Der 2018 Data Breach Investigations Report (PDF) des US-Telekommunikationsanbieters Verizon besagt, die häufigste Angriffsmethode hinter Datenlecks seien Hacks über Web-Anwendungen. Daher wird es für Unternehmen wichtiger, ihre Anwendungen zu testen und abzusichern. Wir stellen einige der beliebtesten, aktuell verfügbaren Tools für Anwendungssicherheit vor und beschreiben, in welchen Szenarien sie am effektivsten sind.

Die Informationen der Liste stammen aus verschiedenen Quellen, darunter:

• Market Guide for Application Shielding (Juni 2017) von Gartner

• Magic Quadrant for Application Security Testing (März 2018) von Gartner

• Liste von Testing-Tools für Anwendungen von IT Central Station (ITCS) (Stand: September 2018)

• SecTools Top-125 Netzwerk-Security-ToolsSecTools Top-125 Netzwerk-Security-Tools (laufend aktualisiert)

Es sind sowohl kostenlose als auch kommerzielle Produkte enthalten. Die Hersteller der kommerziellen Tools nennen sehr selten Listenpreise. Die Werkzeuge sind oft in Verbindung mit anderen Tools des Anbieters erhältlich mit Mengen- oder Laufzeit-Rabatten bezüglich der Lizenzkosten. Einige der kostenfreien Tools werden auch als bezahlte Varianten angeboten, die mehr Funktionalität bieten.

Die 13 besten Tools für Anwendungssicherheit

In alphabetischer Reihenfolge:

Arxan Application Protection

Das lässt sich für Runtime Applications Self Protection (RASP) verwenden. Diese Art Software agiert, während eine Anwendung oder Laufzeitumgebung ausgeführt wird. Sie gewährt Einblicke in die Vorgänge innerhalb der App und kann so ihr Verhalten und den Kontext auf verdächtige Aktivitäten hin analysieren. Arxan Application Protection soll gegen Reverse Engineering sowie Code-Manipulation schützen und vor allem im Bereich mobiler Apps nützlich sein.

• Zielgruppe: Erfahrene Entwickler

• Fokus: RASP

• Auslieferung: Mac, Windows, Android, iOS, Linux

• Preis: Hersteller kontaktieren

Black Duck von Synopsys

Black Duck automatisiert Open-Source-Sicherheit und die Einhaltung von Lizenzen während der Anwendungsentwicklung. Mit dem Tool lässt sich das gesamte Portfolio an Open-Source-Anwendungen, überwachen, absichern und verwalten. Synopsys hat zudem noch weitere Anbieter für Anwendungssicherheit aufgekauft, darunter Coverity und Codenomicon.

Leader im Gartner Magic Quadrant

• Zielgruppe: Open-Source-Entwickler

• Fokus: Testing von Open-Source-Anwendungen

• Auslieferung: SaaS

• Preis: Live Demo, Hersteller kontaktieren

Burp Suite von PortSwigger

Burp Suite ist eine der bekannteren Tool-Suiten für Penetrationstests. Sie wurde in den letzten Jahren großflächig erweitert und verbessert. Alle enthaltenen Werkzeuge teilen sich ein gemeinsames Framework, um HTTP-Nachrichten, Persistenz, Authentifizierung, Proxies, Logging sowie Alarme darzustellen und zu verwalten. Die kostenpflichtigen Versionen beinhalten zusätzliche automatisierte und händische Test-Tools. Sie lassen sich mit verschiedenen anderen Frameworks wie beispielsweise Jenkins und mit einer gut dokumentierten REST-Programmierschnittstelle integrieren.

ITCS Rang 7

• Zielgruppe: Erfahrene Entwickler

• Fokus: Penetrationstests und Schwachstellen-Scan von Web-Anwendungen

• Auslieferung: Mac, Windows, Linux, JAR

• Preis: Kostenlos bis 4.000 US-Dollar/Jahr, 60-tägige kostenlose Probephase

CA/Veracode App Security Platform

Veracode bietet, in einer zentralen Plattform gehostet, zahlreiche Techniken für Sicherheitstests und Bedrohungsabwehr. Es wird verwendet, um sowohl während der Entwicklung als auch im produktiven Einsatz Schwachstellen zu finden und Risiken zu bewerten. Nutzer betonen häufig die einfache Bedienung des Tools, unabhängig von der Größe der getesteten Installationen.

