassende DAST ohne viel Aufwand zu bieten. Es ist ein gutes "Allrounder"-Tool.

Wapiti

Wapiti ist ein freier und quelloffener Web-Schwachstellen-Scanner, der in Python geschrieben wurde. Der Name Wapiti stammt von einem indianischen Wort für Elch - passend, da er in seinem Bereich agil und mächtig ist. Wapiti arbeitet als "Blackbox"-Scanner: Es benötigt keinen Quellcode, sondern durchsucht Ihre Webanwendung einfach über HTTP-Anfragen, ähnlich wie ein typisches DAST. Es handelt sich um ein Befehlszeilen-Tool, das besonders bei Open-Source-Enthusiasten beliebt ist und dafür bekannt ist, dass es aktiv gepflegt wird (mit jüngsten Updates, die neue Schwachstellenmodule hinzufügen).

Wesentliche Merkmale:

• Black-Box-Fuzzing-Ansatz: Wapiti durchforstet die Ziel-Webanwendung, um URLs, Formulare und Eingaben zu finden, und startet dann Angriffe durch Einspeisung von Nutzdaten, um auf Schwachstellen zu testen. Es deckt eine breite Palette von Injektionsfehlern ab: SQL-Injektion (fehler-, boolesche und zeitbasierte), XPath-Injektion, Cross-Site-Scripting (reflektiert und gespeichert), Datei-Einbindung (lokal und remote), OS-Befehlsinjektion, XML External Entity (XXE)-Angriffe und mehr. Wenn es ein Eingabefeld gibt, wird Wapiti versuchen, es zu knacken.
• Module für verschiedene Schwachstellen: Wie auf der Website aufgeführt, decken die Wapiti-Module alles ab, von klassischen Web-Vulns bis hin zu Prüfungen wie CRLF-Injektion, offenen Weiterleitungen, SSRF über einen externen Dienst (es kann testen, ob SSRF möglich ist, indem eine externe Wapiti-Website als Catcher verwendet wird), Erkennung von HTTP PUT (um zu sehen, ob WebDAV aktiviert ist) und sogar Prüfungen auf Schwachstellen wie Shellshock in CGI-Skripten. Dieser Umfang ist beeindruckend für ein kostenloses Tool.
• Authentifizierung und Scoping: Wapiti unterstützt authentifiziertes Scannen über mehrere Methoden: Basic, Digest, NTLM und formularbasierte Authentifizierung (Sie können ihm Anmeldeinformationen oder ein Cookie übergeben). Außerdem lässt sich der Bereich einschränken - so können Sie beispielsweise festlegen, dass die Suche auf eine bestimmte Domäne oder einen bestimmten Ordner beschränkt bleiben soll, was nützlich ist, um Angriffe auf Links von Drittanbietern oder Subdomänen zu vermeiden, die Ihnen nicht gehören. Bei Bedarf können Sie auch bestimmte URLs ausschließen.
• Erstellung von Berichten: Die Ergebnisse werden in mehreren Formaten ausgegeben (HTML, XML, JSON, TXT usw.). Der HTML-Bericht ist praktisch für einen schnellen Überblick, während JSON nützlich ist, wenn Sie die Ergebnisse programmatisch analysieren oder zusammenführen möchten. In den Berichten wird jede gefundene Schwachstelle mit Details wie der HTTP-Anfrage aufgelistet, mit der sie ausgenutzt wurde, was für Entwickler zum Reproduzieren und Beheben sehr hilfreich ist.
• Benutzerfreundlichkeit und Wartung: Wapiti ist einfach zu installieren (verfügbar über pip) und auszuführen (wapiti -u <url> startet einen Suchlauf). Es ist recht schnell und Sie können die Anzahl der gleichzeitigen Anfragen einstellen. Wichtig ist, dass Wapiti aktiv gepflegt wird - die letzte Version (Stand: Mitte 2024) enthält neue Funktionen und Sicherheitslücken. Die Projektbetreuer halten es auf dem neuesten Stand, wenn neue Schwachstellen (wie die jüngsten CVEs) auftauchen, was ein häufiges Problem angeht, bei dem Open-Source-Scanner ins Hintertreffen geraten. Da es sich um Python handelt, lässt es sich auch leicht anpassen, wenn Sie es wünschen.

Am besten geeignet für: Entwickler und Pentester, die Open-Source-Tools und Befehlszeilensteuerung bevorzugen. Wapiti ist eine solide Wahl für die Integration in Skripte oder CI-Pipelines für einen Open-Source-Sicherheits-Stack. Es erfordert zwar etwas mehr Aufwand (keine grafische Benutzeroberfläche, manuelle Installation), aber dafür fallen keine Lizenzkosten an und es besteht volle Transparenz über die Vorgänge. Außerdem ist es leichtgewichtig, so dass Sie es in einem Docker-Container oder CI-Job ohne großen Ressourcenbedarf ausführen können.

‍Preismodell: Frei (GPL v2). Die einzigen Kosten sind Ihre Zeit, um zu lernen und möglicherweise Updates beizusteuern.

Liebe der Gemeinschaft: Wapiti ist vielleicht nicht so bekannt wie ZAP, aber Benutzer, die es entdecken, loben oft seine Effektivität. Es ist eine versteckte Perle für das automatisierte Fuzzing von Webanwendungen. Da es keine grafische Benutzeroberfläche (GUI) hat, ist es für diejenigen, die mit CLI vertraut sind, weniger einschüchternd zu integrieren. Außerdem zeigen seine Updates (wie die Hinzufügung der Log4Shell-Erkennung Ende 2021), dass es sich an wichtige Sicherheitsereignisse anpasst. Wenn Sie ein Open-Source-AppSec-Toolkit zusammenstellen wollen, decken Wapiti und ZAP zusammen eine Menge ab.

w3af

w3af (Web Application Attack and Audit Framework) ist ein umfassendes Open-Source-Framework zum Auffinden und Ausnutzen von Schwachstellen in Webanwendungen. Oft als "Metasploit für Webanwendungen" bezeichnet, bietet w3af sowohl Schwachstellen-Scans als auch Ausnutzungsfunktionen in einem Paket. Es ist in Python geschrieben und hat sowohl eine Konsolen- als auch eine grafische Benutzeroberfläche. Obwohl es sich um ein älteres Projekt handelt, ist es immer noch eines der umfangreichsten Open-Source-Web-Sicherheitstools auf dem Markt.

Wesentliche Merkmale:

• Umfangreiches Plugin-System: w3af arbeitet mit einer Plugin-basierten Architektur. Es verfügt über Dutzende von Audit-Plugins, die auf bestimmte Schwachstellen (SQLi, XSS, CSRF, Pufferüberläufe usw.) testen, Crawl-Plugins zum Auffinden von Seiten (einschließlich eines, das JavaScript analysiert, um URLs zu finden) und Angriffs-Plugins für den Versuch, gefundene Probleme auszunutzen. Sie können genau festlegen, welche Plugins ausgeführt werden sollen, oder einfach ein Profil verwenden, das eine Reihe von Plugins aktiviert. Diese Modularität bedeutet, dass w3af für schnelle Scans, vollständige Überprüfungen oder Exploit-gesteuerte Einsätze konfiguriert werden kann.
• Scannen und Ausnutzen: w3af findet nicht nur Schwachstellen, sondern verfügt auch über eine Ausnutzungskomponente. Wenn es zum Beispiel SQL-Injection findet, verfügt es über Werkzeuge, um dies auszunutzen (wie das Extrahieren von Daten, ähnlich wie sqlmap). Findet es Dateieinbindung, kann es versuchen, eine entfernte Shell zu erhalten. Dies macht es nützlich für Sicherheitsforscher, die über die reine Erkennung hinausgehen und tatsächlich Auswirkungen demonstrieren wollen.
• GUI und Konsolenschnittstelle: Es gibt eine GTK-basierte grafische Benutzeroberfläche (auch wenn sie etwas veraltet aussieht), die eine benutzerfreundlichere Möglichkeit bietet, Scans zu konfigurieren und Ergebnisse anzuzeigen. Die Konsole ist recht leistungsfähig und ermöglicht Skripting-Aktionen in einer Pseudo-Shell-Umgebung (Sie können Befehle verwenden, um Ziele, Plugins usw. einzustellen, ähnlich wie in der Metasploit-Konsole). Dies ist sowohl für Einsteiger als auch für fortgeschrittene Benutzer geeignet.
• Kombination aus statischer und dynamischer Analyse: w3af kann bei direktem Zugriff (über seine Code-Audit-Plugins) tatsächlich eine statische Analyse des Codes durchführen, aber in erster Linie ist es dynamisch. Es verfügt auch über Grepping-Plugins, die rohe HTTP-Antworten auf Dinge wie Kreditkartennummern, Sozialversicherungsnummern und Fehlermeldungen untersuchen - und so Informationen liefern, die an sich vielleicht keine Schwachstelle darstellen, aber sicherheitsrelevant sind. Dieser ganzheitliche Ansatz unterscheidet ihn von Scannern, die sich nur auf direkte Sicherheitslücken konzentrieren.
• Open-Source und erweiterbar: Das Projekt ist Open-Source unter der GPL. Obwohl sich das Tempo der Aktualisierungen verlangsamt hat, ist das vorhandene Wissen in seinen Plugins beträchtlich. Da es sich um Python handelt, können Benutzer Plugins ändern oder neue schreiben, um die Fähigkeiten zu erweitern. Es gibt auch eine umfangreiche Dokumentation (die w3af docs Website) und sogar eine API zur Steuerung, obwohl die meisten die CLI oder GUI verwenden werden.

Am besten geeignet für: Sicherheitsexperten und Bastler, die ein kostenloses Toolkit suchen, das Scanning und Exploitation miteinander verbindet. Es ist besonders nützlich in Penetrationstestszenarien - Sie können mit w3af scannen, um Schwachstellen zu finden und diese dann nahtlos ausnutzen, um die Auswirkungen zu bestätigen. Für ein reines Entwicklungsteam, das einen schnellen Scan benötigt, könnte w3af im Vergleich zu ZAP oder Wapiti etwas schwerfällig oder komplex sein. Aber für diejenigen, die bereit sind, Zeit zu investieren, kann es sehr lohnend sein. Preismodell: Kostenlos, Open-Source. Keine kommerzielle Version.

Vorsicht: w3af ist zwar leistungsfähig, kann aber auch potenziell gefährlich sein - seine Exploit-Plugins könnten beispielsweise Daten verändern. Es sollte am besten in Test-/Staging-Umgebungen oder mit ausdrücklicher Genehmigung in Produktionsumgebungen eingesetzt werden (und bei sorgfältiger Auswahl der Plugins). Der Hauptentwickler des Projekts, Andres Riancho, hat sich vor Jahren anderen Unternehmungen zugewandt (er ist für seine Beiträge zu vielen Sicherheitstools bekannt), aber w3af bleibt ein fester Bestandteil vieler Hacker-Toolkits. Es erfordert vielleicht ein wenig Fehlersuche, um es auf modernen Betriebssystemen zum Laufen zu bringen (manchmal ist die Hölle der Abhängigkeiten los), aber wenn es einmal läuft, hat man ein Schweizer Taschenmesser für die Sicherheit von Webanwendungen.

