Website-Scanner sind eine unverzichtbare Technologie, um Cybersecurity-Angriffe auf Webanwendungen abzuwehren. Und diese Arten von Angriffen sind ein großes Problem. Laut Forrester Research sind Webanwendungen ein führender Angriffsvektor.
Schlimmer noch: Solche Angriffe haben in den vergangenen Jahren stetig zugenommen. Und noch mehr als Softwareschwachstellen – die einen riesigen Angriffsvektor darstellen – sind es Webanwendungen, die üblicherweise als externer Zugang dienen.
Um den Schutz vor diesen Angriffen zu verbessern, werfen wir zunächst einen Blick auf den Markt für Website-Scanner und gehen anschließend detailliert auf die führenden Website-Scanner-Programme ein.
Siehe auch: 5 Trends für Cloud-Sicherheit im Jahr 2022
Der Markt für Website-Scanning-Tools im Überblick
Im Arsenal der IT-Sicherheit herrscht häufig Verwirrung über die verschiedenen Werkzeuge. Begriffe wie Website-Scanner, Schwachstellen-Scan-Tool, Website-Schwachstellen-Scanner und Webanwendungs-Scanner werden synonym verwendet. Das ist jedoch ein Fehler.
Schwachstellen-Scanner und Website-Schwachstellen-Scanner sind unterschiedlich. Ein Website-Scanner führt einen Remote-Scan einer Website durch und stellt häufig eine Grafik bereit, die eingebunden werden kann, um zu zeigen, dass die Website gescannt wurde. Schwachstellen-Scanner hingegen durchsuchen das IT-Netzwerk, Endgeräte und die Infrastruktur auf der Suche nach Schwachstellen.
- Was ist ein Schwachstellen-Scan?
- Was leistet ein Website-Schwachstellen-Scanner?
- Die besten Website-Scanning-Tools
Was ist ein Schwachstellen-Scan?
Schwachstellen-Scanner überwachen Anwendungen und Netzwerke kontinuierlich, um Sicherheitslücken zu identifizieren. Dabei gehen sie auf unterschiedliche Weise vor.
Viele von ihnen verfügen über eine aktuelle Datenbank bekannter Schwachstellen und führen Scans durch, um mögliche Risiken und Exploits zu identifizieren. Sie werden typischerweise von der IT eingesetzt, um Anwendungen und Netzwerke auf bekannte Probleme zu testen und neue Schwachstellen zu erkennen. Außerdem erstellen sie auf Grundlage ihrer Analyse bekannter Schwachstellen und potenzieller neuer Exploits Berichte.
Beim Schwachstellen-Scanning geht es also um die Untersuchung potenzieller Angriffspunkte, um Sicherheitslücken zu identifizieren. Regelmäßige Scans erkennen und klassifizieren Schwächen des Systems. In manchen Fällen macht die Anwendung Vorhersagen über die Wirksamkeit von Gegenmaßnahmen. Scans können von der IT-Abteilung oder über einen Managed Service durchgeführt werden.
Typischerweise werden Scans anhand einer Datenbank mit Informationen über bekannte Sicherheitslücken in Diensten und Ports durchgeführt, ebenso anhand von Anomalien beim Aufbau von Paketen, fehlenden Patches und möglichen Pfaden zu ausnutzbaren Programmen oder Skripten.
Einige Schwachstellen-Scanner erkennen Schwachstellen und schlagen mögliche Abhilfemaßnahmen vor. Andere versuchen, in der gesamten Umgebung Abhilfemaßnahmen umzusetzen und Risiken zu mindern. Manche bieten durch Berichte umfassende Unterstützung bei Audits und der Compliance oder sind auf Sicherheitsstandards wie PCI DSS, Sarbanes-Oxley oder HIPAA ausgerichtet. Andere haben sich auf die Suche nach webbasierten Lücken oder Problemen mit Authentifizierungsdaten, schlüsselbasierter Authentifizierung und Anmeldedatentresoren spezialisiert.
Lesen Sie: So prüfen Sie eine Website auf Schwachstellen
Was leistet ein Website-Schwachstellen-Scanner?
Ein Website-Schwachstellen-Scanner (auch Website-Scanner oder Webanwendungs-Scanner genannt) durchsucht die Seiten einer Website oder Webanwendung, um Sicherheitslücken zu erkennen. Solche Tools suchen nach Sicherheitsproblemen wie Cross-Site-Scripting, Cross-Site-Request-Forgery (CSRF) oder SQL-Injection. Sie automatisieren das Scannen von Webanwendungen und testen diese auf gängige Sicherheitsprobleme. Einige bieten erweiterte Funktionen, um tiefer in Anwendungen vorzudringen und schwer auffindbare Fehler wie asynchrone SQL-Injection und blinde serverseitige Request-Forgery (SSRF) zu finden.
