Optimale Open-Source-Sicherheitstools für Anwendungsschutz

Test with the Best Was leisten Open-Source-Tools für Security-Testing?

12.01.2024 Von Dipl. Betriebswirt Otto Geißler 4 min Lesedauer

Anbieter zum Thema

Werkzeuge für Sicherheitstests ermöglichen es, potenzielle Schwachstellen und Exploits in Anwendungen zu identifizieren. So lassen sich Webanwendungen, Netzwerke, Datenbanken, Server und Maschinen vor vielen Bedrohungen schützen. Welche Tools empfehlen sich?

Ein wichtiger Teil des Development-Workflows sind Sicherheitstests. (© Witthaya - stock.adobe.com) — Ein wichtiger Teil des Development-Workflows sind Sicherheitstests.
(© Witthaya - stock.adobe.com)

Open-Source-Software wird von einer Gruppe unabhängiger Entwickler erstellt und gepflegt, die dafür den Quellcode offen teilen, sodass jeder ihn prüfen, ändern und verbreiten kann. Durch den Einsatz von Open-Source-Sicherheitslösungen sind Unternehmen dazu in der Lage, das kollektive Wissen und die Expertise einer jeweiligen Community zu nutzen, um Sicherheitsprobleme effektiv zu identifizieren und zu beheben. Sicherheitstests sind Simulationen eines Hacking-Vorgangs, zur Aufdeckung der Verwundbarkeit sowie der Optimierung einer Software.

Charakteristika von Open-Source-Sicherheitstools

Einige der wichtigsten Funktionen von Open-Source-Sicherheitstools sind in der Folge skizziert:

Automatische Asset-Identifizierung

Durch die automatisierte Asset-Erkennung wird sichergestellt, dass die gesamte IT-Umgebung regelmäßig auf Schwachstellen oder Mängel überprüft wird. Dadurch wird die Durchführung einer Asset-Überprüfung wesentlich einfacher und die Bewertung aller kritischen Schwachstellen, die in der Umgebung auftreten, genauer.

Statische Anwendungssicherheitstests (SAST)

Mit SAST-Tools können Entwickler Sicherheitsvorgänge frühzeitig im Software-Entwicklungszyklus implementieren.

Verwaltung von Richtlinien

DevSecOps-Teams können mithilfe flexibler Richtlinien-Verwaltungssysteme Software-Qualitätsstandards in jeder Entwicklungsphase implementieren und effektiv durchsetzen.

Priorisierte Bedrohungsbehebung

Mit einer automatisierten Bedrohungspriorisierung können Teams die Behebung von Problemen priorisieren, die ihre Systeme am stärksten gefährden.

Sicherheits-Testtools für Open-Source-Software

Eine Auswahl der besten Open-Source-Tools werden nachfolgend kurz vorgestellt. Viele davon sind entweder fester Bestandteil von Kali Linux oder lassen sich leicht hinzufügen:

Zed Attack Proxy (ZAP)

Zed Attack Proxy oder kurz ZAP ist ein weit verbreitetes Open-Source-Sicherheitstesttool zur Erkennung von Schwachstellen in Webanwendungen. Dabei handelt es sich um ein von OWASP entwickeltes Tool zur Identifizierung von Datengefährdung, SQL-Injection, Security-Fehlkonfigurationen, Cross-Site-Scripting und anderen möglichen Schwachstellen einer Webanwendung.

Das Tool bietet eine umfangreiche Palette an Funktionen für manuelle und automatisierte Tests, einschließlich der Möglichkeit, nach häufigen Schwachstellen zu suchen und umfassende Sicherheitsbewertungen durchzuführen. ZAP läuft auf Windows-, Linux- und Macintosh-Plattformen und kann in der Entwicklungs- und Testphase nach Sicherheitslücken in Anwendungen suchen.

Nmap

Eines der bekanntesten und robustesten Open-Source-Tools zum Testen der Netzwerksicherheit ist Nmap. Dieses Scan-Tool kann auch für Sicherheitstestzwecke eingesetzt werden. Es hilft bei der Identifizierung offener Ports, Dienste und potenzieller Schwachstellen in Webanwendungen und bietet wertvolle Erkenntnisse für Sicherheitsbewertungen.

w3af

Ein in Python geschriebenes Webanwendungs-Angriffs- und Prüf-Framework ist w3af. Mit seiner zweistufigen Erkennungs- und Prüfmethode identifiziert es effektiv über 200 Schwachstellen, darunter SQL-Injections, PHP-Fehlkonfigurationen, Cross-Site-Scripting und unbehandelte Anwendungsfehler. Die Erkennungsschicht sucht nach verschiedenen URLs und leitet sie dann an die Prüfschicht weiter, die dann die URLs auf Schwachstellen testet.