Nachdem wir die wichtigsten Tools einzeln behandelt haben, wollen wir nun die Empfehlungen nach spezifischen Anwendungsfällen aufschlüsseln. Verschiedene Teams haben unterschiedliche Bedürfnisse - ein Entwickler legt vielleicht Wert auf einfache Integration, während ein CISO eines Unternehmens vielleicht Wert auf Skalierbarkeit und Support legt. In den folgenden Abschnitten finden Sie maßgeschneiderte Empfehlungen für verschiedene Szenarien.

Die besten DAST-Tools für Entwickler

Zielgruppe: Entwickler und DevOps-Ingenieure, die Sicherheitsprobleme frühzeitig erkennen und Tests in ihren Arbeitsablauf integrieren möchten. Diese Benutzer schätzen Tools, die einfach zu bedienen sind, nicht mit False Positives überfordern und sich in Entwicklungsumgebungen (IDEs, CI/CD usw.) integrieren lassen. Oftmals verfügen sie nicht über umfassende AppSec-Kenntnisse, so dass das Tool Anleitung und Automatisierung bieten sollte.

Wenn Sie als Entwickler ein DAST-Tool auswählen, sollten Sie dies berücksichtigen:

• Integration mit CI/CD und IDEs: Lässt sich das Tool in Ihre Build-Pipeline integrieren oder bietet es ein IDE-Plugin? Automatisierte Sicherheitstests in CI helfen, Probleme vor der Zusammenführung zu erkennen. Einige Plattformen (wie die CI/CD-Sicherheit von Aikido) ermöglichen dies nahtlos.
• Geringe False Positives und Rauschen: Entwickler haben keine Zeit, Geistern hinterherzujagen. Werkzeuge, die Ergebnisse validieren (z. B. Invicti) oder eine hohe Genauigkeit aufweisen, werden bevorzugt, so dass es sich lohnt, einen Fehler zu beheben, wenn er erkannt wird.
• Umsetzbare Ergebnisse: Suchen Sie nach Scannern, die klare Empfehlungen zur Behebung des Problems oder sogar Code-Beispiele zur Behebung des Problems anbieten. Noch besser ist, dass einige auf Entwickler ausgerichtete Tools automatisierte Korrekturen oder Pull-Requests anbieten (Aikidos AI Autofix kann beispielsweise Patches für bestimmte Probleme generieren).
• Geschwindigkeit und On-Demand-Scans: In einer Entwicklungsumgebung ermöglichen schnellere Scans schnelles Feedback. Tools, die inkrementelle Änderungen oder bestimmte URLs scannen können (anstatt jedes Mal die gesamte App), helfen bei der Integration in den iterativen Entwicklungszyklus.
• Kosten (für Einzelpersonen oder kleine Teams): Kostenlose oder erschwingliche Optionen sind attraktiv, vor allem in Unternehmen ohne eigenes Sicherheitsbudget. Open-Source-Tools oder Dienste mit kostenlosen Stufen sind hier gut geeignet.

Top-Tools für Entwickler:

• Aikido Sicherheit - Entwicklungsfreundliche All-in-One-Lösung: Aikido wurde mit Blick auf Entwickler entwickelt. Es ist in Code-Workflows integriert (PR-Prüfungen, Pipeline-Fails bei hohen Schwachstellen), so dass Entwickler sofortiges Feedback erhalten. Das "Start for Free" -Modell der Plattform und die einfache Einrichtung (läuft in der Cloud, keine zu verwaltende Infrastruktur) bedeuten, dass ein Entwickler DAST innerhalb von Minuten zu seinem Projekt hinzufügen kann. Außerdem werden die Ergebnisse mit SAST konsolidiert, so dass Sie alles an einem Ort sehen und nicht ständig den Kontext wechseln müssen. Für einen Entwickler bedeutet ein einziges Dashboard zur Anzeige und Behebung von Sicherheitsproblemen eine enorme Zeitersparnis. Und dank der automatischen Korrekturvorschläge können auch diejenigen, die mit Sicherheitsproblemen weniger vertraut sind, diese selbstbewusst angehen.
• OWASP ZAP - Open Source und skriptfähig: ZAP ist eine gute Wahl für Entwickler, da es kostenlos und äußerst flexibel ist. Sie können es in einem Daemon-Modus in CI ausführen, die ZAP-API zur Automatisierung von Scans verwenden oder sogar das ZAP HUD zum interaktiven Testen Ihrer Anwendung während der Entwicklung nutzen. Viele Entwicklerteams richten nächtliche ZAP-Scans ihrer Entwicklungsumgebung ein und pushen die Ergebnisse in Slack oder Jira, damit die Entwickler am nächsten Morgen damit arbeiten können. Die Lernkurve ist moderat, aber OWASP bietet zahlreiche Anleitungen. Und da die Software kostenlos ist, kann man sie leicht ausprobieren. Die ZAP-Community bedeutet auch, dass Hilfe nur eine Google-Suche entfernt ist, wenn man nicht weiterkommt.
• Burp Suite (Community/Pro) - Ergänzung zu manuellen Tests: Für die reine Automatisierung ist Burp nicht die erste Wahl für Entwickler, aber die kostenlose Community Edition ist ein praktisches Tool, das während der Entwicklung eingesetzt werden kann. Entwickler können ihren lokalen App-Traffic durch Burp leiten, um zu sehen, was unter der Haube vor sich geht. Der Burp-Scanner in der Pro-Version kann bei Bedarf eingesetzt werden, um bestimmte Bereiche einer App zu überprüfen (z. B. "Ich habe eine neue OAuth-Anmeldung erstellt, lassen Sie mich nur diesen Teil scannen"). Es ist auch lehrreich - durch die Verwendung von Burp lernt ein Entwickler eine Menge über Websicherheit. Wenn es das Budget zulässt, kann der automatische Scan von Burp Pro über die CLI in CI integriert werden, wodurch Entwickler ein leistungsfähiges Sicherheitstor erhalten.
• StackHawk - CI/CD Integrated DAST: (Lobende Erwähnung) StackHawk ist ein neueres DAST-Tool, das sich speziell an Entwickler und DevOps richtet. Es basiert auf der ZAP-Engine, ist aber so verpackt, dass es pipelinefähig ist. Sie definieren die Testkonfigurationen in einer YAML-Datei, und es läuft headless in CI. StackHawk ist zwar nicht in unserer obigen Hauptliste enthalten, ist aber für Entwicklungsanwendungen eine Erwähnung wert, da es sich stark darauf konzentriert, "CI-freundlich" zu sein. Es hat auch eine kostenlose Ebene für eine einzelne Anwendung, die für einzelne Projekte oder Open-Source-Anwendungen großartig ist.
• Wapiti - Schnelle CLI-Prüfungen: Für Entwickler, die Befehlszeilen-Tools lieben und vielleicht eine schnelle Sicherheitsüberprüfung in ihren Build einbauen wollen, ist Wapiti eine gute Wahl. Sie können Wapiti als Teil Ihrer Testsuite (vielleicht gegen eine lokale Testinstanz der Anwendung). Es wird nicht alles abfangen, aber es ist schnell und wird offensichtliche Probleme aufzeigen. Betrachten Sie es als ein Linting-Tool für Sicherheit in Ihrer CI: leichtgewichtig und ohne GUI.

Warum diese: Diese Tools zeichnen sich durch einfache Integration, unmittelbare Ergebnisse und Erschwinglichkeit aus. Sie ermöglichen es den Entwicklern, bei der Sicherheit "nach links zu gehen", d. h. Schwachstellen während der Entwicklung zu erkennen und zu beheben, lange bevor der Code in die Produktion geht. Mit ihnen können Entwickler die Sicherheit iterativ verbessern, so wie sie die Codequalität mit Unit-Tests verbessern. Der Lerneffekt, der sich aus der Interaktion mit diesen Tools ergibt (vor allem mit interaktiven Tools wie ZAP oder Burp), schult auch das Sicherheitsdenken der Entwickler, was ein versteckter, aber wertvoller Vorteil ist.

In der folgenden Tabelle werden die DAST-Tools verglichen, die sich am besten für Entwickler eignen, die schnelles Feedback, einfache CI/CD-Integration und geräuscharme Berichte benötigen.

Beste DAST-Tools für Unternehmen

Zielgruppe: Unternehmen mit großen Webanwendungsportfolios und engagierten Sicherheitsteams. Sie benötigen häufig Tools, die sich auf Hunderte von Anwendungen skalieren lassen, rollenbasierten Zugriff, Compliance-Berichte und die Integration in Unternehmensabläufe (Ticketing-Systeme, Governance usw.) bieten. Support und Zuverlässigkeit sind entscheidend, und für robuste Lösungen ist ein entsprechendes Budget vorhanden.

Überlegungen zu DAST-Tools für Unternehmen:

• Skalierbarkeit und Verwaltung: Das Tool sollte viele Anwendungen (möglicherweise gleichzeitig) scannen können und eine zentrale Verwaltung von Scan-Zeitplänen, Ergebnissen und Benutzerrechten bieten. Unternehmenskonsolen oder Mehrbenutzerumgebungen sind wichtig (z. B. HCL AppScan Enterprise oder Invicti-Plattform).
• Unternehmensintegrationen: Die Integration mit Systemen wie SIEMs, GRC-Plattformen, Fehlerverfolgern (Jira, ServiceNow) und Identitätsmanagement (SSO-Unterstützung) ist häufig erforderlich. Außerdem API-Zugang für die benutzerdefinierte Integration in die DevSecOps-Toolchain des Unternehmens.
• Einhaltung von Vorschriften und Berichterstattung: Unternehmen müssen häufig Compliance-Dokumente erstellen. Tools, die detaillierte Berichte für PCI, SOC2, ISO27001 usw. erstellen und die Einhaltung von Richtlinien im Laufe der Zeit verfolgen können, sind von großem Nutzen. Die Möglichkeit, Assets zu kennzeichnen (nach Geschäftseinheit, Risikostufe usw.) und Analysen (Trends, SLAs für die Behebung von Sicherheitslücken) zu erhalten, ist für das Management sehr nützlich.
• Unterstützung und Schulung: Es ist wichtig, einen Anbieter zu haben, der einen guten Support (engagierte Support-Techniker, professionelle Dienstleistungen) und Schulungen anbietet. Unternehmenstools werden mit SLAs für Supportfragen geliefert. Bei Open-Source-Tools ist dies eine Lücke, weshalb große Unternehmen trotz der Kosten zu kommerziellen Optionen tendieren.
• Umfassende Deckung: Unternehmen können es sich nicht leisten, etwas zu übersehen. Das Tool sollte idealerweise nicht nur Standard-Web-Vulns abdecken, sondern auch Dinge wie Geschäftslogiktests oder Möglichkeiten zur Erweiterung von Tests bieten. Einige Unternehmen verwenden mehrere DAST-Tools, um Lücken abzudecken - aus Effizienzgründen ist jedoch ein einziges robustes Tool vorzuziehen.