Zu den von Web-Scannern eingesetzten Techniken gehören das Spidering und Crawling von Anwendungen, die Erkennung von Standardinhalten und gängigen Inhalten sowie die Prüfung von Webanwendungen auf häufige Schwachstellen. Das Scanning kann aktiv oder passiv erfolgen. Der passive Ansatz führt nichtinvasive Prüfungen durch, die nützlich, aber häufig nicht gründlich genug sind. Aktive Scans simulieren Angriffe auf Websites und Webanwendungen. Einige Tools nutzen außerdem Zugriffsberechtigungen, um zu prüfen, ob sich weitere Schwachstellen aufdecken lassen.
Siehe auch: 5 Auswirkungen sozialer Medien auf die Cybersecurity
Die besten Website-Scanning-Tools
Wir stellen einige Beispiele für beide Arten vor – sowohl Schwachstellen-Scanner als auch Webanwendungs-Scanner. Dabei liegt unser Schwerpunkt klar auf der zweiten Kategorie. Hier sind unsere Favoriten, in keiner bestimmten Reihenfolge:
Burb
Der Web-Schwachstellen-Scanner in Burp Suite nutzt Forschungsergebnisse von PortSwigger, um Anwendern dabei zu helfen, automatisch eine Vielzahl von Schwachstellen in Webanwendungen zu finden. Als Kernbestandteil von Burp Suite Enterprise Edition und Burp Suite Professional wird er von mehr als 60.000 Anwendern in 15.000 Unternehmen eingesetzt.
Wichtige Unterscheidungsmerkmale
- Die Crawling-Engine von Burp Scanner überwindet Hindernisse wie CSRF-Token, zustandsbehaftete Funktionen sowie überladene oder volatile URLs.
- Der integrierte Chromium-Browser rendert und crawlt JavaScript.
- Ein Crawling-Algorithmus erstellt ähnlich wie ein Tester ein Profil des Ziels. Er ist darauf ausgelegt, dynamische Inhalte, instabile Internetverbindungen, API-Definitionen und Webanwendungen zu verarbeiten.
- Verwendet Techniken zur Standort-Fingerprinting, um verborgene Bereiche zu identifizieren.
- Scan-Prüfungen können einzeln oder gruppenweise ausgewählt und benutzerdefinierte Konfigurationen gespeichert werden, etwa eine Scan-Konfiguration, die nur Schwachstellen aus den OWASP Top 10 meldet.
- Burp Collaborator identifiziert Interaktionen zwischen dem Ziel und einem externen Server, um für herkömmliche Scanner unsichtbare Fehler wie asynchrone SQL-Injection und blinde SSRF zu erkennen.
- Dabei kommt eine gemischte Methodik zum Einsatz, die eine maximale Abdeckung bei gleichzeitig möglichst wenigen Fehlalarmen für den Anwender gewährleistet.
Qualys Web Application Scanner
Die Qualys Cloud Platform führt zusammen mit ihren Cloud-Agenten, virtuellen Scannern und Funktionen zur Netzwerkanalyse zentrale Elemente eines effektiven Schwachstellenmanagementprogramms in einer einzigen App zusammen, die durch Orchestrierungs-Workflows vereinheitlicht wird.
Wichtige Unterscheidungsmerkmale
- Qualys VMDR ermöglicht es Unternehmen, automatisch jedes Asset in ihrer Umgebung zu ermitteln, einschließlich nicht verwalteter Assets im Netzwerk, sämtliche Hard- und Software zu inventarisieren sowie kritische Assets zu klassifizieren und zu kennzeichnen.
- Es bewertet Assets kontinuierlich auf die neuesten Schwachstellen und wendet die aktuellste Threat-Intelligence-Analyse an, um aktiv ausnutzbare Schwachstellen zu priorisieren.
- Erkennt automatisch den neuesten Patch für das gefährdete Asset und spielt ihn zur Behebung ein.
- Cloudbasiert.
- Manuell, nach Zeitplan oder kontinuierlich scannen.
Nessus
Nessus von Tenable ist ein weit verbreitetes Tool zur Schwachstellenbewertung. Es wird häufig von erfahrenen Sicherheitsteams eingesetzt. In Verbindung mit Penetrationstesting-Tools kann es diesen Zielbereiche und potenzielle auszunutzende Schwachstellen liefern. Zehntausende Unternehmen setzen es bei Schwachstellenbewertungen ein. Nessus entstand vor zwanzig Jahren als Open-Source-Tool, wurde jedoch zu einem proprietären Tool weiterentwickelt.
