Online Security Scanner

Sicherheitsscanner

Google-Scanner von Google Googles kostenloser Scanner kann zum Test von Webanwendungen auf Sicherheitsschwachstellen verwendet werden. Das Programm Skipfish arbeitet ähnlich wie Nmap, Nessus & Co., sollte aber viel rascher auf den Punkt kommen. Der Skipfish ist in purem C gehalten und kann laut Googles Aussage problemlos 2000 HTTP-Requests pro Sek. senden - sofern der geprüfte Rechner eine so große Auslastung bewältigt.

Bei Tests in einem Netzwerk wurden bereits 7000 oder mehr Requests pro Sek. gesendet, bei mittlerer CPU-Auslastung und niedrigem Speicherbedarf. Diese Leistung wird von Google mit einem Serien-I/O-Modell erzielt, das Reaktionen in asynchroner Weise bearbeitet und weitaus besser skaliert als herkömmliche Multithreading-Ansätze, die Anforderungen synchrone verarbeiten.

Eine optimierte Behandlung von HTTP-Verbindungen mit HTTP 1.1 Range Requests, Keep-Alive-Verbindungen und Datenkomprimierung sollte die von Skipfish genutzte Netzwerkbandbreite in Grenzen halten. 2. Google verwendet nach eigenen Aussagen den Scanner selbst, um seine eigenen Webanwendungen auf ungeschützte Interfaces zu durchsuchen. Allerdings verweist Google auch darauf, dass die Sicherheitsüberprüfungen alles andere als abgeschlossen sind und die Kriterien des WASC (Web Application Security Scanner Evaluierungskriterium) nicht erfüllen.

Scanner, Teil 2

Schwachstellenscanner durchsuchen Server und Netzwerke nach Angriffsstellen mit Hilfe einer großen Anzahl von Sicherheitslücken. Schwachstellenscanner nutzen eine große Anzahl von Sicherheitslücken, um nach potentiellen Angriffsstellen in Server und Netzwerken zu recherchieren und einen Gesamtüberblick über die Systemsicherheit zu haben. Das Installieren und Konfigurieren von Scanner wie Nessus unter Linux ist nicht ganz einfach, bei Produkten für Windows, wie dem von ISS, manchmal nicht ganz preiswert.

Zahlreiche Online-Schwachstellen-Scanner basieren auf der Open-Source-Software Nessus. Bei Nessus werden Plugins eingesetzt, um das System nach verschiedenen Sicherheitslücken zu durchsuchen. Viele von ihnen prüfen nur eine bestimmte Anwendung oder Sicherheitslücke. Um zu vermeiden, dass Ihr Windows/IIS-Server unnötig auf Sicherheitslücken im Bereich von Apache geprüft wird, sollten Sie in der Lage sein, die Plugins individuell zu schalten und zu deaktiveren.

Nur it. sec stellt zur Zeit ein Web-Frontend für die Konfigurierung der Plugins zur Verfügung. Online-Scans für grössere Netze sind in der Regel gebührenpflichtig, aber alle haben einen kostenlosen Testzugang für eine einmaligen Review oder eine begrenzte Zeitspanne. Damit soll ein möglicher Missbrauch des Scanners vermieden werden. Mit Nessus prüft SecurityMetrics mehrere Rechner simultan, die Sie in einer Auswahlliste eintragen.

Mit einem Testaccount können Sie gegen bis zu drei verschiedene Rechner antreten: Zu Beginn des Probetests erhalten Sie eine besondere E-Mail mit einer URL, eine E-Mail benachrichtigt den Benutzer über deren Ende.