Top-Tools für Unternehmen:

• Invicti (Netsparker) - Genauigkeit und Umfang: Die Plattform von Invicti ist speziell für den Einsatz in Unternehmen konzipiert. Sie bietet Multi-User-Unterstützung, Asset-Tagging und Risiko-Scoring für Tausende von Scans. Unternehmen schätzen das beweisbasierte Scannen, das die Zahl der Fehlalarme drastisch reduziert - dies verbessert das Signal-Rausch-Verhältnis bei einer großen Anzahl von Funden. Invicti kann auch in das Ticketing von Unternehmen integriert werden (z. B. durch die automatische Zuweisung gefundener Probleme an das richtige Entwicklungsteam über die Jira-Integration). Das Dashboard bietet einen Überblick über die Sicherheitslage aller Anwendungen, den das Management für Metriken nutzen kann. Für ein Unternehmen zahlen sich die Vorlaufkosten aus, da es eine ausgereifte, geräuscharme Lösung erhält, die das Rückgrat seines AppSec-Programms bilden kann.
• HCL AppScan (Standard/Enterprise) - Die Leistung von Unternehmen im Legacy-Bereich: Viele große Organisationen (Banken, Versicherungen, Behörden) verwenden AppScan seit Jahren (von IBM bis HCL). AppScan Enterprise ermöglicht einen zentralisierten Management-Server, auf dem mehrere AppScan Standard-Scans orchestriert und die Ergebnisse aggregiert werden können. Es unterstützt rollenbasierten Zugriff, so dass Entwicklungsteams sich anmelden und nur die Ergebnisse für ihre Anwendungen sehen können, während Sicherheitsteams eine Vogelperspektive erhalten. Die Compliance-Berichterstattung ist ein großes Plus. Für Unternehmen, die auf Datensicherheit bedacht sind, kann AppScan auch vollständig vor Ort ausgeführt werden (keine Cloud-Abhängigkeit), was in Bereichen wie Verteidigung oder Gesundheitswesen manchmal nicht verhandelbar ist.
• Micro Focus Fortify WebInspect - Tiefe Integration mit SDLC: Unternehmen, die bereits in das Fortify-Ökosystem (für SAST usw.) investiert haben, werden feststellen, dass WebInspect wie selbstverständlich dazu passt. Die Scans von WebInspect können in Fortify SSC veröffentlicht werden, das als zentrales Repository für statische und dynamische Ergebnisse dient. Dies ermöglicht eine Kreuzkorrelation und eine einheitliche Verfolgung von Abhilfemaßnahmen. Fortify bietet auch zusätzliche Produkte wie Fortify Application Defender (RASP) an, das die Ergebnisse von WebInspect nutzen kann, um Anwendungen zur Laufzeit zu instrumentieren und zu schützen - eine Synergie, die von Unternehmen geschätzt wird, die ihre Abwehrmaßnahmen schichten. Außerdem bietet der Anbieter (jetzt OpenText) professionelle Dienstleistungen und zertifizierte Schulungen für WebInspect an, was für den Aufbau großer Teams wichtig ist.
• Qualys WAS - Cloud-Skalierung und Asset-Discovery: Große Unternehmen mit verteilten Infrastrukturen schätzen Qualys für seine Cloud-basierte Einfachheit und seine Asset-Discovery-Funktionen. Qualys WAS ist in der Lage, kontinuierlich neue Webanwendungen in einer Umgebung zu entdecken (z. B. durch Netzwerk-Scans, Aufzählung von Domänennamen usw.), was für Unternehmen von großem Vorteil ist, die möglicherweise nicht einmal über ein vollständiges Inventar ihrer Web-Assets verfügen (ein häufiges Problem). Anschließend können Sie die entdeckten Anwendungen schnell in die Überprüfung einbeziehen. Die Skalierbarkeit von Qualys hat sich bewährt - einige Unternehmen führen Zehntausende von Scans pro Jahr auf ihrer Plattform durch. Der Multi-Tenant-Aspekt eignet sich auch für Unternehmen (z. B. können verschiedene Geschäftsbereiche separate Ansichten haben).
• Tenable.io WAS - Vereinheitlichtes Risikomanagement: Für Unternehmen, die Anwendungs- und Netzwerkrisiken vereinheitlichen wollen, ist die Integration von WAS mit dem Schwachstellenmanagement von Tenable.io sehr interessant. CISOs können eine einzige Risikobewertung für eine Anwendung erhalten, die sowohl die Web-Vulns (von WAS) als auch die Server-Infra-Vulns (von Nessus) berücksichtigt. Der Plattformansatz vereinfacht auch die Benutzerverwaltung und das Reporting. Tenable verfügt über einen starken Unternehmenssupport und hilft großen Kunden oft beim Onboarding und bei der Abstimmung von Scans, um Leistungseinbußen zu minimieren (wichtig beim Scannen kritischer Produktionsanwendungen in Unternehmen).
• Aikido-Sicherheit - DevSecOps-Plattform für Unternehmen: Obwohl Aikido im Vergleich zu einigen älteren Anbietern relativ neu ist, bietet es einen interessanten Mehrwert für Unternehmen, die AppSec modernisieren möchten. Da es mehrere Tools (SAST, DAST, Cloud Config usw.) kombiniert, kann es den Tool-Wildwuchs in einem Unternehmen reduzieren. Die Plattform ist Cloud-basiert, bietet aber auch On-Premise-Optionen (für Compliance). Unternehmen erhalten Funktionen wie SSO-Integration, Team-Management und die Möglichkeit, Tausende von Projekten zu verwalten. Ein Vorteil ist, dass Entwickler die Plattform gerne nutzen (aufgrund des auf Entwickler ausgerichteten Designs), was die Akzeptanz in Unternehmen erhöhen kann, wo die Akzeptanz der Entwickler die halbe Miete ist. Aikido kann eine gute Lösung für Unternehmen sein, die DevSecOps in großen Teams einführen und sicherstellen, dass die Sicherheit in jeder Phase (Code, Build, Deployment, Monitoring) auf einheitliche Weise integriert wird.

Warum diese: Sie erfüllen die Anforderungen von Unternehmen in Bezug auf Umfang, Unterstützung und Integration. In großen Unternehmen ist ein DAST-Tool, das 500 Anwendungen scannen und dann einen Bericht erstellen kann, aus dem hervorgeht, dass wir die Anzahl der OWASP Top 10-Schwachstellen in diesem Quartal um 20 % reduziert haben, Gold wert. Tools wie Invicti, Qualys usw. bieten diese Art von Metriken und Roll-ups. Außerdem müssen Unternehmen oft interne Anwendungen hinter Firewalls scannen - Tools mit Scan-Engines vor Ort (wie Qualys-Scanner oder WebInspect-Installationen vor Ort) sind notwendig, was alle oben genannten Optionen bieten.

‍

‍

Die besten DAST-Tools für Startups

Zielgruppe: Startups und kleine Unternehmen verfügen oft nur über ein begrenztes Sicherheitsbudget und Personal. Sie benötigen kosteneffiziente, einfach zu verwendende Tools, die schnell einen Mehrwert bieten. Oft liegt der Schwerpunkt auf der Erreichung eines Grundniveaus an Sicherheit, um die Bedenken von Kunden oder Investoren zu befriedigen (und vielleicht die Compliance zu erfüllen, wenn sie mit sensiblen Daten arbeiten), ohne das schnelle Entwicklungstempo zu beeinträchtigen.

Die wichtigsten Anforderungen an ein DAST-Tool für Startups:

• Erschwinglichkeit: Kostenlose oder kostengünstige Lösungen oder Tools mit kostenlosen Stufen, die kleine Anwendungen abdecken, sind ideal. Start-ups könnten auch Open-Source in Betracht ziehen, um wiederkehrende Kosten zu vermeiden.
• Vereinfachung: Möglicherweise gibt es keinen speziellen Sicherheitsingenieur, so dass Entwickler oder DevOps die Scans durchführen. Das Tool muss einfach einzurichten (SaaS bevorzugt, um Infrastruktur zu vermeiden) und einfach zu interpretieren sein.
• Schnelle Erfolge: Startups profitieren von Tools, die die kritischsten Probleme schnell aufspüren (z. B. häufige Fehlkonfigurationen, eklatante Sicherheitslücken) - im Wesentlichen ein Sanity Check. Sie brauchen vielleicht nicht den umfassendsten Scanner; etwas, das die risikoreichsten Punkte abfängt, ist oft schon ausreichend.
• Integration in den Entwicklungs-Workflow: Startups haben oft eine moderne, agile Entwicklung. Tools, die sich in GitHub Actions oder Ähnliches integrieren lassen, können dabei helfen, die Sicherheit ohne schwerfällige Prozesse zu automatisieren.
• Skalierbarkeit (Zukunftssicherheit): Ein Tool, das mitwachsen kann (mehr Anwendungen, mehr Scans), ist zwar nicht die wichtigste Voraussetzung, aber ein Bonus, damit die Unternehmen bei einer Erweiterung nicht das Tool wechseln müssen. Zu Beginn könnten die Kosten jedoch überwiegen.

Top-Tools für Startups:

• OWASP ZAP - Kostenlos und verlässlich: Für ein Startup mit knappen Kassen ist es schwer, kostenlos zu sein. ZAP kann der erste Scanner sein, den Sie gegen Ihre Webanwendung einsetzen. Viele Startups verwenden ZAP auf halbautomatische Weise: z. B. als Teil ihrer nächtlichen Builds oder als monatliche Überprüfung durch einen Entwickler. Die Tatsache, dass es Open-Source ist, bedeutet auch, dass das Sicherheitsteam das Programm bei einem Wachstum umfassend anpassen kann. Die Lerninvestition in ZAP zahlt sich aus. Vorteile: keine direkten Kosten, große Community, gute Wirksamkeit bei häufigen Sicherheitslücken. Nachteile: Erfordert einen gewissen praktischen Einsatz und Lernaufwand.
• Aikido Sicherheit - Free Tier & All-in-One: Aikido bietet einen kostenlosen Plan für immer, der für Startups äußerst attraktiv ist. Damit kann ein Startup nicht nur DAST, sondern auch SAST und andere Scanner in einer Plattform erhalten - das ist ein großer Wert zum Nulltarif, bis zu einer bestimmten Nutzung. Für ein junges Unternehmen bedeutet die Verwendung von Aikido, dass es nicht mit mehreren Tools jonglieren muss; es erhält einen sofortigen Sicherheitsschub für seinen gesamten Stack. Außerdem bedeutet die Betonung von Aikido auf Automatisierung und Einfachheit, dass die Entwickler des Startups auch ohne einen Sicherheitsspezialisten damit umgehen können. Wenn das Startup wächst, können sie nahtlos innerhalb der Aikido-Pläne aufrüsten, was eine gute Zukunftssicherheit darstellt.
• Acunetix (von Invicti) - SMB-freundliche Option: Acunetix ist ein kommerzielles Produkt, das jedoch speziell für kleinere Unternehmen vermarktet wird und preislich unter dem Niveau von Enterprise-Tools liegt. Ein Startup, das über ein geringes Budget verfügt und vielleicht die Anforderungen der Compliance erfüllen muss, könnte sich für Acunetix entscheiden, da es unkompliziert ist und unterstützt wird. Es kann lokal installiert oder aus der Cloud ausgeführt werden und scannt die App schnell und erstellt einen ausgefeilten Bericht (nützlich, wenn das Startup einem Unternehmenskunden im Rahmen der Due Diligence einen Bericht vorlegen muss). Es handelt sich im Grunde um eine "DAST-Appliance", die einfach funktioniert. Einige Startups verwenden eine einzelne Acunetix-Lizenz in ihrem Entwicklungsteam und führen gelegentlich Scans durch, um sicherzustellen, dass keine offensichtlichen Lücken vorhanden sind.
• Nessus Essentials - Kostenloser Schwachstellen-Scanner: Ein Startup kann Nessus Essentials (kostenlos für 16 Ziele) nutzen, um seinen Web-App-Host zu scannen. Nessus ist zwar kein spezieller Tester für Webanwendungen, aber es erkennt Probleme mit der Webserver-Konfiguration (SSL-Probleme, veraltete Software) und einige gängige Web-Vulns. Es ist nicht umfassend für die Anwendung selbst, aber als schneller Check ist es wertvoll. Und wenn das Produkt des Startups auch Netzwerkdienste umfasst, deckt Nessus auch diese ab. Im Grunde ist es ein nettes Tool für die allgemeine Sicherheitshygiene. Viele Startups verwenden Nessus, weil die kostenlose Version für eine Webanwendung und ein paar Server ausreicht.
• Rülps-Suite Community - Lernen und manuelles Stochern: Wenn das Gründerteam technisch versiert ist, kann es sehr lehrreich sein, die Burp Community zur Hand zu haben, um manuell in ihrer App herumzustochern. Sie ist kostenlos, und obwohl der Scanner in der Community-Edition deaktiviert ist, können Sie dennoch Datenverkehr abfangen und Intruder verwenden, um einige Formulare zu testen. Einige Startup-Entwickler verwenden Burp, um kritische Funktionalitäten (wie Anmelde- und Zahlungsformulare) manuell zu testen. Dies ist weder automatisiert noch skalierbar, aber bei einer kleinen App können ein paar Stunden mit Burp schwerwiegende Fehler aufdecken (z. B. unsachgemäße Authentifizierungsprüfungen). Es ist kosteneffizient, da es kostenlos ist und nur Zeit erfordert.