Wichtige Unterscheidungsmerkmale
- Hunderte Vorlagen für Compliance und Konfiguration stehen für Aufgaben wie Konfigurationsaudits und Patch-Management bereit. So kann die IT erkennen, wo Schwachstellen bestehen, Patches veraltet sind und Konfigurationen nicht den Compliance-Vorgaben entsprechen.
- Behandelt Softwarefehler, fehlende Patches, Malware und Fehlkonfigurationen in einer großen Bandbreite von Betriebssystemen, Geräten und Anwendungen.
- Fördert Feedback aus der Community, um Nessus zu optimieren.
- Spürt Schlupflöcher auf, die Angreifer ausnutzen könnten.
- Kann noch verwendete Standardpasswörter im Unternehmen erkennen, Versuche, den vorgesehenen Benutzern den Zugriff auf einen Rechner oder eine Netzwerkressource zu verwehren, offene Mail-Relays, die häufig von Spammern missbraucht werden, sowie Schwachstellen, über die Hacker Zugang erlangen oder auf vertrauliche Informationen zugreifen könnten.
- Nützlich bei der Vorbereitung von PCI-DSS-Audits.
Acunetix Web Vulnerability Scanner
Acunetix von Invicti scannt webbasierte Anwendungen. Sein Multithread-Scanner kann schnell Hunderttausende Seiten crawlen und erkennt außerdem häufige Konfigurationsprobleme von Webservern. Besonders gut eignet er sich für das Scannen von WordPress. Acunetix erstellt automatisch eine Liste aller Websites, Anwendungen und APIs und hält sie aktuell.
Wichtige Unterscheidungsmerkmale
- Scannt Bereiche, die die meisten Schwachstellen-Scanner nicht erreichen können.
- Scannt SPAs, skriptreiche Websites und mit HTML5 und JavaScript erstellte Anwendungen.
- Zeichnet Makros auf, um das Scannen passwortgeschützter und schwer erreichbarer Bereiche zu automatisieren.
- Scannt nicht verknüpfte Dateien.
- Für Windows und Linux.
- Der Scanner findet jede Seite von Webanwendungen, auch wenn es sich um speziell entwickelte Software handelt.
- Kann DOM-basiertes XSS erkennen.
- Scannt AJAX-lastige clientseitige Single-Page-Anwendungen und komplexe passwortgeschützte Bereiche.
- Tests auf SQL-Injection.
- Open-Source-Software und speziell entwickelte Anwendungen scannen.
Netsparker
Netsparker ist eine Lösung für das Management von Web-Schwachstellen mit Schwerpunkt auf Skalierbarkeit, Automatisierung und Integration. Die Suite basiert auf dem Web-Schwachstellen-Scanner und lässt sich in Tools von Drittanbietern integrieren. Bediener müssen sich nicht mit Quellcode auskennen.
Wichtige Unterscheidungsmerkmale
- Die Netsparker-Plattform verwendet die Proof-Based-Scanning-Technologie, um Schwachstellen zu identifizieren und zu bestätigen. So werden Ergebnisse angezeigt, bei denen es sich definitiv nicht um Fehlalarme handelt.
- Kann SQL-Injection, Cross-Site-Scripting (XSS) und andere Schwachstellen in Webanwendungen, Webdiensten und Web-APIs erkennen.
- Die Netsparker-Plattform verfügt außerdem über Tools für Sicherheitstests und einen Berichtsgenerator und lässt sich in DevOps-Umgebungen integrieren.
- Prüft Webserver wie Apache, Nginx und IIS.
- Kein Zugriff auf den Quellcode erforderlich: URL und Protokoll (HTTP oder HTTPS) angeben.
- Scannt jede Art von Webanwendung, unabhängig davon, ob sie in PHP, .NET oder einer anderen Sprache entwickelt wurde.
- Unterstützt AJAX- und JavaScript-basierte Anwendungen.
Syxsense
Syxsense ist ein Netzwerk-Schwachstellen-Scanner. Es handelt sich nicht um einen Webanwendungs-Scanner, aber er kann Webserver scannen, um sicherzustellen, dass sie gepatcht sind, und führt grundlegende Prüfungen durch, etwa ob die Website über ein gültiges SSL-Zertifikat verfügt. Syxsense umfasst als Teil seiner Suite außerdem Patch-Management und grundlegende IT-Verwaltungsfunktionen.
Wichtige Unterscheidungsmerkmale
- Verhindert Cybersecurity-Angriffe durch die Prüfung von Autorisierungsproblemen, der Sicherheitsimplementierung und des Antivirus-Status.