ITCS Rang 1, Leader im Gartner Magic Quadrant

• Zielgruppe: Entwickler

• Fokus: Statisches und dynamisches Scannen von Code

• Auslieferung: SaaS

• Preis: Hersteller kontaktieren

Checkmarx

Checkmarx stellt eine Reihe von Tools zum Testen von Anwendungen bereit. Darunter fallen Werkzeuge zum statischen und dynamischen Scannen von Code und für die Analyse der Open-Source-Komponenten. Die Tools suchen die Anwendungen durchgehend nach Schwachstellen ab und unterstützen zahlreiche Programmiersprachen. Checkmarx akquirierte 2017 eine Traningsplattform und integrierte sie in seine Software, um deren Funktionen hinsichtlich Schulungen für sicheres Programmieren zu erweitern.

ITCS Rang 2, Leader im Gartner Magic Quadrant

• Zielgruppe: Entwickler

• Fokus: Statisches und dynamisches Scannen von Code, Training für sicheres Programmieren

• Auslieferung: SaaS und On-premise

• Preis: Hersteller kontaktieren, kostenlose Demo

Fortify von Micro Focus

Fortify kam durch die Fusion mit der Softwaresparte von HPE in das Portfolio von Micro Focus. Die integrierten Entwicklungs- und Testing-Tools sind als SaaS-, On-premise- und Mobile-Versionen verfügbar. Sie dienen zur kontinuierlichen Anwendungsüberwachung. Fortify kann zudem mit den Entwicklungsumgebungen Eclipse IDE und Visual Studio integriert werden.

ITCS Rang 3, Leader im Gartner Magic Quadrant

• Zielgruppe: Entwickler

• Fokus: Statisches und dynamisches Scannen von Code

• Auslieferung: SaaS- und On-premise-Versionen

• Preis: Hersteller kontaktieren, 15-tägige kostenlose Probephase

IBM Security AppScan

Security AppScan ist Teil des umfangreichen Portfolios für Anwendungssicherheit von IBM. Big Blue bietet es in drei verschiedenen Versionen an: Source, Standard und Enterprise. Source sucht Quellcode nach Schwachstellen ab. Standard bietet IT-Sicherheits-Teams, Auditoren und Penetrationstestern eine automatisierte Testumgebung für Anwendungssicherheit. Enterprise ist eine Client-Server-Version, mit der die Sicherheitstest skaliert werden können. Zudem gibt es mobile Varianten, um iOS- und Android-Anwendungen zu überprüfen. Die Software ist in der Lage, verschiedene Dateiformate aus manuellen Code-Reviews, Penetrationstests und sogar Schwachstellen-Scannern von Wettbewerbern zu importieren.

ITCS Rang 4, Leader im Gartner Magic Quadrant

• Zielgruppe: Große Unternehmen

• Fokus: Scannen von Anwendungscode inklusive mobiler, statischer und dynamischer Methoden

• Auslieferung: SaaS und On-premise

• Preis: Hersteller kontaktieren, 30-tägige kostenlose Probephase

Klocwork von Rogue Wave

Klocwork bietet unter anderem Features für statische Anwendungs-Scans, kontinuierliche Code-Integration und ein Tool zur Visualisierung der Code-Architektur. Es besitzt eingebaute Prüfwerkzeuge für verschiedene Sicherheitsstandards wie CERT, CWE und OWASP. Code-Injektionen, Cross-Site-Scripting (XSS), Memory-Leaks und andere schädliche Codierungs-Verfahren werden von ihm aufgespürt.