Warum diese: Sie kosten entweder nichts oder passen problemlos in das Budget eines Startups, und sie erfordern keinen Vollzeitspezialisten, um sie zu betreiben. Das Ziel für ein Startup ist es, die niedrig hängenden Früchte zu vermeiden - der Einsatz dieser Tools kann die eklatanten Probleme (Standardanmeldeinformationen, offene Admin-Endpunkte, SQL-Injections usw.) aufdecken und die Sicherheitslage mit minimalen Investitionen drastisch verbessern. Außerdem kann der Nachweis, dass Sie anerkannte Tools wie OWASP ZAP oder Nessus verwenden, das Vertrauen stärken, wenn ein potenzieller Kunde den unvermeidlichen Sicherheitsfragebogen ausfüllt.

‍

‍

Beste kostenlose DAST-Tools

Zielgruppe: Jeder, der die Sicherheit seiner Webanwendungen verbessern möchte, ohne Geld auszugeben. Dazu gehören Hobbyentwickler, Studenten, kleine Organisationen oder sogar größere Unternehmen, die vor dem Kauf einer Lösung experimentieren möchten. "Kostenlos" kann in diesem Zusammenhang vollständig quelloffene oder kostenlose Versionen von kommerziellen Produkten bedeuten.

Kostenlose DAST-Optionen haben in der Regel einige Einschränkungen (entweder bei den Funktionen, der Unterstützung oder der Scantiefe), aber sie bieten einen unglaublichen Wert für grundlegende Anforderungen.

Kriterien/Charakteristika für die besten kostenlosen Tools:

• Keine Kosten, keine Bedingungen: Wirklich kostenlose Nutzung (nicht nur eine kurze Testphase). Idealerweise Open-Source oder von der Community unterstützt.
• Effektivität: Auch wenn das Tool kostenlos ist, sollte es eine sinnvolle Anzahl von Schwachstellen finden. Die Basis ist die Abdeckung der OWASP Top 10 Probleme.
• Unterstützung durch die Gemeinschaft: Kostenlose Tools sind oft auf Community-Foren, Dokumentation und Updates angewiesen. Eine lebendige Community sorgt dafür, dass das Tool nützlich bleibt.
• Benutzerfreundlichkeit vs. Lernkurve: Einige kostenlose Tools sind sofort einsatzbereit, während andere Kenntnisse erfordern. Wir listen eine Auswahl auf: einige, die "einfach laufen", und einige, die mehr Fachwissen erfordern (für diejenigen, die bereit sind, mehr Zeit als Geld zu investieren).

Die besten kostenlosen DAST-Tools:

• OWASP ZAP: Es zeichnet sich als das wahrscheinlich am besten ausgestattete kostenlose DAST-Tool aus. Wie bereits erwähnt, kann ZAP eine Menge, und das alles kostenlos. Es ist praktisch die erste Adresse, wenn jemand fragt: "Ich habe kein Budget, wie mache ich DAST?" ZAP hat eine aktive Community und wird sogar offiziell von OWASP unterstützt. Es wird ständig aktualisiert und kann erweitert werden. Für eine kostenlose Lösung gibt es keine bessere Lösung als ZAP, was die Fähigkeiten und die Größe der Community angeht.
• Nikto: Nikto ist völlig kostenlos und offen und konzentriert sich auf bekannte Probleme. Es ist sehr einfach auszuführen - im Grunde ein Ein-Befehl-Scan - was es zugänglich macht. Der Wert von Nikto liegt in seiner Einfachheit: Sie müssen nicht viel konfigurieren, Sie führen es einfach aus und erhalten die Ausgabe. Es eignet sich hervorragend für schnelle Überprüfungen durch Personen, die keine Sicherheitsexperten sind (z. B. kann ein Systemadministrator Nikto als Teil einer Checkliste auf einem Server ausführen). Da es auf Signaturen basiert, wird es benutzerdefinierte Probleme übersehen, aber als kostenloses Tool bietet es ein gutes Sicherheitsnetz.
• Wapiti: Wapiti ist kostenlos und quelloffen, und es ist überraschend leistungsfähig und konkurriert mit einigen kommerziellen Scannern bei Injection-Tests. Im Mainstream ist es vielleicht weniger bekannt, aber in der Open-Source-Sicherheitsgemeinschaft wird es respektiert. Für jemanden, der bereit ist, ein Terminal zu verwenden und möglicherweise ein Skript zu schreiben, bietet Wapiti enorme Scan-Fähigkeiten zum Nulltarif. Seine aktive Entwicklung bedeutet, dass es mit neuen Arten von Sicherheitslücken Schritt hält, was bei kostenlosen Tools nicht immer der Fall ist.
• w3af: Ebenfalls kostenlos und quelloffen, ist w3af komplexer, bietet aber sowohl Scanning als auch Exploitation. Es ist so etwas wie eine kostenlose Alternative zu Burp Suite Pro (sozusagen). Die Benutzer sollten sich jedoch bewusst sein, dass es in letzter Zeit nicht sehr aktiv war. Für eine kostenlose Lösung kann w3af jedoch tief in die Materie eindringen und sogar Probleme ausnutzen, was andere Programme nicht können. Es eignet sich am besten für Benutzer mit einigen Sicherheitskenntnissen, die ein Toolkit aus einer Hand haben möchten.
• Arachni: Arachni ist kostenlos (Open-Source) und war zu seiner Zeit ein Schwergewicht. Es funktioniert immer noch gut für viele Szenarien. Da es nicht aktiv gewartet wird, sollte man es mit Vorsicht auf modernster Technologie verwenden, aber als kostenloser Scanner ist es gründlich auf älteren Webtechnologien. Wenn Sie eine Anwendung haben, die nicht mit den neuesten SPAs arbeitet, kann Arachni sehr effektiv sein und hat eine schöne Berichtsschnittstelle. Für den Preis von Null erhält man einen professionell aussehenden Scan-Bericht.
• Burp Suite Gemeinschaftsausgabe: Obwohl der vollständige Scanner in der kostenlosen Version nicht aktiviert ist, habe ich diese Version aufgenommen, weil sie passives Scannen und manuelles Testen ermöglicht. Sie ist kostenlos und ein großartiges Trainingstool. Viele Sicherheitsenthusiasten beginnen mit Burp Community, um zu lernen, wie Schwachstellen funktionieren, Verkehr abzufangen usw. Wenn Sie Ihre Anwendung während des Browsens durch Burp Community proxyscannen, werden einige Probleme (wie fehlende Sicherheits-Header oder reflektierende Werte, die auf XSS hindeuten könnten) passiv markiert. Technisch gesehen leistet es also einige DAST-Arbeiten kostenlos, wenn auch in begrenztem Umfang.

Hinweis: Viele kommerzielle Anbieter bieten kostenlose Testversionen an (z. B. eine 14-tägige Testversion von Acunetix oder einen begrenzten kostenlosen Scan von Qualys usw.), aber das sind keine nachhaltigen Lösungen. Daher halte ich mich an Tools, die langfristig kostenlos und nicht zeitlich begrenzt sind.

Warum diese: Sie decken die Grundlagen (und mehr) ab, ohne dass eine finanzielle Barriere besteht. Kostenlose Tools sind entscheidend für die Demokratisierung der Sicherheit - sie ermöglichen es jedem, seine Anwendungen zu testen. Unternehmen, die über kein Budget verfügen, können mit diesen Tools ihre Sicherheitslage trotzdem verbessern. Es wird oft empfohlen, mehrere kostenlose Tools in Kombination einzusetzen, da jedes von ihnen Dinge aufdecken kann, die die anderen übersehen. Führen Sie z. B. Nikto + ZAP + Wapiti zusammen aus - wenn alle drei eine Anwendung als "sauber" einstufen, haben Sie wahrscheinlich die offensichtlichen Probleme beseitigt. Und das alles, ohne einen Cent auszugeben.

Beste Open-Source-DAST-Tools

Zielgruppe: Sicherheitsenthusiasten, Organisationen, die sich für Open-Source-Lösungen einsetzen, oder diejenigen, die volle Transparenz und Kontrolle über das Tool wünschen. Open-Source-Tools werden auch von Bildungseinrichtungen und von Unternehmen mit strengen Beschaffungsregeln bevorzugt, die von der Gemeinschaft geprüfte Software bevorzugen.

"Open Source" überschneidet sich mit "kostenlos", aber hier meinen wir speziell Tools, deren Quellcode verfügbar ist und die in der Regel von einer Gemeinschaft gepflegt werden (oft unter OWASP oder ähnlichen Organisationen). Der Vorteil ist, dass Sie den Code des Scanners überprüfen und anpassen können und darauf vertrauen können, dass es kein verstecktes Blackbox-Verhalten gibt.

