Każdego roku powstają setki nowych narzędzi służących do przełamywania zabezpieczeń, podsłuchu czy rekonesansu w różnych strukturach IT. Programy te pomagają w zbieraniu informacji, tworzeniu backdoorów i ładunków, łamaniu haseł oraz wielu innych czynnościach. Duża część pentesterów nadal jednak zostaje przy sprawdzonych rozwiązaniach. Chcemy przedstawić 5 narzędzi, które są i będą najczęściej używane w 2023 roku.
Nessus
Nessus to najbardziej znany na świecie skaner podatności w zabezpieczeniach. Ten skaner luk sieciowych skutecznie wyszukuje krytyczne błędy w dowolnym systemie. Nessus może wykryć niepoprawnie skonfigurowane usługi, słabe hasła czy różne luki systemowe.
Po wykonaniu skanowania Nessus wskazuje odpowiednie łatki, które pozwolą na zabezpieczenie się przed wykorzystywaniem znalezionych luk.
Cena: Nessus występuje w wersji płatnej i darmowej. Płatna wersja kosztuje kilka tysięcy dolarów w zależności od wyboru rodzaju licencji i okresu ważności.
Aircrack-ng
Jest to zbiór programów do testowania bezpieczeństwa sieci bezprzewodowej. Wszystkie z nich są narzędziami wiersza poleceń. W przypadku bezpieczeństwa Wi-Fi koncentruje się na monitorowaniu, atakowaniu, przechwytywaniu pakietów, testowaniu i łamaniu zabezpieczeń. Aircrack-ng obsługuje wiele platform.
Aircrack-ng umożliwia łamanie zabezpieczeń standardów WEP, WPA/WPA2. Do prawidłowego działania aplikacji potrzebna jest karta sieciowa obsługująca tryb monitor.
Cena: Darmowy.
Metasploit
Metasploit to jedno z najpotężniejszych narzędzi wykorzystujących exploity. Jest to oprogramowanie do testów penetracyjnych. Dzięki niemu można tworzyć i wykonywać kod exploita na zdalnych maszynach. To oprogramowanie jest multiplatformowe.
Metasploit zawiera bazę gotowych exploitów oraz udostępnia interfejs, dzięki któremu można przygotowywać własne ładunki, korzystając z gotowych komponentów.
Cena: Metasploit występuje w dwóch wersjach – komercyjnej i bezpłatnej. Metasploit Framework to narzędzie typu open source i można pobrać je bezpłatnie. Metasploit Pro jest produktem komercyjnym, którego okres próbny to 14 dni.
Burp Suite
Jest to popularna platforma do przeprowadzania testów bezpieczeństwa aplikacji webowych. Posiada dużo narzędzi wspierających cały proces testowania, od rekonesansu i analizy po znajdowanie i wykorzystywanie luk w zabezpieczeniach. Burp działa jako serwer proxy HTTP. Oprogramowanie to umożliwia przechwytywanie zapytań generowanych przez przeglądarkę oraz ich analizę. Kluczowe jest to, że pozwala dowolnie modyfikować zapytaniaprzed wysłaniem ich do serwera.
Cena: Dostępne są trzy plany cenowe. Edycję Community można pobrać za darmo. Cena wersji Professional zaczyna się od 399 USD za użytkownika rocznie. Ceny wersji Enterprise zaczynają się od około 3999 USD rocznie.
Hashcat
Hashcat to jedno z najlepszych, niezawodnych narzędzi do łamania haseł. Pomaga użytkownikom odzyskać utracone hasła, sprawdzić bezpieczeństwo haseł lub po prostu dowiedzieć się, jakie dane są przechowywane w haszu. Hashcat obsługuje wiele platform oraz używa procesora graficznego do łamania haseł.
Cena: Darmowy.
Jak widać, niektóre z narzędzi są płatne, co niekoniecznie wpływa na chęć ich użytkowania. Większość ludzi woli przecież darmowe rozwiązania, ale jednak płatne oprogramowanie daje więcej korzyści. Wymienione powyżej programy towarzyszą badaczom bezpieczeństwa od samego początku ich powstania. Narzędzia te są na bieżąco uaktualniane oraz mają dużą społeczność, która pomaga rozwiązywać napotkane problemy podczas użytkowania oprogramowania.