ITCS Rang 9

• Zielgruppe: Entwickler

• Fokus: Statische Code-Analyse

• Auslieferung: SaaS

• Preis: kostenlose Probephase

Qualys Web App Scanning

Qualys Web App Scanning findet und katalogisiert alle Web-Anwendungen im gesamten Unternehmen. Es führt dynamische Scans durch, alarmiert über Malware-Infektionen und schlägt Korrekturmaßnahmen für den Code vor. Das Produkt ist Teil des größeren Cloud-Apps-Portfolios, das neben Scans auch Security-Tools für Infrastrukturen und Endpunkte beinhaltet. Es gibt zudem einen großflächigen Support für andere Web-Application-Firewalls. Kostenlose, im Funktionsumfang reduzierte Versionen dieser Services sind erhältlich, ebenso zahlreiche Gratis-Tools, um SSL-Webseiten, Zertifikate und Browserkonfigurationen zu prüfen.

ITCS Rang 8

• Zielgruppe: Web-Anwendungsentwickler

• Fokus: Dynamisches Scannen von Anwendungen

• Auslieferung: SaaS

• Preis: Diverse Abonnements und Nutzungsgebühren-Modelle, 30-tägige kostenlose Probephase

Prevoty von Imperva

Prevoty ist ein weiteres Tool, das für RASP verwendet werden kann und vor allem bezüglich mobilen Anwendungen gegen Reverse Engineering und Code-Manipulation schützt.

• Zielgruppe: Entwickler

• Fokus: RASP

• Auslieferung: SaaS

• Preis: Hersteller kontaktieren

Selenium

Selenium verfügt über eine Tool-Suite, mit der sich Web-Anwendungen mit ihrer Funktionsweise in einer Vielzahl verschiedener Browser-Versionen automatisiert testen lassen. Sie laufen mit der eigenen integrierten Entwicklungsumgebung für Selenium-Skripte, die als Browser-Erweiterung implementiert wird. Die Suite erlaubt es, Tests aufzunehmen, zu bearbeiten und auf Fehler zu untersuchen sowie ihre Skripte aufzunehmen und wiederzugeben. Selenium bietet breiten Drittanbieter-Support für diverse Plug-ins, die Sicherheitsprobleme in mobilen und speziellen Web-Browsern erkennen.

• Zielgruppe: Anwendungsentwickler

• Fokus: Tests von Web-Anwendungen

• Auslieferung: Benötigt einen eigenen Server und unterstützt zahlreiche Programmiersprachen, darunter C#, Ruby und Python

• Preis: Kostenlos

WebGoat von OWASP

WebGoat ist eine bewusst unsichere Web-Anwendung. Sie wurde vom Open Web Applications Security Project (OWASP) entwickelt, das eine Liste der kritischsten Web-Schwachstellen vorhält. Die Anwendung ist als Lehrmaterial gedacht, um die Auswirkungen der gängigsten Exploits zu demonstrieren und aufzuzeigen, wie sie in den eigenen Anwendungen zu vermeiden sind. WebGoat bietet viele Programmierbeispiele und andere Tipps. Die Software existiert seit 15 Jahren und befindet sich momentan in der achten Version.

• Zielgruppe: Entwickler

• Fokus: Tests unter anderem für Code-Injection, XSS und unsichere Zugangsdaten

• Auslieferung: JAR-Datei

• Preis: Kostenlos

Zed Attack Proxy (ZAP) von OWASP

Zed Attack kommt ebenfalls vom OWASP. Aus der Zusammenarbeit mit einer großen Open-Source-Community entstanden, hilft das Tool dabei, Sicherheitsschwachstellen in Web-Anwendungen zu finden, während sie programmiert werden. Zed Attack schaltet sich zwischen die Anwendung und den Browser, fängt Web-Traffic auf und untersucht ihn auf Anfälligkeiten.

ITCS Rang 6

• Zielgruppe: Entwickler, besonders Anfänger

• Fokus: nur Web-Anwendungen

• Auslieferung: Anwendungen verfügbar für Windows, Linux, Mac und Docker, benötigt Java 7+

• Preis: Kostenlos