如何评估和使用Web应用程序安全测试工具？(2)

10个评估标准

一款优秀的测试工具总有其自身的独特性，但不同厂商的扫描技术原理大同小异，其不同点也不过在于下面的这些特性：

1、与软件开发、生产过程、平台的高度集成。

2、可管理部署的多种扫描器。

3、针对不同环境进行调整的能力。

4、提供除应用程序扫描之外的特性和服务，如扫描源代码、其它的一致性分析、自动漏洞修正等，还可对进程设计提供帮助等。

5、漏洞检测和纠正分析。不但应当报告漏洞，还应当以一种开发人员可以理解的语言和方式来提供改正建议。这种扫描器应当能够确认被检测到漏洞的网页。并尽量排除那些似是而非的东西。

6、持续有效地更新其漏洞数据库。因为时过境迁，总有新的攻击出现，供应商应当根据新出现的漏洞更新其数据库。

7、报告和分析。这种工具应当能够有助于对检测到的漏洞进行分类，并根据其严重程度对其等级评定。此外，还要有漏洞的详细解释、建议的解决方案、到达现有补丁的链接等。这种报告最好还能够满足应用程序开发人员和不同水平的安全专业人士的需要。

8、非安全专业人士也易于上手。

9、协议支持：如今的多数扫描器仅使用HTTP协议来探测支持Web的应用程序。然而，如果它还支持其它协议的话，如增加SOAP协议等。就会极大地增加其可用性。

10、这种工具应当支持常见的Web服务器平台，如IIS和Apache，以及ASP、JSP、ASP.net等网络技术。

使用渗透测试工具的四个注意事项

首先，要保证贵公司不仅仅要投资于扫描工具，还要加强培训、员工管理，并围绕着发现和修正漏洞制定强健的进程。有些单位在拿到工具之后，不管三七二十一，就针对Web应用程序实施扫描和测试，却没有教育测试人员如何测试，也不花费点时间来教育员工如何配置，如何使用相关的插件来强化这种测试。这是盲动的表现。

第二、不要期望开发人员马上就喜欢这种工具。许多开发人员可能对这些工具所提示的安全状态不感兴趣或不屑一顾。企业应当关注如何让员工认识到所揭示内容的严重性和风险。

第三、要认识到这种工具的局限性。一些人相信，只要这些工具没有发现问题，他们就可以高枕无忧了。但笔者要说的是，这只能说明你的系统也许并不存在这些特定的问题。因为任何工具都不可能包含过去和未来的所有漏洞清单，所以这种工具并不是包治百病，从一定意义上讲，它们有时确实无能为力。单靠一种工具并不能发现所有的问题，经常出现这种情况，用一种漏洞扫描工具发现的漏洞，用另外一种漏洞扫描工具却无法发现。所以还需要人力资源来确认问题的存在。

第四、要真正认识到，安全并不是权宜之计，不是忙完了这阵子就算完。因为Web应用程序是动态变化的，企业需要经常地、不断地测试和检查，以保障不会出现新的漏洞。如有的单位每隔一个星期就扫描一下。笔者认为，只要人力、物力许可经常检测应当是一件好事。

未经允许不得转载：DOIT » 如何评估和使用Web应用程序安全测试工具？(2)