私が見たホワイトハットコンサルタントがやって来て使用します このツール それからあなたに多額の請求書を送ります。
[〜＃〜] owasp [〜＃〜] （Open Web Application Security Project）を見てください。非常に有益で無料です！彼らはあなたが見なければならない非常に詳細な 侵入テストガイド を持っています。
私が使用するツール
および Nessus
xSSおよびHTMLインジェクションのクイックスキャン http://www.seoegghead.com/tools/scan-for-html-injection.seo また http://www.cirt.net/nikto2
開発中にこれを確認してください [〜＃〜] owasp [〜＃〜]
MSのセキュリティガイドも確認する必要があります Windows Server 2008セキュリティガイド
McAfee Secure は、自動化されたオンデマンドの方法でWebサーバー、ネットワーク、およびWebサイト自体を調べるかなりまともなスキャンサービスを提供します。彼らのスキャナーはPCIスキャン用に認定されているので、かなり包括的です。
別のオプションは Qualys です。 QualysとMcAfeeSecureソリューションは脆弱性スキャナーであることに注意してください。侵入テストはスキャンに関して自動化でき、一部はXSSおよびSQLインジェクション攻撃に対して自動化できますが、最終的には、信頼できる侵入テストでシステムをチェックする必要があります。
まず、ネットワークスキャンになります。 Windowsスタックを使用しているので、 zenmap を使用して、Webサーバーと両方のSQLサーバーをスキャンします。これにより、開いているポートと実行中のサービスについて説明します。包括的なテストでzenmapを実行します。この情報を使用してファイアウォールを微調整し、公開されているポートをブロックします。
もう1つやりたいことは、SQLインジェクションの脆弱性を探すことです。
Scrawlr は、WebアプリケーションのSQLインジェクションの脆弱性をスキャンするためのフリーソフトウェアです。
これは、Microsoft Security ResponseCenterと協力してHPWeb Security ResearchGroupによって開発されました。
これをチェックしてください ScreenToasterビデオ 私が作成しました。これは、SQLサーバー、ポート1433、および基本的なSQLインジェクションの簡単なネットワークスキャンを示しています。
脆弱性スキャナーのトップl0リスト：http：//sectools.org/vuln-scanners.html
また、MicrosoftのBaseline Security Analyzerもあります。これは、サーバーをprodに展開する前にまだ行っていない場合は、基本セットアップの一部にする必要があります。http：//www.Microsoft.com/downloads/details.aspx？familyid = F32921AF-9DBE-4DCE- 889E-ECF997EB18E9＆displaylang = en
Nikto は、よく知られている脆弱性を探すための良いスタートです。 WindowsやLinuxなどで動作します。私のような初心者でも十分シンプルです:)
テクノロジーに関係なく、脅威を知る必要があります。保護しようとしているデータは何かを知る必要がありますか？あなたはあなたのウェブサイトがどのように機能するかを知る必要があります。これらの魔法のセキュリティ弾丸技術の方法を最初に忘れて脅威モデルを実行します。ペネトレーションテストに無駄なお金を費やす前に、自分がどこにいるかを把握する必要があります。
Matt Parsons CISSP mparsons1980 [at] gmail.com
さまざまなパブリックライセンスツールを自由に利用できますが、私が操作する場所では、FirefoxとParos Proxyを使用して投稿と取得を操作し、WebInspectを使用してアプリケーションの脆弱性を報告し、QualysGuardEnterpriseを使用して古き良きホストをスキャンします。結果に応じて、ボックスの構成とセキュリティ体制を調整したり、変更できないもののリスク受け入れフォームを作成したり、他のツールを使用して、結果が実際に心配なものであるかどうかを判断したりします。