- Es lässt sich einfach ausführen, ist automatisiert und wiederholbar.
- Nach der Einrichtung überwacht und schützt es das Netzwerk in den vorab festgelegten Intervallen und zu den festgelegten Zeiten.
- Die cloudbasierte Syxsense Unified Security and Endpoint Management (USEM) Suite ermöglicht Unternehmen die Verwaltung und Absicherung lokaler, Cloud-, Homeoffice-, physischer, virtueller, mobiler und IoT-Umgebungen.
- Die IT kann damit alle ihre IT-Assets ermitteln und verwalten, darunter Betriebssysteme und Anwendungen von Drittanbietern proaktiv patchen, nach Sicherheitslücken suchen, Risiken bewerten und Patch- sowie Sicherheitsschwachstellen automatisch beheben.
- Eine skriptfreie Drag-and-Drop-Policy-Engine.
- Stellt intelligente „Receptors“ auf Endgeräten bereit, sodass die Endgeräte intelligent mit einem cloudbasierten Dienst kommunizieren können, um aktuell zu bleiben (Patch-Management) und Sicherheitsstandards einzuhalten (Schwachstellen-Scanning).
- Ermöglicht ein SaaS-Modell ohne Bereitstellungsanforderungen.
Intruder
Intruder ist ein cloudbasierter Schwachstellen-Scanner mit Schwerpunkt auf Perimeter-Scanning. Er führt mehr als 10.000 Sicherheitsprüfungen durch und ist besonders gut darin, neue Schwachstellen zu erkennen. Er führt Scans zu neu auftretenden Bedrohungen und neu entdeckten Schwachstellen durch. Die Ergebnisse werden per E-Mail an die IT gesendet und sind im Dashboard verfügbar. Zum Einsatz kommt eine Scan-Engine auf Enterprise-Niveau, dieselbe, die auch von großen Unternehmen und Behörden verwendet wird.
Wichtige Unterscheidungsmerkmale
- Scannt öffentlich und privat zugängliche Server, Cloud-Systeme, Websites und Endgeräte.
- Findet Schwachstellen wie Fehlkonfigurationen, fehlende Patches, Verschlüsselungsschwächen und Anwendungsfehler in nicht authentifizierten Bereichen.
- Scannt Systeme automatisch auf neue Bedrohungen.
- Sendet Warnmeldungen, wenn sich exponierte Ports und Dienste ändern.
- Hilft, das durch kontinuierliche Protokolleinträge und Warnungen entstehende Rauschen zu reduzieren.
- Priorisiert Probleme anhand ihres Kontexts und konzentriert sich auf Perimeter-Schwachstellen.
HCL AppScan
AppScan ist in mehreren Versionen für Unternehmen, die Cloud und weitere Einsatzbereiche verfügbar. AppScan on Cloud ist beispielsweise eine cloudbasierte Anwendungssicherheitslösung, die AppScan als Service bereitstellt. AppScan Enterprise ermöglicht der IT, Anwendungen in großem Maßstab zu scannen, Schwachstellen zu mindern und die Einhaltung gesetzlicher Vorgaben zu erreichen.
Wichtige Unterscheidungsmerkmale
- Die Integration in Build-Umgebungen, DevOps-Tools und IDEs ermöglicht ein reibungsloses Erlebnis beim Testen der Anwendungssicherheit sowie eine schnelle, gezielte Behebung von Schwachstellen.
- Eine vollständige Suite von Testtechnologien (SAST, DAST, IAST und Open Source).
- Die skalierbare Enterprise-Lösung ermöglicht es Unternehmen, Anwendungssicherheitsprogramme für alle Anwendungen zu verwalten.
- Sicherheits- und Entwicklungsteams können zusammenarbeiten, Richtlinien festlegen und Tests über den gesamten Lebenszyklus der Anwendung hinweg skalieren.
- AppScan Enterprise bietet zentrale Kontrolle mit erweiterten Funktionen zum Scannen von Anwendungen und Beheben von Sicherheitsproblemen.
- Die Version AppScan Standard verwendet die neuesten Algorithmen und Verfahren sowie Zehntausende integrierte Tests, um reale Anwendungen optimal zu unterstützen – von einfachen Web-Apps über Single-Page-Anwendungen bis hin zu JSON-basierten REST-APIs.
- AppScan Source kann Sicherheitslücken mithilfe statischer Anwendungssicherheitstests bereits früh im Entwicklungszyklus identifizieren und beheben.
Siehe auch: Technologieprognosen: Cloud, Daten, Cybersicherheit, KI und mehr