Die besten quelloffenen DAST-Tools (mit einer kleinen Wiederholung von oben):

• OWASP ZAP: Open-Source-Champion. Der Quellcode von ZAP befindet sich auf GitHub, und es gibt zahlreiche Mitwirkende. Viele Unternehmen forken ZAP sogar, um benutzerdefinierte Scan-Regeln für ihre spezifischen Anforderungen zu erstellen. Da es unter OWASP-Governance steht, ist es glaubwürdig und hat einen klaren offenen Entwicklungsprozess. Wenn Sie ein OSS-DAST benötigen, ist ZAP normalerweise die erste Wahl.
• w3af: Völlig quelloffen (GPL). Ein Benutzer kann nachlesen, wie jedes Plugin funktioniert, es ändern oder neue Plugins schreiben. Das ist großartig für Forscher, die eine Prüfung auf eine neue Schwachstelle global hinzufügen wollen. Es ist, als hätte man die Bausteine eines Scanners, die man neu zusammensetzen kann. Die Open-Source-Natur von w3af bedeutet auch, dass man es in größere Open-Source-Sicherheits-Frameworks integrieren kann.
• Wapiti: Wapiti wird auf GitHub gehostet und von seinen Betreuern aktiv aktualisiert und lädt Nutzer zu Beiträgen und Fehlerberichten ein. Wenn Sie feststellen, dass Ihre Anwendung Fehlalarme auslöst oder Sie eine neue Art von Schwachstelle entdecken, können Sie die Module von Wapiti ergänzen. Open Source bedeutet auch, dass Sie Wapiti in andere offene Systeme integrieren können (z. B. in eine Open Source CI/CD-Pipeline).
• Nikto: Einer der ältesten Open-Source-Web-Scanner. Seine Signaturen-Datenbank kann offen bearbeitet werden, und es werden häufig neue Tests hinzugefügt. Wenn z. B. eine neue Schwachstelle in einer Webanwendung in einem beliebten Framework entdeckt wird, kann jeder einen Nikto-Test dafür hinzufügen und ihn weitergeben. Die Einfachheit des Codes von Nikto (hauptsächlich Perl-Skripte) bedeutet, dass selbst Personen mit bescheidenen Programmierkenntnissen ihn an ihre Umgebung anpassen können. In diesem Sinne ist Nikto wirklich Community-gesteuert.
• Arachni: Offener Quellcode (der allerdings nicht mehr gepflegt wird). Seine Codebasis war gut geschrieben und einige haben sie geforkt oder Teile davon in anderen Projekten wiederverwendet. Da es Open Source ist, dient es auch als Lernreferenz - neue DAST-Entwickler können das Design von Arachni studieren.
• OWASP ZAPAdd-on-Community (lobende Erwähnung): Ich hebe dies hervor, weil über den Kern von ZAP hinaus der Add-on-Marktplatz voll von Open-Source-Beiträgen ist. Tools wie das GraphQL-Scanner-Add-on, das SOAP-Scanner-Add-on usw. sind alle Open Source. Dieses Ökosystem bedeutet, dass, wenn ZAP heute etwas nicht kann, morgen ein Open-Source-Plugin erscheinen könnte, um die Lücke zu schließen. Kein Closed-Source-Tool verfügt über diese Flexibilität, die von einer globalen Gemeinschaft getragen wird.

Warum Open Source? Bei der Sicherheit geht es oft um Vertrauen. Mit Open-Source-DAST können Sie genau überprüfen, welche Tests durchgeführt werden und wie die Daten gehandhabt werden (wichtig beim Scannen sensibler Anwendungen - Sie wissen, dass das Tool keine Daten abzweigt, weil Sie den Code sehen können). Das bedeutet auch, dass Sie die Möglichkeit haben, das Tool zu ändern, wenn es nicht perfekt Ihren Anforderungen entspricht. Unternehmen, die bereit sind, eher technischen Aufwand als Geld zu investieren, können aus diesen Projekten sehr maßgeschneiderte DAST-Lösungen entwickeln.

Beste DAST-Tools für DevSecOps

Zielgruppe: Teams, die DevSecOps praktizieren, d. h. Sicherheitsprüfungen in kontinuierliche Integrations- und Auslieferungspipelines integrieren, mit einem hohen Grad an Automatisierung und Zusammenarbeit zwischen Entwicklung, Sicherheit und Betrieb. Diese Teams wünschen sich Tools, die kopflos ausgeführt werden können, maschinenlesbare Ausgaben produzieren und möglicherweise Builds anhand von Sicherheitskriterien ausschließen. Außerdem bevorzugen sie häufig Tools, die sowohl "nach links verschoben" (früh von Entwicklern verwendet) als auch kontinuierlich in der Postproduktion eingesetzt werden können.

Wichtige Faktoren für DevSecOps DAST:

• CI/CD-Integration: Das Tool sollte über ein CLI oder eine REST-API und idealerweise über Plugins für gängige CI-Systeme (Jenkins, GitLab CI, GitHub Actions, Azure DevOps usw.) verfügen. Es sollte sich leicht als Teil einer Pipeline einrichten lassen (containerisierte Versionen sind hier hilfreich).
• Automatisierungsfreundlicher Output: Ergebnisse in Formaten wie JSON oder SARIF, die von anderen Systemen zur automatischen Entscheidungsfindung verwendet werden können. Brechen Sie z. B. den Build ab, wenn neue hochgefährliche Sicherheitslücken gefunden werden - dies erfordert eine automatische Analyse der Scanner-Ausgabe.
• Inkrementelle oder schnelle Scans: Vollständige DAST-Scans können langsam sein, was eine Herausforderung für CI darstellt. Tools, die schnellere Modi bieten oder die Ausrichtung auf bestimmte Komponenten ermöglichen (z. B. durch Markierung wichtiger Endpunkte), sind nützlich. Ein anderer Ansatz ist die Integration mit Test-Suites - z. B. ein Angriff auf die Anwendung, während Integrationstests laufen (einige fortgeschrittene Setups tun dies).
• Flexibilität der Umgebung: DevSecOps können ephemere Testumgebungen einrichten (z. B. einen Zweig einer Anwendung auf einem Testserver bereitstellen, ihn scannen und dann wieder abbauen). DAST-Tools, die problemlos auf dynamische URLs verweisen und ständig wechselnde Umgebungen ohne großen manuellen Aufwand handhaben können, sind hier von Vorteil.
• Feedback-Schleifen: Ein DevSecOps-Ideal ist die sofortige Rückmeldung an die Entwickler. Ein DAST-Tool, das Pull-Requests kommentieren, Tickets automatisch öffnen oder Ergebnisse im Chat übermitteln kann, fördert diese schnelle Feedback-Kultur.

Top-Tools/-Ansätze für DevSecOps:

• Aikido-Sicherheit - Automatisierung von Pipelines: Aikido wurde entwickelt, um sich in CI-Pipelines einzubetten (mit seiner CI/CD-Integrationsfunktion). Sie können Aikido-Scans so konfigurieren, dass sie bei jeder Zusammenführung oder Bereitstellung ausgeführt werden. Die Ergebnisse können so eingestellt werden, dass Builds fehlschlagen, wenn Schwellenwerte überschritten werden. Die Tatsache, dass Aikido auch SAST durchführt, bedeutet, dass Entwickler einen Doppelschlag aus statischer und dynamischer Analyse in CI erhalten, die alle von einer Plattform aus verwaltet werden. Außerdem bedeutet Aikidos Cloud-Charakter, dass Sie die Scan-Infrastruktur in Ihren CI-Runnern nicht verwalten müssen; Sie rufen einfach Aikidos Service auf. Dies reduziert die Reibung beim Hinzufügen von DAST zu Pipelines.
• OWASP ZAP (Dockerized) - Das DevOps-Arbeitspferd: ZAP bietet ein offizielles Docker-Image und sogar ein konfigurierbares Baseline-Scan-Skript. Dies wird in DevSecOps stark genutzt. Sie können zum Beispiel eine GitHub-Aktion haben, die Folgendes ausführt owasp/zap-baseline-scan gegen eine bereitgestellte Testseite für 5 Minuten und meldet die Ergebnisse. Die API von ZAP erlaubt auch eine Menge benutzerdefinierter Automatisierung, und die Community hat Wrapper (wie Python-Skripte) geschrieben, die ZAP in CI integrieren. Da es kostenlos ist, können Sie es in so vielen Pipelines wie nötig einsetzen. Es gibt viele Tutorials zu "ZAP in Jenkins" oder ähnlichem, was darauf hindeutet, dass es sich um ein gängiges Muster handelt.
• StackHawk - speziell für CI entwickelt: StackHawk (obwohl kommerziell) ist im Grunde DAST für DevOps. Es lässt sich über einen "Config-as-Code"-Ansatz in Pipelines integrieren. Für DevSecOps-Teams, die über ein entsprechendes Budget verfügen, gleicht StackHawk einige Unzulänglichkeiten der Verwendung von ZAP in CI aus (StackHawk basiert auf ZAP, bietet jedoch eine bessere Benutzeroberfläche und Unterstützung für Entwickler). Es ist erwähnenswert, weil DevSecOps genau sein Zielanwendungsfall ist. Die Ausgabe erfolgt in CI-freundlichen Formaten, und das Unternehmen legt Wert darauf, dass DAST die CI nicht verlangsamt (mit Anleitungen zur Optimierung).
• Invicti/Acunetix - CI-Plugins: DevSecOps-Unternehmen, die Invicti verwenden, haben Zugang zu dessen Integrationsfunktionen. Invicti kann in einem Headless-Modus ausgeführt werden und verfügt über Plugins für Jenkins usw. Es kann Scans auf der Grundlage von Richtlinien (z. B. keine kritischen Sicherheitslücken) als bestanden/nicht bestanden markieren. Der Vorteil von Invicti besteht darin, dass Sie gründliche Scans mit der beweisbasierten Genauigkeit erhalten, aber die Herausforderung ist die Laufzeit - vollständige Invicti-Scans könnten für jeden Build zu langsam sein. Viele lösen dies, indem sie einen nächtlichen vollständigen Scan und einen schnellen gezielten Scan bei jedem Build durchführen (gezielt auf geänderte Komponenten oder unter Verwendung von Smoke-Tests + DAST).
• Burp Suite Unternehmen - Pipeline-Integration: Die Burp Suite Enterprise Edition (anders als Burp Pro) wurde entwickelt, um Scans nach einem Zeitplan oder über CI auszulösen. Sie verfügt über eine REST-API und CI-Plugins. Ein DevSecOps-Team könnte es verwenden, um Scans nach der Bereitstellung zu planen und die Ergebnisse in JIRA einzuspeisen. Obwohl es (aus Kostengründen) nicht so häufig in CI eingebunden wird wie ZAP, wird es in einigen DevSecOps-Setups in Unternehmen verwendet, die Burp standardisiert haben.
• Tenable.io WAS - Cloud-Haken: Wenn Ihre Pipeline eine Testumgebung bereitstellen kann, die für die Cloud-Scanner von Tenable zugänglich ist, können Sie einen Scan über die API auslösen und die Ergebnisse abfragen. Einige DevSecOps-Teams tun dies für nächtliche Builds. Es ist nicht so schnell wie ein lokaler ZAP-Scan, aber es verlagert das Scannen auf einen Cloud-Service.

Zusammenfassend lässt sich sagen, dass Automatisierung hier das A und O ist. Tools, die nicht für die Automatisierung entwickelt wurden, können immer noch in Pipelines verwendet werden (über kreatives Scripting), aber diejenigen, die DevSecOps mit Funktionen und Integrationen unterstützen, sparen Zeit. Die oben genannten Optionen sind entweder von Haus aus automatisierungsfreundlich (ZAP, Aikido, StackHawk) oder haben sich aufgrund der Marktnachfrage so entwickelt, dass sie dies unterstützen (Invicti, Burp Enterprise).

DevSecOps-Teams verwenden auch oft mehrere DAST-Stufen: einen schnellen, leichtgewichtigen Scan in der KI (um offensichtliche Dinge in wenigen Minuten zu erkennen) und einen tieferen Scan nach der Bereitstellung (der zwar länger dauert, aber die Entwickler nicht blockiert). Die gewählten Tools müssen diese Strategie unterstützen.

Beste DAST-Tools für API-Sicherheit

Zielgruppe: Teams, die speziell Web-APIs (REST, SOAP, GraphQL) auf Schwachstellen testen müssen. Dazu gehören Backend-Entwickler, API-Plattform-Ingenieure und Sicherheitstester, die sich auf Microservices konzentrieren. API-Sicherheitstests unterscheiden sich geringfügig von Web-UI-Tests - es gibt keine Browserschnittstelle, sodass Sie Tools benötigen, die API-Schemata analysieren, JSON/XML-Nutzdaten verarbeiten und Dinge wie Authentifizierungstoken und mehrstufige API-Aufrufe verstehen können.

