基於雲的安全測試？

Question

我們希望定期測試我們的網絡應用程序是否存在漏洞 - 我們擁有BurpSuite許可證，但希望研究使用在線解決方案的可能性。

優勢，因爲我們看到他們：

• 需要很少/無人員培訓
• 它總是最新的（檢查最新的已知vuns）
• 這可能是更具成本效益

有沒有人使用過這樣的解決方案？使用本地應用程序（如BurpSuite）進行手動測試的體驗如何？

Answer 1

您的定期測試是否包含使用BurpSuite運行純自動掃描或手動分析？

基於雲的掃描儀不會像本地運行BurpSuite那樣提供儘可能多的交互性。手動分析對於分析設計問題，授權問題或邏輯錯誤非常重要。一個完全自動化的掃描器將會（或者應該）做的是照顧像SQL注入和XSS這樣的惡意測試。 （將其視爲實現問題，而不是設計問題）

基於雲的掃描器可能是您開箱即用的BurpSuite掃描的直接替代品 - 即不使用太多配置。但它不應該補充，而不是取代良好的手動測試。這在成本方面可以是一種好處。

儘管基於雲的掃描儀可以「始終保持最新」，但實際上很少有新的網絡病毒。例如，OWASP Top 10在過去的7年中只發生了一點變化。如果您主要使用開源或商業Web應用程序，更新後的版本將有所幫助，但它們不會影響您在內部構建的應用程序。

（僅供參考，我的觀點來自於基於雲的掃描工作。）