Aplicações Web falham de um jeito que a varredura de infraestrutura não enxerga. O servidor pode estar atualizado, o sistema operacional sem CVE pendente, e ainda assim a aplicação aceitar uma entrada que não deveria. O Tenable Web App Scanning e uma aplicação de teste dinâmico de segurança (DAST): avalia a aplicação rodando, pela interface, do jeito que um usuário — ou um atacante — a encontraria.
Boa parte das falhas exploradas em aplicações Web nasce da logica e do tratamento de entrada da própria aplicação, não de um pacote desatualizado. são classes de problema que só aparecem com a aplicação em execucao — e que crescem em número na mesma velocidade em que o time entrega novas versoes.
Informações declaradas pelo fabricante. Ver fontes ao final da página.
Percorre a aplicação pela interface para construir um mapa do site com páginas, links e formulários, definindo o que sera testado.
Verificacoes voltadas as classes de vulnerabilidade do OWASP Top 10, incluindo XSS e injecao de SQL.
Avaliação de APIs, além das interfaces de navegacao tradicionais.
Deteccao de vulnerabilidades em componentes de terceiros utilizados pela aplicação.
Identificação de problemas ém certificados SSL/TLS e de configuracoes inadequadas de servidor.
Análise de aplicações de página única, cujo conteúdo e montado dinamicamente no navegador.
Definicao de permissoes por perfil de usuário dentro da ferramenta.
Testes automatizados em periodicidade configuravel, com opcoes de implantacao SaaS e on-premises.
Verificação automatizada em periodicidade definida, acompanhando a evolucao das aplicações entre releases.
Avaliação de interfaces programaticas que costumam ficar fora do escopo de testes centrados em navegacao.
Achados de aplicação e de infraestrutura reunidos na mesma plataforma, evitando relatorios paralelos.
Evidencia de que as aplicações passam por avaliação técnica periodica documentada.
Definicao da aplicação a ser avaliada, do escopo permitido e, quando aplicavel, das credenciais de autenticacao.
A ferramenta percorre a aplicação em execucao e monta o mapa de páginas, links e formulários que servira de base ao teste.
Envio de requisicoes construidas para detectar classes conhecidas de vulnerabilidade e observacao do comportamento da aplicação.
Consolidacao dos achados com informação de severidade para orientar a fila de correcao.
Encaminhamento ao time responsavel e nova execucao para confirmar que a correcao surtiu efeito.
DAST (Dynamic Application Security Testing) e o teste de segurança feito com a aplicação em execucao, avaliando-a de fora, sem acesso ao código-fonte. E complementar ao SAST, que analisa o código estaticamente, e ao SCA, que examina componentes de terceiros.
Não. O teste dinâmico automatizado cobre bem classes conhecidas de vulnerabilidade em escala e com frequência. Falhas de logica de negocio e cadeias de exploracao específicas continuam dependendo de análise humana. As abordagens se somam, não se substituem.
Testes dinamicos geram trafego real contra a aplicação e podem criar registros ou disparar acoes. A prática usual e comecar em homologacao, ajustar o escopo e a configuracao, e só entao definir com cuidado o que sera testado em producao — sempre com autorizacao formal do responsavel pela aplicação.
O licenciamento costuma variar conforme o número de aplicações avaliadas e o modelo de implantacao. Consulte a disponibilidade e as condicoes de contratacao atuais.
Condições comerciais, disponibilidade e modelos de licenciamento são definidos pelo fabricante e podem mudar. Consulte a página oficial de compra ou converse com um especialista para avaliar o cenário da sua organização.