Schlüsselfunktionen für API-fokussiertes DAST:

• Import von API-Spezifikationen: Das Tool sollte Swagger/OpenAPI- oder Postman-Sammlungen importieren, um zu wissen, welche Endpunkte und deren Formate existieren. Dies spart Zeit und gewährleistet die Abdeckung aller API-Endpunkte, auch derjenigen, die nicht leicht zu finden sind.
• GraphQL-Unterstützung: GraphQL-APIs sind inzwischen weit verbreitet; ihre Prüfung erfordert eine besondere Handhabung (Introspektionsabfragen, verschachtelte Abfragen). Ein gutes API-DAST sollte über Module für GraphQL verfügen (z. B. Prüfung auf GraphQL-spezifische Sicherheitslücken wie Denial-of-Service bei tief verschachtelten Abfragen).
• SOAP- und Legacy-API-Unterstützung: In Unternehmen nach wie vor relevant - Tools, die SOAP-Dienste durch Importieren von WSDL oder Aufzeichnen von SOAP-Aufrufen testen können. Auch die Handhabung von Dingen wie gRPC könnte in Betracht gezogen werden (obwohl die DAST-Unterstützung für gRPC noch im Entstehen begriffen ist; einige Tools konvertieren gRPC über Proxys in REST-ähnliche Tests).
• Authentifizierung und Token: API-Tests müssen mit API-Schlüsseln, OAuth-Tokens, JWTs usw. umgehen können. Das Tool sollte es einfach machen, diese bereitzustellen (vielleicht über eine Konfigurationsdatei oder ein Anmeldeskript), damit es autorisierte Endpunkte testen kann. Ein Bonus ist, wenn es auch die Autorisierungslogik testen kann, z. B. IDOR (Insecure Direct Object References) durch Manipulation von IDs.
• Behandlung von Nicht-HTML-Antworten: APIs geben JSON oder XML zurück. Der Scanner darf keine HTML-Seiten erwarten; er sollte JSON parsen und trotzdem Probleme finden (wie XSS im JSON-Kontext oder SQL-Fehler in API-Antworten). Einige ältere Scanner untersuchen nur HTML-Antworten, was für APIs nicht ausreichend ist.
• Bewusstsein für Ratenbegrenzung: Wenn APIs zu stark belastet werden, kann dies zu Ratenbeschränkungen oder sogar zu IP-Sperren führen. Auf APIs ausgerichtete Scanner können Einstellungen zur Einhaltung von Ratenbeschränkungen oder eine entsprechende Drosselung enthalten, um eine Unterbrechung des Dienstes zu vermeiden (wichtig beim Testen von Produktions-APIs).

Top-Tools für API-Sicherheit (DAST):

• Invicti (und Acunetix) - Entdeckung und Prüfung von APIs: Invicti ist stark im API-Scannen. Es kann API-Definitionen (REST, SOAP, GraphQL) importieren und verfügt über spezielle Prüfungen für diese. Zum Beispiel kann es GraphQL-Schwachstellen erkennen und viele automatisch generierte Abfragen testen. Auch die Authentifizierung wird gut gehandhabt. Wenn ein Unternehmen über zahlreiche APIs (Microservices) verfügt, kann Invicti diese systematisch scannen. Acunetix, das Schwesterprodukt von Invicti, teilt diese Fähigkeit und ist für kleinere Teams besser zugänglich.
• Qualys WAS - API & OpenAPI v3 Unterstützung: Qualys WAS wirbt ausdrücklich damit, "Abweichungen von der OpenAPI-Spezifikation" zu erkennen, was bedeutet, dass es nicht nur APIs testet, sondern auch undokumentierte Endpunkte findet, indem es beobachtete Endpunkte mit der Spezifikation vergleicht. Dies ist wertvoll für die API-Sicherheit, da nicht aufgeführte Endpunkte ein blinder Fleck für die Sicherheit sein können. Qualys deckt auch SOAP-APIs ab und kann mit WSDLs gefüttert werden. Es ist eine solide Wahl für Unternehmen mit vielen APIs, vor allem, da es sich in die Gesamtplattform integrieren lässt.
• OWASP ZAP - Mit Add-ons für APIs: ZAP selbst kann JSON-Endpunkte fuzzen und testen, aber es glänzt wirklich für APIs, wenn es mit Add-ons verwendet wird. Es gibt ein OpenAPI-Add-on zum Importieren von Swagger-Dateien und auch ein GraphQL-Add-on. Mit diesen Add-ons kann ZAP automatisch Anfragen für jede API-Operation erstellen und sie dann aktiv scannen. Da es Open Source ist, ist es eine der wenigen kostenlosen Möglichkeiten, APIs gründlich zu testen. Möglicherweise müssen Sie einige Dinge anpassen (z. B. Authentifizierungs-Tokens über Skripte bereitstellen), aber es gibt viele Community-Anleitungen.
• Burp Suite - Ideal für manuelle API-Tests: Der Burp-Scanner kann für APIs verwendet werden, aber oft erfordert das Testen von APIs mit Burp manuellen oder halbautomatischen Aufwand. Sie können den Datenverkehr von mobilen Anwendungen oder Postman-Anfragen durch Burp leiten, um die API-Aufrufe zu erfassen, und dann Burp Scanner für diese verwenden. Burp hat auch eine Erweiterung namens "Upload Scanner", die Datei-Upload-APIs fuzzen kann, usw. Für GraphQL gibt es Burp-Erweiterungen zur Unterstützung. Burp ist zwar kein sofort einsatzbereiter automatischer API-Scanner, aber eine leistungsstarke Plattform für API-Tests, wenn man bereit ist, sie zu nutzen. Die Scan-Fähigkeiten der Professional Edition testen JSON-Antworten und ähnliches auf Sicherheitslücken, genauso wie HTML.
• Postman + Sicherheitssammlungen - (Erweiterung von DAST): Postman selbst ist kein DAST, aber es gibt Sammlungen wie die "API Security Audit"-Sammlungen, die von Leuten erstellt wurden, die als rudimentäre DAST-Prüfungen fungieren können (z. B. das Senden allgemeiner SQL-Injection-Strings an jedem Endpunkt). Ein sicherheitsbewusster Entwickler könnte Postman-Tests schreiben, um einen grundlegenden Fuzz ihrer API-Endpunkte durchzuführen. Dieser Ansatz ist kostenlos (Postman hat ein kostenloses Tier) und kann über Newman (Postmans CLI) in CI integriert werden. Es ist nicht so umfassend wie ein vollständiger Scanner, aber es ist ein wachsender Ansatz in der DevSecOps-Welt für API-Sicherheitstests.
• Aikido-Sicherheit - Eingebautes API-Scanning: Die Aikido-Plattform umfasst ein API-Scanning, in das Sie Ihre API-Endpunkte einspeisen können (oder das sie zusammen mit einem Web-Scan entdeckt). Es unterstützt insbesondere REST und GraphQL. Für ein Team, das bereits Aikido für das Web verwendet, ist es praktisch, dass das API-Scanning an der gleichen Stelle stattfindet. Es wird Dinge wie Tests auf unerlaubten Zugriff (durch Wiederholung von Anfragen ohne Autorisierung, um zu sehen, ob Daten durchsickern) versuchen, was ein häufiges API-Problem ist. Diese Konsolidierung bedeutet weniger Kontextwechsel - Entwickler sehen API- und Web-Vulns in einem Dashboard.

Warum diese: API-Endpunkte enthalten oft sensible Daten und sind anfällig für Probleme wie die Umgehung der Zugriffsrechte, übermäßige Datenfreigabe usw. Traditionelle DAST-Tools konzentrierten sich in der Vergangenheit auf Webseiten, aber die hier aufgeführten haben mit dem API-First-Trend Schritt gehalten. Ihre Verwendung stellt sicher, dass Ihre Backend-APIs genauso getestet werden wie Ihr Front-End. In Anbetracht der Tatsache, dass viele Sicherheitsverletzungen APIs betreffen (denken Sie an das Leck bei den Facebook-Benutzerdaten über eine API oder an die API-Probleme bei T-Mobile), ist die Konzentration auf die API-Sicherheit von entscheidender Bedeutung. Mit Tools, die eine böswillige API-Nutzung simulieren können, lassen sich diese Schwachstellen aufdecken.

Beste DAST-Tools für Webanwendungen

Zielgruppe: Dies mag weit gefasst klingen (da die meisten DAST-Anwendungen für Webanwendungen bestimmt sind), aber wir interpretieren es hier als Organisationen, die sich speziell auf das Testen traditioneller Webanwendungen (Websites, Portale, E-Commerce-Websites) konzentrieren - möglicherweise solche mit umfangreichen Benutzeroberflächen. Sie wollen die Tools, die am besten geeignet sind, um in diesen Umgebungen Schwachstellen in Webanwendungen zu finden. In dieser Kategorie geht es im Wesentlichen um die Frage: Wenn Ihr Hauptanliegen die Sicherung von Webanwendungen (mit Browsern, Formularen, Benutzerkonten usw.) ist, welche Tools sind dann insgesamt am effektivsten?

Wichtige Aspekte für das Scannen reiner Webanwendungen (im Gegensatz zu APIs oder anderen Nischen):

• Crawling und Erfassungsbereich: Ein Web-App-Scanner muss effektiv alle Links crawlen, einschließlich derer, die von Skripten oder Benutzerereignissen erzeugt werden. Tools mit besseren Crawling-Algorithmen (Headless-Browser, Handhabung von SPAs) decken einen größeren Teil der App ab.
• Sitzungsmanagement: Webanwendungen haben oft komplexe Anmeldevorgänge und Zustände (Einkaufswagen, mehrstufige Workflows). Die besten DAST-Tools für Webanwendungen können diese über aufgezeichnete Makros oder Skriptlogik verwalten.
• Schwachstellen-Tiefe: Für Webanwendungen sind Dinge wie XSS, SQLi, CSRF, Dateieinbindung usw. von entscheidender Bedeutung. Einige Tools verfügen über umfassendere Prüfungen für XSS (reflektiert, gespeichert, DOM-basiert) als andere, zum Beispiel. Wie gut ein Tool gespeichertes XSS findet (bei dem eine Seite zum Übermitteln und eine andere zum Auslösen verwendet werden kann), kann die Besten von den Besten unterscheiden.
• Behandlung von Fehlalarmen: Bei einer großen Webanwendung kann es zu Hunderten von Feststellungen kommen - Tools, die die Ausnutzbarkeit überprüfen oder eindeutig priorisieren, helfen dabei, sich auf echte Probleme zu konzentrieren.
• Client-seitige Sicherheitsprüfungen: Moderne Webanwendungen können Probleme aufweisen, wie z. B. die unsichere Verwendung von clientseitigem Speicher oder Sicherheitslücken in Skripten von Drittanbietern. Einige DAST-Tools zeigen nun an, ob Ihre Website ein Skript mit einer bekannten Sicherheitslücke lädt oder ob eine Inhaltssicherheitsrichtlinie fehlt. Dabei handelt es sich um "Web-App-spezifische" Prüfungen, die über die reinen Sicherheitsrisiken hinausgehen.

