Um estudo sobre ferramentas de busca de vulnerabilidades em aplicações web

• Autor(a) principal: Azevedo, Daniel Galvão de
• Data de Publicação: 2018
• Tipo de documento: Trabalho de conclusão de curso
• Idioma: por
• Título da fonte: Repositório Institucional da UFRN
• Texto Completo: https://repositorio.ufrn.br/handle/123456789/43644
• topic: Segurança da informação; Ferramentas de varredura de vulnerabilidades; Aplicações web

Com o advento da Internet, as pessoas e empresas têm se tornado dependentes das aplicações web. Diante disso, se faz necessário o desenvolvimento seguro dessas aplicações, uma vez que o impacto causado por uma falha de segurança se torna cada vez maior, em consequência desta dependência. Atrelado a isso, o número de hackers também vem aumentando rapidamente. Assim sendo, para garantir esta segurança, são utilizados métodos como boas práticas de desenvolvimento e testes de invasão (pentest). Nestes dois casos, as ferramentas de busca de vulnerabilidade web são bastante empregadas, principalmente para a realização de testes do tipo black-box. No entanto, até mesmo estas ferramentas precisam ser bem selecionadas, para se atingir o objetivo esperado. Este trabalho tem como objetivo avaliar algumas das principais ferramentas de busca de vulnerabilidade web de código aberto, tais como OWASP ZAP, Paros, SkipFish e Vega. Estas ferramentas foram executadas sobre duas aplicações web intencionalmente vulneráveis e os relatórios produzidos foram comparados com a lista de vulnerabilidades de cada aplicação. Além disso, é apresentada uma pequena explicação das ferramentas e das principais vulnerabilidades abordadas nas práticas, e em seguida são mostrados os cenários utilizados e os dados obtidos. Ao final, são mostrados pontos positivos e negativos de cada ferramenta, as dificuldades encontradas e ideias para se obter melhores resultados com trabalhos futuros.