OpenSCAP

Vuls

商用・個人利用が無料

ローカルプロキシツールとあるけど、経路で通信が改竄できるのか？通信内容が確認できるだけだと、wiresharkと何が違うのかよくわからない。

セキリティホール検証ツール https://github.com/sullo/nikto 現在もメンテされている。

win/mac/linux対応。

サーバーの設定ミスやパッチの当て忘れなどを検出可能こちらは勉強会でデモがあった。脆弱性を発見するだけでなく、見つかったCVE等をまとめる強力なレポート機能が付いている商用は有料。個人向けはタダ(ただし制限あり)

中華系のフリーソフトやミドルウェアと衝突を起こしたり、セキュリティソフトが警告を出したりなどでインストールが結構面倒。

nessusの派生ソフト。フリー版。多分MATLABに置けるOctaveのような位置付け。 nessusとの機能面での違いはいまいちわからなかった。

OWASP以外は全て初耳でした。
どれもかなり機能はリッチだけど、ローカルにDBが必要だったり、ポートの設定をしたりで導入は結構面倒
恥ずかしながら脆弱性のチェックはやったことはない。
- 開発時点で、非機能要件まで責任を持つようなレベルのチームで仕事をしたことがないからかもしれない。
- もしくは今までセキュリティに責任を持って納品するような案件に関わってこなかったから。(完全に閉じた社内システム等)
  - 多分納品先がチェック&問題があれば修正などをやっているのかと。。。
- SESだからこんな感じなのかな。受託でやったらセキュリティまで細かく検証しないと行けないんだろうな。
他の参加者の方の話を聞く限り、脆弱性などは手作業で検証&エクセルで管理のようなことをしているらしい。
- そう言う人たちからすると、こう言う自動で検証するツールは相当インパクトがあるらしい
私はインフラ屋じゃなくてPGだから、OWASPとか使えるといいんだろうな、と思いました。