如何快速、準確定位漏洞？漏洞的覆蓋率如何保證？

作者：由道普雲發表于攝影時間：2021-05-21

各位好，我是 @道普雲

一站式雲測試SaaS平臺。一個在軟體測試道路上不斷折騰十餘年的萌新。

歡迎關注我的專欄和我的主頁

@道普雲

文章內容具有一定門檻，建議先贊再收藏慢慢學習，有不懂的問題歡迎私聊我。

（雙擊螢幕有新大陸，可以試試看）

希望這篇文章對想提高軟體測試水平的你有所幫助。

上期直播我們為大家詳細介紹了滲透測試的前滲透階段，透過前期的工作，我們已經確定好要滲透的目標。接下來可以透過選擇使用掃描工具進行漏掃，這樣可以極大提高我們的工作效率。

一款好用的漏掃工具必須要具備的“準”、“快”、“全”這些基本要素。“準”指的是漏洞的定位要準確，如果一款工具的誤報率很高，那必將大大增加我們的工作量。“快”是說一定要能夠快速發現漏洞、工具的策略要能夠實時更新以滿足不斷變化的威脅。“全”指的是一定要能夠覆蓋足夠全面的漏洞，支援足夠多的技術和框架。只有滿足了以上這幾個特點，我們用起來才會比較稱手。

今天就為大家詳細介紹一款黑盒測試工具——WebInspect，它也是原先屬於HP旗下的產品，後經Micro Focus收購，成為眾多世界500強企業的選擇。那麼它究竟有哪些“過人之處”？

WebInspect 是一款全面的動態應用程式掃描程式，它能夠對所有漏洞類別執行全面審計。它可以模擬來自真實環境的攻擊行為，來檢測漏洞，快速歸納出漏洞型別，並給出優先順序排序和修復建議。透過靈活的整合滿足企業的DevOps和擴充套件需求，可以實時監控態勢，確認修正，跟蹤指標、趨勢和進度。

某醫療網路機構擁有全國絕大多數醫療資訊，包括藥店、醫院、實驗室等其他醫療組織，在其多年的發展過程中，透過收購、外包等方式構建了龐大的程式碼系統，程式語言、環境和標準非常複雜，開發人員很難透過憑藉自己的能力去識別漏洞，他們先是透過使用開源安全測試工具進行掃描，工具包含的安全規則比較少，誤報率比較高，讓開發人員非常頭疼。

與此同時，為保障使用者資訊的安全性，此機構被要求定期進行安全評估，由於沒有一個集中的儲存庫來儲存和訪問這些報告，這就變成一個十分耗時的過程。

藉助WebInspect，該機構決定實施一個可跨越整個軟體開發生命週期的全面的軟體安全保障計劃。藉助REST API，該機構搭建了可以自動執行測試的環境，開發人員可以提交測試申請，然後透過自動化的流程進行測試。WebInspect保證了開發人員可以快速測試和調整，網路漏洞出現的機率大幅減少。

值得一提的是，當一個誤報事件出現時，開發人員可以透過WebInspect的建議很輕鬆地解決，並在未來的評估中避免它再次出現。誤報率也大大降低，節省了寶貴的時間和資源。

產品特點：

1、全面、準確的動態掃描器

無縫爬牆現代框架的 Web 技術，顯示 Web 應用程式可攻擊性和 Web 伺服器漏洞。

2、合規性管理

預配置了政策和報告，適用於所有與 Web 應用程式安全相關的主要合規性條款，包括 PCI DSS、DISA STIG、NIST 800-53、ISO 27K、OWASP 和 HIPPA。

3、權威詳細的掃描結果

可提供更多詳細資訊供開發人員快速修復漏洞，全球領先的軟體安全研究團隊將前沿研究轉換為安全指南，為漏洞修復提供權威指引。

4、管理企業應用安全風險

管理應用安全風險，建立修復和管理監督報告。在應用中監控趨勢，對漏洞採取措施。