Top-Tools für Webanwendungen:

• Invicti (Netsparker): Als erstklassiger Web-App-DAST ist Invictis Crawling und Schwachstellenerkennung bei typischen Web-Apps ausgezeichnet. Es ist bekannt dafür, dass es XSS und SQLi sehr zuverlässig findet, selbst in komplexen Szenarien. Die Überprüfung von Problemen wie XSS (z. B. kann es eine sichere Nutzlast einfügen und dann feststellen, dass sie ausgeführt wird) schafft Vertrauen. Aufgrund seiner breiten Abdeckung und Tiefe wird Invicti in Web-Vuln-Benchmarks oft hoch bewertet.
• Rülps-Suite Pro: Für das praktische Testen von Webanwendungen ist Burp Pro unübertroffen. Sein Scanner, kombiniert mit der Möglichkeit, manuell durch die kniffligen Stellen zu navigieren und dann erneut zu scannen, bedeutet, dass es mit seltsamer Web-App-Logik umgehen kann. Der Vorteil von Burp besteht darin, dass ein Mensch eingreifen kann, wenn der automatische Crawl irgendwo scheitert, die Hürde überwindet und Burp weitermachen lässt. Dieses interaktive Testmodell führt oft dazu, dass mehr Probleme in komplizierten Anwendungen gefunden werden. Burp verfügt außerdem über zahlreiche Scan-Optionen zur Abstimmung von Leistung und Gründlichkeit, was bei der Optimierung großer Webanwendungen hilfreich ist.
• Acunetix: Acunetix hat sich schon immer auf Webtechnologien konzentriert (einschließlich zahlreicher CMS-spezifischer Prüfungen, WordPress, Drupal usw.). Für typische Websites, insbesondere solche, die Standardplattformen verwenden, glänzt Acunetix durch die Identifizierung bekannter Schwachstellen und Fehlkonfigurationen. Acunetix ist ein solider Allround-Web-Scanner mit geringer Lernkurve, d. h., Sie können ihn auf eine Webanwendung anwenden und erhalten ohne große Anpassungen gute Ergebnisse.
• OWASP ZAP: Es ist kostenlos, kann aber in erfahrenen Händen für viele Webanwendungen auf dem Niveau kommerzieller Tools arbeiten. Der aktive Scan von ZAP hat eine breite Palette von Angriffen. Wenn er gut konfiguriert ist (mit Kontext wie Anmeldesitzungstoken usw.), kann er eine Menge finden. ZAP profitiert auch von den Community-Regeln. So kann beispielsweise jemand ein Skript beisteuern, das speziell eine gängige E-Commerce-Schwachstelle testet, und jeder kann es verwenden. Für Unternehmen, die sich keine kommerziellen Tools leisten können, ist ZAP die beste Wahl für die Sicherheit von Webanwendungen.
• HCL AppScan Standard: Es hat eine lange Erfolgsbilanz beim Scannen von Webanwendungen. Es kann für schwierige Anwendungen tiefgreifend konfiguriert werden (z. B. Anpassung von Injektionszeichenfolgen, um den Abbruch bestimmter Seiten zu vermeiden, oder Pausen zwischen bestimmten Schritten). Die heuristische Engine von AppScan findet manchmal auch weniger offensichtliche logische Probleme. Für reine Web-Bewertungen ist es ein altbewährtes Tool, das von vielen professionellen Sicherheitstestern verwendet wird (insbesondere von denen, die aus den IBM AppScan-Tagen stammen). Sie verfügen über ein umfangreiches Wissen über Schwachstellen und deren Erscheinungsformen in Webanwendungen, was sich in gründlichen Testfällen im Scanner niederschlägt.

Warum diese: Sie bieten die besten Chancen, eine Vielzahl von Sicherheitslücken in typischen Webanwendungen zu finden. Eine Webanwendung kann ein ausuferndes Gebilde mit verschiedenen Funktionen sein; diese Tools haben sich beim Scannen ganzer Websites von Anfang bis Ende bewährt. Tools wie Invicti und Burp werden oft im Tandem eingesetzt: eines für die Breite, eines für die Tiefe. Acunetix oder AppScan bieten in den Händen eines Analysten einen strukturierten Ansatz zum Scannen, dem viele Sicherheitsteams bei ihren regelmäßigen Bewertungen von Webanwendungen im Unternehmen vertrauen. Und ZAP, als Open Source, demokratisiert diese Fähigkeit.

Kurz gesagt, wenn Ihr Ziel lautet: "Ich habe dieses Webportal, und ich möchte so viele Sicherheitsprobleme wie möglich darin finden", gehören die oben genannten Tools zu den ersten, die Sie in Betracht ziehen sollten.

Beste DAST-Tools für REST-APIs

Publikum: Dies ist ein engerer Fokus auf RESTful-APIs (die als Untergruppe von API-Sicherheit betrachtet werden könnten, aber hier speziell REST). Es handelt sich wahrscheinlich um Teams, die REST-APIs (JSON über HTTP, zustandsloses Design) entwickeln, einschließlich mobiler App-Backends oder SPA-Backends, die sicherstellen wollen, dass diese APIs nicht angreifbar sind.

Schwerpunktbereiche für REST API DAST:

• Swagger/OpenAPI-Integration: Sehr wichtig für REST. Tools, die eine Swagger-Spezifikation für eine REST-API einlesen können, können alle Endpunkte, Methoden und erwarteten Parameter auflisten, was das Scannen effektiver macht.
• REST-spezifische Schwachstellen: Testen auf Dinge wie die unsachgemäße Behandlung von HTTP-Verben (z. B. Verwechslung von GET und POST), fehlende Ratenbegrenzung und typische REST-Fehlkonfigurationen (wie HTTP PUT, das erlaubt ist, wo es nicht sein sollte, oder Methoden, die idempotent sein sollten, es aber nicht sind).
• Parameter-Fuzzing: REST-Endpunkte nehmen oft JSON-Bodies entgegen. Der Scanner sollte versuchen, JSON-Parameter mit Injektions-Payloads, verschachtelten JSON-Objekten usw. zu fuzzen. Auch das Testen von Abfrageparametern in URLs für REST-Endpunkte (wie /users?filter=<script>).
• Authentifizierung/Autorisierung: Viele REST-APIs verwenden Token (Bearer-Tokens). Diese müssen von den Tools an jede Anfrage angehängt werden. Darüber hinaus ist das Testen von authZ auf REST (wie das Ändern einer ID in der URL in die ID eines anderen Benutzers) etwas, was einige DAST-Tools versuchen (obwohl das Testen echter Autorisierungslogik über DAST hinausgehen könnte).
• CSRF in APIs: Viele denken, dass APIs nicht von CSRF betroffen sind, wenn sie keine Cookies für die Authentifizierung verwenden, aber einige tun dies (oder einige erlauben sowohl Cookies als auch Token). Scanner könnten prüfen, ob zustandsändernde Endpunkte über CSRF-Schutz verfügen, wenn z. B. Cookies verwendet werden.

Top-Tools für REST API DAST:

• OWASP ZAP mit OpenAPI Add-on: Bei einer reinen REST-API (z. B. Swagger JSON) werden mit dem OpenAPI-Add-on von ZAP alle Endpunkte importiert. ZAP kann dann jeden einzelnen mit relevanten Injektionen angreifen. Möglicherweise müssen Sie ein Skript schreiben, um die Authentifizierungs-Header zu behandeln, aber mit dem Skripting von ZAP ist das machbar. Da es quelloffen ist, ist es wahrscheinlich das erste, was viele an einer REST-API ausprobieren, weil man es automatisieren kann. Die Community hat auch Beispielskripte speziell für das Scannen von APIs zur Verfügung gestellt.
• Postman + OWASP ZAP Synergie: Ein interessanter freier Ansatz ist die Verwendung von Postman für die Authentifizierung und die normale Nutzung der API (vielleicht über eine Sammlung von Endpunkten), während Postman über ZAP als Proxy fungiert. Auf diese Weise beobachtet ZAP die API und Sie können dann einen aktiven Scan von ZAP auf diesen beobachteten Endpunkten initiieren. Mit dieser Kombination lassen sich REST-Endpunkte, die bestimmte Sequenzen oder nicht triviale Authentifizierungsschritte erfordern, die von Postmans Skripting verwaltet werden, effektiv testen. Viele Praktiker verwenden diese Methode, weil Postman alle Endpunkte ordnungsgemäß (mit korrekten Daten) anspricht und ZAP dann den Teil der Sicherheitstests übernehmen kann.
• Invicti/Acunetix: Beide haben eine starke Unterstützung für REST. Sie können zum Beispiel eine Swagger-Datei nehmen und umfassende Tests durchführen, einschließlich der Erkennung von Dingen wie Probleme beim Zugriff auf RESTful-Ressourcen-Ebene (wie die Prüfung, ob GET /benutzer/123 die Daten eines anderen Benutzers abrufen können, indem sie die ID ändern, d. h. die Autorisierung auf Objektebene wird gebrochen). Sie testen auch Probleme bei der Aushandlung von Inhalten (wenn die API z. B. XML-Eingaben unterstützt, können sie versuchen, XXE zu verwenden), was bei REST-APIs oft übersehen wird. Diese Produkte halten sich über die neuesten API-Sicherheitsprobleme auf dem Laufenden (z. B. die OWASP API Top 10) und bauen entsprechende Prüfungen ein.
• Rülps-Suite Profi: Mit Burp bedeutet das Testen von REST-APIs in der Regel, dass Sie es mit Anfragen (über Repeater oder Spider) füttern und dann den Scanner sein Ding machen lassen. Wenn Sie eine große REST-API haben, können Sie ein Swagger in Burp über eine Erweiterung importieren (es gibt eine im BApp Store), die Burp-Anfragen für jede Operation erstellt. Dann können Sie den Scanner für diese Anfragen starten. Der Vorteil von Burp ist, dass Sie, wenn etwas eine Feinabstimmung erfordert (z. B. die Anpassung eines bestimmten Parameterformats), dies manuell tun und erneut senden können. Die manuelle Kontrolle gewährleistet eine gründliche Abdeckung, obwohl sie arbeitsintensiver ist als ein automatisiertes Tool.
• Wapiti: Wapiti bietet eine gute Unterstützung für REST (wie für jede HTTP-Schnittstelle). Es kann JSON-Payloads und URL-Parameter fuzzen. Es parst eine Swagger-Datei vielleicht nicht automatisch, aber wenn Sie ihm einige Eingangs-URLs zur Verfügung stellen oder es eine Dokumentationsseite spinnen lassen, kann es trotzdem Endpunkte finden. Wenn man eine vollständig quelloffene Pipeline für das Scannen von REST-APIs sucht, ist Wapiti in Kombination mit einem Skript, das Endpunkte aus einer Swagger-Datei einspeist, eine praktikable Lösung.
• Tenable.io WAS: Die Lösung von Tenable kann wiederum Swagger importieren. Sie testet dann jeden Endpunkt. In der Dokumentation wird hervorgehoben, wie APIs getestet werden können, einschließlich des Hinzufügens von benutzerdefinierten Headern oder Authentifizierungstoken in den Scan-Einstellungen. Tenable verwendet wahrscheinlich auch sein Schwachstellen-Repository, um nach bekannten Fehlkonfigurationen in API-Servern zu suchen. So kann beispielsweise überprüft werden, ob auf Ihrem API-Server die Verzeichnisauflistung für bestimmte Pfade aktiviert ist oder ob bekannte anfällige API-Frameworks durch ihre Signaturen erkannt werden.