Es bietet sowohl grafische als auch Befehlszeilen-Schnittstellen, über die der Anwender variable Parameter zum Testen von Webanwendungen verwenden kann. Das Open-Source-Tool bietet Unterstützung für Proxy, HTTP-Antwort und DNS-Caching, Cookie-Verarbeitung und Datei-Upload mit Multipart. Das Framework verfügt außerdem über ein Authentifizierungsmodul, das zum Scannen geschützter Websites verwendet wird. Der Anwender kann alle Ausgaben in einer Konsole, Datei oder per E-Mail protokollieren.

Skipfish

Leider nicht mehr aktiv weiterentwickelt, ist Skipfish dennoch weiterhin Bestandteil von KaliLinux. Das Sicherheitstesttool führt rekursive Crawls für Webanwendungen durch und nutzt diese, um eine Sitemap für die Anwendung zu generieren. Es führt verschiedene Schwachstellenprüfungen basierend auf der Sitemap durch und gibt eine nützliche Bewertung des Website-Sicherheitsprotokolls aus. Skipfish ist für die Verarbeitung von HTTP-Anfragen optimiert und verspricht qualitativ hochwertige Ergebnisse als auch bis zu 2.000 Anfragen pro Sekunde.

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Geschäftliche E-Mail

Bitte geben Sie eine gültige E-Mailadresse ein.

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Stand: 08.12.2025

Es ist für uns eine Selbstverständlichkeit, dass wir verantwortungsvoll mit Ihren personenbezogenen Daten umgehen. Sofern wir personenbezogene Daten von Ihnen erheben, verarbeiten wir diese unter Beachtung der geltenden Datenschutzvorschriften. Detaillierte Informationen finden Sie in unserer Datenschutzerklärung.

Einwilligung in die Verwendung von Daten zu Werbezwecken

Ich bin damit einverstanden, dass die Vogel IT-Medien GmbH, Max-Josef-Metzger-Straße 21, 86157 Augsburg, einschließlich aller mit ihr im Sinne der §§ 15 ff. AktG verbundenen Unternehmen (im weiteren: Vogel Communications Group) meine E-Mail-Adresse für die Zusendung von Newslettern und Werbung nutzt. Auflistungen der jeweils zugehörigen Unternehmen können hier abgerufen werden.

Der Newsletterinhalt erstreckt sich dabei auf Produkte und Dienstleistungen aller zuvor genannten Unternehmen, darunter beispielsweise Fachzeitschriften und Fachbücher, Veranstaltungen und Messen sowie veranstaltungsbezogene Produkte und Dienstleistungen, Print- und Digital-Mediaangebote und Services wie weitere (redaktionelle) Newsletter, Gewinnspiele, Lead-Kampagnen, Marktforschung im Online- und Offline-Bereich, fachspezifische Webportale und E-Learning-Angebote. Wenn auch meine persönliche Telefonnummer erhoben wurde, darf diese für die Unterbreitung von Angeboten der vorgenannten Produkte und Dienstleistungen der vorgenannten Unternehmen und Marktforschung genutzt werden.

Meine Einwilligung umfasst zudem die Verarbeitung meiner E-Mail-Adresse und Telefonnummer für den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern wie z.B. LinkedIN, Google und Meta. Hierfür darf die Vogel Communications Group die genannten Daten gehasht an Werbepartner übermitteln, die diese Daten dann nutzen, um feststellen zu können, ob ich ebenfalls Mitglied auf den besagten Werbepartnerportalen bin. Die Vogel Communications Group nutzt diese Funktion zu Zwecken des Retargeting (Upselling, Crossselling und Kundenbindung), der Generierung von sog. Lookalike Audiences zur Neukundengewinnung und als Ausschlussgrundlage für laufende Werbekampagnen. Weitere Informationen kann ich dem Abschnitt „Datenabgleich zu Marketingzwecken“ in der Datenschutzerklärung entnehmen.

