Auditar y escanear seguridad web con Arachni

Arachni es un sistema totalmente automatizado, se ejecutará el escaneo mientras el ordenador o servidor esté encendido por ello podemos indicar que nos avise por mail si se ha terminado la tarea ya que puede tardar varios minutos. Tan pronto como se inicia una exploración no se detendrá para nada ni solicitara intervención del usuario. El usuario puede detener o pausar el escaneo.

 

Al finalizar, los resultados del análisis se guardan en un archivo que posteriormente puede convertir a diferentes formatos HTML, texto, XML, etc.

 

El rastreo y detección fiable de la vulnerabilidad son las dos características más importantes de un escáner. Una combinación de una buena capacidad de recursos del servidor y de aplicaciones web con un buen diccionario de casos y datos conocidos, permite una detección de la vulnerabilidad, con una baja tasa de falsos positivos, por ello si bien el escáner nos ayuda en la detección de ser el usuario administrador el que valide que la vulnerabilidad es realmente un problema de seguridad.

 

Una forma común de probar y comparar las capacidades de rastreo y detección de la vulnerabilidad de los escáneres es a través de la referencia de la web Sectoolmarket.com que permite una comparación de herramientas informáticas, entre ellas una comparación escaneres de aplicaciones web y servidores.

 

Esta página ofrece un análisis y calificaciones para diversas herramientas de pago y gratuitas como Arachni.

 

Para conocer el rendimiento del escaner en una red o en un servidor, como dijimos mas arriba Arachni consume Ram y CPU, el escaneo será tan rápido como sea posible y el rendimiento sólo estará limitada por sus recursos físicos o del servidor auditado.

 

Arachni tiene un motor heurístico que le permite al sistema tomar decisiones cuando detecte una posible vulnerabilidad desconocida o una actividad sospechosa usando una variedad de diferentes reglas y plugins ademas de los diccionarios de vulnerabilidades, un proceso que disminuye los falsos positivos e incluso los utiliza para crear nuevas reglas sobre el funcionamiento interno de las aplicaciones web.

 

Estas reglas se extienden de vulnerabilidades graves como inyección de código, XSS, inyección SQL y otras conocidas. Los módulos de auditoría sondean el sitio web mediante formularios, enlaces, cookies y cabeceras. Mientras que los módulos de reconocimiento buscan vulnerabilidades sin la necesidad de interactuar activamente con la aplicación web.

 

Por ejemplo, funcionamiento de los modulos y sus plugins:

 

Un módulo de XSS sería un módulo de auditoría, ya que tiene que enviar la entrada a la aplicación web y evaluar la salida. Un módulo que busca de vulnerabilidades en directorios es un módulo de reconocimiento, ya que no interactúa con la aplicación web. Lo mismo se aplica para un módulo que analiza las páginas de la aplicación web para las direcciones de correo electrónico.