Warum diese: REST-APIs sind allgegenwärtig (jede moderne Web-/Mobilanwendung hat eine). Injektionen in REST-APIs können genauso verheerend sein (z. B. ist eine SQL-Injektion in einem REST-Endpunkt genauso schlimm wie eine in einem Webformular). Die oben genannten Tools haben ihre Fähigkeiten speziell beim Testen von REST bewiesen. Viele Tools entsprechen den OWASP API Security Top 10, die sich stark auf REST beziehen. Tools wie Invicti und Qualys WAS erwähnen ausdrücklich die Abdeckung dieser Bereiche (wie BOLA - Broken Object Level Authorization - die Nummer 1 der API Top 10, die einige Scanner durch ID-Fuzzing zu erkennen versuchen).

Die Verwendung dieser Tools für REST-APIs hilft dabei, Probleme zu erkennen, die bei der statischen Codeanalyse möglicherweise nicht auftreten (insbesondere Konfigurationsprobleme oder Fehler bei der Zugriffskontrolle). Sie simulieren echte Client-Aufrufe, so wie Angreifer an APIs herangehen.

Beste DAST-Tools für mobile Anwendungen

Publikum: Wenn wir im Zusammenhang mit DAST über mobile Apps sprechen, geht es meist um die Backend-Dienste, mit denen mobile Apps kommunizieren, sowie um alle Webviews oder eingebetteten Browser in der mobilen App. Reine binäre Sicherheit für mobile Anwendungen (wie die Überprüfung der APK auf hartkodierte Schlüssel) ist ein anderer Bereich (vielleicht mobiles SAST), aber DAST für mobile Anwendungen bedeutet das Testen der serverseitigen Schnittstellen der mobilen Anwendung und möglicherweise der Netzwerkkommunikation. Die Zielgruppe könnten mobile Entwickler oder Sicherheitstester sein, die sicherstellen, dass die mobile Client-Server-Interaktion sicher ist.

Wichtige Aspekte:

• Testen von API-Endpunkten, die von mobilen Geräten verwendet werden: Viele mobile Anwendungen verwenden REST/GraphQL-APIs - womit wir wieder beim API-Scannen wären. Der Unterschied ist jedoch, dass Sie möglicherweise keine Dokumentation für diese haben, wenn es sich um eine interne API handelt. Das Abfangen des mobilen Datenverkehrs ist also der erste Schritt.
• Handhabung von Authentifizierungsströmen: Mobile Anwendungen können OAuth-Flows oder eine benutzerdefinierte Authentifizierung mit Token verwenden. Ein DAST-Tool für mobile Geräte muss diese Token erfassen und wiederverwenden. Oft ist es am einfachsten, die mobile App als Proxy zu verwenden und eine authentifizierte Sitzung zu erfassen.
• Testen von Webansichten: Einige mobile Anwendungen sind hybrid oder haben Webview-Komponenten. Diese können wie normale Webanwendungen getestet werden, wenn Sie die URLs erhalten können. Eine Bank-App könnte z. B. einen FAQ-Bereich haben, der im Grunde ein Webview einer Webseite ist - dieser sollte auf XSS usw. gescannt werden, denn wenn er anfällig ist, könnte er einen Angriffsvektor durch die App darstellen.
• Überprüfung auf unsichere Protokolle: Ein DAST, der den mobilen Datenverkehr untersucht, könnte feststellen, ob die App eine HTTP-URL statt HTTPS aufruft oder ungültige SSL-Zertifikate akzeptiert (einige Tools können per MITM mit einem ungültigen Zertifikat testen, ob die App noch eine Verbindung herstellt).
• Arbeitsabläufe und Zustand: Einige mobile Interaktionen sind zustandsabhängige Sequenzen (Artikel in den Warenkorb legen, dann kaufen). Um diese zu simulieren, müssen entweder Skripte für die mobile App erstellt oder die Aufrufe über ein automatisiertes Skript nachgebildet werden. Dies ist komplex, daher helfen Tools, die solche Sequenzen aufzeichnen und abspielen können.

Top Tools/Methoden für Mobile App DAST:

• Burp Suite - Standard für mobile Tests: Burp wird häufig zum Testen mobiler Anwendungen verwendet. Sie führen den Proxy von Burp auf Ihrem PC aus, konfigurieren das mobile Gerät für die Verwendung dieses Proxys (und installieren das CA-Zertifikat von Burp auf dem Gerät, damit HTTPS abgefangen werden kann). Wenn Sie dann die mobile Anwendung verwenden, erfasst Burp alle API-Aufrufe. Von dort aus können Sie sie analysieren und aktiv scannen. Burp kann auch aufzeigen, ob die App so etwas wie Zertifikats-Pinning betreibt (in diesem Fall werden in Burp Verbindungsfehler angezeigt). Viele mobilfunkspezifische Probleme (z. B. unsachgemäße Zertifikatsvalidierung) können mit Burp bewertet werden, indem Sie sehen, was Sie abfangen oder manipulieren können. Die Fähigkeit von Burp, Anfragen zu wiederholen und zu verändern, ist entscheidend für das Testen des serverseitigen Vertrauens in mobile Eingaben.
• OWASP ZAP - Mobiler Proxy und Scan: In ähnlicher Weise kann ZAP den mobilen Datenverkehr proxyisieren. Die Einrichtung auf dem Gerät erfordert zwar einen gewissen manuellen Aufwand, aber sobald das erledigt ist, behandeln Sie es wie einen normalen Web-Scan der erfassten Endpunkte. ZAP verfügt nicht über spezielle Funktionen für Mobiltelefone, aber die allgemeinen Web- und API-Scans funktionieren gut für mobile Backends. Es ist kostenlos, was für einzelne Forscher, die Android-Apps testen, von großem Vorteil ist.
• HCL AppScan mit Mobile Analyzer: AppScan Standard verfügt über Funktionen, die das Testen von Mobilgeräten erleichtern. Es kann den Datenverkehr einer mobilen App beobachten (wenn Sie die App über einen Proxy oder Emulator ausführen) und dann Tests durchführen. Außerdem bot IBM (und jetzt HCL) AppScan Mobile Analyzer an, das eine Introspektion der Binärdateien mobiler Anwendungen und einige dynamische Analysen durchführte. Mit dem Fokus auf DAST kann AppScan sicherlich die Web-Endpunkte testen, auf die eine mobile App zugreift, und bietet sogar einen Client zur Automatisierung eines mobilen Emulators an, obwohl das eine fortgeschrittene Anwendung ist.
• Aikido Sicherheit - Vollständige AppSec-Plattform (einschließlich Mobile): Aikido ist zwar kein mobiles Testtool im eigentlichen Sinne, deckt aber die Sicherheit mobiler Apps ab, da es die APIs scannt (durch sein API-Scanning) und auch statische Analysen des mobilen Codes durchführen kann (wenn ein Unternehmen über den Quellcode verfügt). Wenn Sie zum Beispiel ein mobiles Backend haben, können Sie dessen URL in Aikidos DAST einspeisen und erhalten Ergebnisse. Wenn Sie den mobilen Code haben, kann Aikidos SAST Dinge wie unsichere Zufallszahlengenerierung oder hart kodierte Geheimnisse aufdecken. Diese Kombination ist nützlich für mobile Teams, die eine einzige Plattform sowohl für ihren App-Code als auch für die Webdienste ihrer App benötigen.
• Postman für Mobile API + ZAP: Ähnlich wie zuvor erwähnt, können Sie, wenn Sie die mobilen API-Aufrufe erfassen können (über Proxy oder durch Reverse Engineering der App, um Endpunkte zu erhalten), diese in Postman neu erstellen und mit ZAP oder manuell testen. Es gibt auch ein OWASP-Projekt namens MobSF (Mobile Security Framework), das eine dynamische Analyse durchführt, indem es einen Emulator laufen lässt. MobSF führt in erster Linie statische Analysen durch, ist aber als Open-Source-Tool für mobile Sicherheit erwähnenswert; für DAST kann es einige grundlegende API-Fuzzing-Tests durchführen, wenn Sie Endpunkte bereitstellen.
• Nessus / Nexpose usw. - Umgebungsprüfungen: Obwohl die App nicht direkt getestet wird, ist die Durchführung eines Schwachstellen-Scans auf den Servern, die das mobile Backend hosten, oder die Überprüfung der SSL-Konfigurationen (z. B. mit Qualys SSL Labs oder Nessus) häufig Teil der Tests für mobile Apps. Dadurch wird sichergestellt, dass die Server, mit denen die App kommuniziert, richtig konfiguriert sind (keine alten TLS-Versionen usw.). Ich erwähne dies, weil Tools wie Nessus bei mobilen Einsätzen oft die DAST ergänzen, indem sie serverseitige Probleme über die App-Logik hinaus abdecken.

Warum diese: Mobile Anwendungen stellen besondere Herausforderungen dar, wie z. B. das Anheften von Zertifikaten, was DAST behindern kann. Die oben genannten Ansätze werden jedoch von Sicherheitsexperten verwendet, um die Konversation zwischen mobiler Anwendung und Server zu verstehen. Die Burp Suite ist aufgrund ihrer Flexibilität im Grunde das De-facto-Tool für das Pentesting mobiler Anwendungen. Mit ZAP lässt sich mit etwas mehr Aufwand, aber ohne Kosten, ein Großteil der gleichen Ergebnisse erzielen. Mit diesen Tools können Sie Probleme aufspüren, wie z. B.: Vertraut die API den vom Benutzer bereitgestellten IDs (was zu einer Offenlegung der Daten führt)? Versagt die mobile Anwendung bei der SSL-Validierung (was Man-in-the-Middle ermöglicht)? Gibt es versteckte Endpunkte, die die App aufruft und die nicht offensichtlich sind?

Durch die Verwendung von DAST auf mobilen Backends kann man simulieren, was ein Angreifer tun würde, wenn er die mobile App auseinander nimmt und damit beginnt, manipulierte API-Anfragen zu senden. Dies ist von entscheidender Bedeutung, denn viele Sicherheitsverletzungen im mobilen Bereich (man denke nur an das API-Leck bei Uber oder die API-Probleme bei Snapchat in der Vergangenheit) gehen darauf zurück, dass jemand die mobile App umkehrt und die API missbraucht. DAST-Tools, die auf die oben beschriebene Weise eingesetzt werden, können diese Schwachstellen oft aufdecken, bevor ein Angreifer sie entdeckt.

Schlussfolgerung

Die Sicherheit von Webanwendungen im Jahr 2025 erfordert einen proaktiven Ansatz - Angreifer durchsuchen unsere Websites, APIs und mobilen Anwendungen ständig nach Schwachstellen. Tools zum dynamischen Testen der Anwendungssicherheit (Dynamic Application Security Testing, DAST) sind ein Eckpfeiler dieser proaktiven Verteidigung, denn sie bieten eine Sicht auf die Schwachstellen Ihrer Anwendung aus der Sicht eines Hackers. Durch die dynamische Simulation von Angriffen helfen DAST-Tools bei der Identifizierung und Behebung von Problemen, die bei statischen Codeüberprüfungen übersehen werden könnten - von SQL-Injections in einem vergessenen Formular bis hin zu falsch konfigurierten Servern, die schwache Verschlüsselungen akzeptieren.

Sind Sie bereit, Ihre Anwendungssicherheit auf die nächste Stufe zu heben? Starten Sie kostenlos mit der All-in-One-Plattform von Aikido.

‍