隨著數位化時代的到來，網路安全已成為組織、企業以至個人所需重視的議題之一。防範資安漏洞非常重要，而弱點掃描工具是防範資安漏洞初步重要一環。然而，在眾多的弱點掃描工具中，該如何選擇適合的工具呢？本文將介紹三種主要的弱點掃描工具：原始碼掃描、網站弱點掃描、主機弱點掃描，並提供比較及建議，讓讀者能夠更了解各種工具的優缺點，以及選擇合適工具的重要性。
常見弱點掃描種類與工具
原碼掃描 (Source Code Scanning)
通過檢查程式碼來發現程式碼的錯誤和安全漏洞。
可以發現各種類型的漏洞，包括SQL注入、跨站腳本攻擊等。
無法檢查到運行狀態的漏洞。
通常是開發階段進行。
也稱為白箱掃描。
原碼掃描有助於在程式碼被投入生產之前就發現漏洞，其中最具代表性的就是Fortify，為全球使用率座高的原始碼檢測工具，由於支援高達十幾種的程式語言，故擁有強大的靜態代碼分析功能，能夠有效地找出程式碼中的漏洞。
另一個常見的工具為Checkmarx，採用CxQL專利查詢技術，並讓使用者可以自定義規則。兩者都是採OWASP為基準，判斷程式漏洞風險，完成掃描後，Fortify會依照風險級別分別產出報告與統計圖表的pdf文件，修改建議包含程式碼位置與上下文，方便工程師進行修改，整體較為全面；Checkmarx的報告文件則是成列出風險最關鍵的部分與處理方式，相對較為簡潔；價格方面，Checkmarx會比Fortify更有優勢。
主機掃描(Host Scanning)
通過檢查目標主機的設定和服務來發現安全漏洞。
可以檢查到運行狀態的漏洞，但無法檢查到程式碼的漏洞。
通常在正式環境、生產階段進行。
主機掃描有助於發現目標系統的配置錯誤和漏洞。在業界中Nessus可以說是獨占鰲頭，它涵蓋了高達73,000+的常見漏洞，並提供預先建立的稽核掃描範本。同時能利用現有的掃描資料和新的插件更新找出弱點，提供即時的能見結果。在管理上，Nessus預建了1100+ 個合規與設定範本 (CIS、DISA STIG、HIPAA、PCI DSS、USGCB、FDCC等)，客戶也能根據自訂檢視畫面量身打造產出的報告內容，是目前最受使用者歡迎的工具。
動態掃描(Dynamic Scanning)
通過實際執行代碼來檢查安全漏洞。
能夠發現運行狀態的漏洞，但是無法檢查到程式碼的漏洞。
通常是正式環境、生產階段進行。
常用於網站弱點掃描。
網站弱點掃描工具通常可以自動化測試，節省時間和人力成本。
也稱為黑箱掃描。
動態掃描有助於發現目標系統存在的漏洞和安全，最廣為人知的工具是WebInspect，除了支援大量的應用程式與網頁技術(包括.NET、Java、PHP、Ruby on Rails等)，並且可以根據網頁架構進行智慧型掃描，也能自動處理許多繁瑣的掃描過程，以檢測出網頁應用程式的各種安全漏洞(SQL注入、跨站腳本XSS、遠程命令執行、身份識別等)，最大化漏洞檢測效率。
WebInspect同時遵循法規管理，納入PCI DSS、OWASP Top 10、ISO 17799、ISO 27001、HIPAA 等安全合規標準，提供的報告也相當完整，可以方便地將掃描結果報告給安全專家和管理員。
而Acunetix是另一個常見的工具，專為小型到中型企業所設計，特別強調快速、簡單、方便的操作方式。一樣也提供了多種安全檢測功能，包括網站應用程式漏洞掃描、網路掃描等，幫助客戶快速發現網站的弱點以及提出修復建議，便於企業進行網站安全改進。兩者相比，WebInspect支援的網站與技術更廣泛，掃描功能更全面；Acunetix則更著重於動態測試功能(例如模擬駭客攻擊)，價格也相對較低。
網站系統動態弱點掃描可以有更好的選擇
OKWASP弱點掃描是一套在2019年由飛象資訊與資策會資安所共同開發的動態掃描工具，並於而2022年起結合知名弱點掃描服務，運用與WebInspect相同的技術，最全面、最精確的查核所有弱點類別，透過自動動態應用程式安全性測試，快速找到弱點，將安全風險調校至最佳化效能。同時亦遵循法規管理，滿足主要的安全合規標準，包含PCI DSS、DISA STIG、NIST 800-53、ISO 27K、OWASP 和 HIPAA等，並且提供數據報告，讓企業能夠監控系統的弱點趨勢，管理整體企業的應用程式安全風險。同時針對國內產業提供使用便利、價格實惠的中文版線上掃描平台與弱點診斷報告，獲得客戶的高度肯定。
此外，OKWASP弱點掃描平台具備了更多友善的使用體驗：
雲端輸入網址，一鍵掃描，不需安裝軟體(上述所有提到的工具都需要下載軟體、安裝)
介面中文，適用臺灣產業
可設定自動排程，減少人力
符合OWASP TOP 10 2021規範
提供複掃服務，僅再次掃描被掃出的弱點，有效掌握弱點修復情況
提供第三方認證加購服務，與第三方資安認證單位合作，可提供工具報告解讀與認證
服務與報告符合多數臺灣標案需求
想要了解更多OKWASP的相關方案嗎？請至OKWASP官網
Comments