Falls ich im Internet auf Portalen der Vogel Communications Group einschließlich deren mit ihr im Sinne der §§ 15 ff. AktG verbundenen Unternehmen geschützte Inhalte abrufe, muss ich mich mit weiteren Daten für den Zugang zu diesen Inhalten registrieren. Im Gegenzug für diesen gebührenlosen Zugang zu redaktionellen Inhalten dürfen meine Daten im Sinne dieser Einwilligung für die hier genannten Zwecke verwendet werden. Dies gilt nicht für den Datenabgleich zu Marketingzwecken.

Recht auf Widerruf

Mir ist bewusst, dass ich diese Einwilligung jederzeit für die Zukunft widerrufen kann. Durch meinen Widerruf wird die Rechtmäßigkeit der aufgrund meiner Einwilligung bis zum Widerruf erfolgten Verarbeitung nicht berührt. Um meinen Widerruf zu erklären, kann ich als eine Möglichkeit das unter https://contact.vogel.de abrufbare Kontaktformular nutzen. Sofern ich einzelne von mir abonnierte Newsletter nicht mehr erhalten möchte, kann ich darüber hinaus auch den am Ende eines Newsletters eingebundenen Abmeldelink anklicken. Weitere Informationen zu meinem Widerrufsrecht und dessen Ausübung sowie zu den Folgen meines Widerrufs finde ich in der Datenschutzerklärung.

Metasploit

Das weit verbreitete Open-Source-Sicherheitstesttool Metasploit verfügt über erweiterte Funktionen und über 1.500 Exploit-Techniken, die es beim Testen von Webanwendungen, Netzwerken, Servern etc. unterstützen. Mit über 24.000 Sternen auf GitHub ist Metasploit als GUI- und Befehlszeilen-Dienstprogramm mit Unterstützung für macOS X, Linux und Windows-Betriebssysteme verfügbar.

Wapiti

Der Wapiti Scanner ist ein Open-Source-Befehlszeilen-Dienstprogramm. Es unterstützt sowohl GET- als auch POST-HTTP-Methoden, um Webanwendungen auf anfällige Formulare oder Skripte zu testen, die Bedrohungsakteure für die Einschleusung infizierter Daten nutzen kann. Es verfügt über verschiedene Funktionen, die es ihm ermöglichen, Sicherheitsscans anzuhalten und fortzusetzen, SSL-Zertifikate und Angriffsmodule zu aktivieren oder zu deaktivieren. Es schlägt auch Alarm, wenn neue Bedrohungen entdeckt werden.

John the Ripper

JTR, sprich John The Ripper, wurde ursprünglich für UNIX-basierte Plattformen entwickelt und ist ein Multiplattform-Tool zum Knacken von Passwörtern. Es erkennt automatisch die Verschlüsselungsmethoden gehashter Passwortdaten und vergleicht sie mit einer großen Datei, die häufig verwendete Passwörter enthält. Wenn es eine Übereinstimmung findet, stoppt es und markiert das Passwort.

Damit soll ein Verfahren nachgeahmt werden, das Bedrohungsakteure beim Knacken von Benutzerkennwörtern anwenden, um Sicherheitsexperten mit Informationen zur weiteren Sicherung der Passwörter zu unterstützen. John The Ripper unterstützt mehrere Verschlüsselungstechnologien für Passwörter, darunter UNIX crypt, Big crypt, Windows LM (DES-basiert) und viele andere.

SQLNinja

SQLNinja ist ein Datenbank-Scan-Tool ähnlich SQLMap, das SQL-Injection verwendet, um Schwachstellen im Datenbankserver einer Website auszunutzen. Es handelt sich um ein Open-Source-Befehlszeilen-Dienstprogramm, das mit direkter und umgekehrter TCP- und UDP-Bindshell auf Remote-Server in verschiedenen Umgebungen zugreifen kann. Es kann in Metasploit 3 integriert werden, um eine grafische Benutzeroberfläche bereitzustellen.

Vega

Vega ist ein Open-Source-Tool zum Testen der Webanwendungssicherheit mit drei Testmodi: automatisiert, manuell und hybrid. Wenn es mit Benutzeranmelde-Informationen ausgestattet ist, kann es sich automatisch bei einer Website anmelden und die Webseiten auf Schwachstellen scannen. Es identifiziert Schwachstellen wie SQL-Injection, Shell-Injection, Cross-Site-Scripting usw. mithilfe von Proxy-Interception und funktioniert auf Linux-, Mac OS X- und Windows-Plattformen.

(ID:49865719)