I Vulnerability Assessment Tools sono software che consentono ai tecnici informatici di automatizzare parte dell’attività di Vulnerability Assessment.

I tecnici informatici con l’obiettivo di individuare le potenziali vulnerabilità di un sistema informatico o di un’applicazione, svolgono sia verifiche manuali che automatizzate, grazie all’uso di tool con standard e database opensource riconosciuti e commerciali, che garantiscono funzioni avanzate. 

Tramite questi tool, è possibile agire sia all’esterno, sia all’interno delle reti aziendali,simulando diversi scenari di attacco e mappare in modo completo le vulnerabilità e le falle di sicurezza di una rete.

I tool migliori

 Per agevolare il lavoro dei tecnici, si ricorre spesso a tool che effettuano controlli e test massivi su vulnerabilità note del sistema o dell’applicazione. 

Il principale vantaggio di questi tool automatici riguarda la velocità, grazie alla quale è possibile analizzare consistenti volumi di informazioni. Ci sono ovviamente anche dei limiti, in primis la rigidità degli strumenti opensource e la consapevolezza che tali sistemi automatizzati si limitano a verificare quanto già noto alla comunità di hacker/ethical hacker, per questo gli interventi manuali assumono grande rilevanza.

Ecco alcuni dei migliori tool di Vulnerability Assessment che consigliamo: 

• Rapid7: soluzione completa di funzionalità avanzate per gestire in modo continuo le scansioni di vulnerabilità e i progressi nella remediation dei diversi dispositivi aziendali.
• Netsparker Security Scanner: soluzione in grado di identificare in maniera molto precisa sia XSS, sia SQL Injection e altre vulnerabilità che contraddistinguono le applicazioni e i sistemi informatici. Permette di vedere concretamente l’impatto della vulnerabilità stessa, senza bisogno di verificarlo manualmente.
• Acunetix: tool dedicato alla verifica della vulnerabilità dei sistemi informatici e delle applicazioni aziendali. È in grado di segnalare più di 4.000 potenziali vulnerabilità, prendendo in considerazione le principali varianti di XSS e SQL Injection. Questo strumento si distingue nell’ambito dei Vulnerability Assessment Tools per via della sua capacità di supportare applicazioni HTML 5 e JavaScript a pagina singola. Dà la priorità ai rischi basati sui dati, facendo riferimento a un’unica vista consolidata e dando modo di integrare i risultati della scansione in altri strumenti e piattaforme.
• Patch Manager Plus: questo software automatizzato fornisce alle aziende un’unica e facilmente gestibile interfaccia di gestione. Permette di correggere vulnerabilità su oltre 300 applicazioni di terze parti, a cominciare da Windows, Mac e Linux. Consente inoltre di agire correggendo patch mancanti e di generare report molto precisi sullo stato di vulnerabilità dei sistemi.

In questo contesto, sottolineiamo che per ottimizzare le funzionalità di questi tool, e dei prossimi gratuiti di cui parleremo, è fondamentale definire il perimetro di analisi e comprendere le aspettative e gli obiettivi.

L’efficacia dei Vulnerability Assessment Tools è dunque tanto più elevata tanto sono migliori le competenze tecniche e la padronanza degli strumenti.

Lanciare una scansione in modo errato può infatti portare ad “abbattere” un sito internet e renderlo inutilizzabile o irraggiungibile per ore.

Tool gratuiti

Nel caso vogliate approcciare la materia con dei Vulnerability Assessment Tools automatizzati, vi segnaliamo queste soluzioni gratuite.

Ecco le principali.

• OpenVAS: strumento open source di alta qualità, consente di scansionare in poco tempo le vulnerabilità del proprio sistema aziendale. Il tool in questione supporta vari sistemi operativi ed inoltre il motore di scansione viene aggiornato tecnicamente con cadenza regolare grazie a specifici test di vulnerabilità della rete.
• Retina CS Community: questo tool offre gratuitamente funzionalità di scansione e correzione concentrandosi in particolare sull’ambiente Microsoft. Il tool permette di intervenire anche su applicazioni di terze parti, come per esempio Adobe e Firefox. Il numero massimo di IP gratuiti è pari a 256.
• Microsoft Baseline Security Analizer: il tool in questione è in grado di eseguire scansione remote e locali su server e desktop Windows, identificando agevolmente eventuali service pack mancanti ed errori di sicurezza tra i più comuni. Molto semplice da gestire, rilascia report salvabili per un’agevole consultazione futura. Ricordiamo, tuttavia, che non è in grado di rilevare le impostazioni avanzate di Windows e quelle di rete.

Continua a seguire il nostro blog per altri articoli sulla sicurezza informatica e il corso di Ethical Hacker & Security Manager per formarti come esperto in questo ambito.

Nel frattempo, scopri quali sono i corsi di sicurezza informatica gratis o a pagamento e i migliori per diventare un esperto su http://www.musaformazione.it.

Al prossimo appuntamento!