Top 10 de las mejores herramientas de seguridad del 2013 de ToolsWatch

ToolsWatch es una de esas páginas imprescindibles para mantener al día tu arsenal de herramientas de seguridad. El siguiente Top 10 es una lista de las herramientas del 2013 más votadas y valoradas por sus usuarios y lectores:

1.- OWASP Zed Attack Proxy (ZAP): herramienta de fácil uso para encontrar vulnerabilidades en aplicaciones web. Está diseñada para ser utilizada tanto por desarrolladores y probadores funcionales (que son nuevos en tests de intrusión) como por personas con una amplia gama de experiencia en seguridad. Permite automatizar las pruebas y también facilita un número de herramientas para hacerlas manualmente.

2.- BeEF (The Browser Exploitation Framework): marco modular que utiliza técnicas pioneras que proveen la posibilidad de realizar pruebas de intrusión y poder experimentar varios vectores de ataques de carácter práctico. La herramienta se centra en el aprovechamiento de las vulnerabilidades del navegador web para abarcar la seguridad desde un punto objetivo.

3.- Burp Suite: herramienta que permite realizar test de intrusión en aplicaciones web, permitiendo combinar técnicas manuales y automáticas para enumerar, analizar, atacar y explotar aplicaciones Web. Puede funcionar como proxy entre nuestro navegador e Internet, pero además tiene otras muchas funcionalidades como un spider, un escáner o un repetidor por ejemplo.

4.- PeStudio: herramienta gratuita para realizar análisis estáticos de binarios ejecutables de Windows. Un fichero analizado con PeStudio no se ejecuta por lo que puede evaluarse sin riesgo aunque sea malware. Además tiene entorno gráfico y es portable.

5.- OWASP Xenotix XSS Exploit Framework: es un marco avanzado de explotación y detección de vulnerabilidades de tipo Cross Site Scripting (XSS). No proporciona casi fasos positivos y utiliza un triple motor de navegación (Trident, WebKit y Gecko). Tiene más de 1500 payloads distintos y es capaz de evadir WAF.

6.- Lynis: herramienta de seguridad y auditoría para sistemas basados en Unix/Linux. Escanea el sistema ejecutando muchas pruebas de seguridad, revisa el software instalado y determina si cumple los estandars. También detecta fallos de seguridad y errores de configuración.

7.- Recon-ng: es un framework de reconocimiento web escrito en Python. Proporciona un potente entorno de código abierto con módulos independientes, interacción con base de datos, funciones a medida, ayuda interactiva y autocompletado de comandos.

8.- Suricata: es un IDS/IPS de red de alto rendimiento y un motor para la monitorización de la seguridad de la red. Es de código abierto y propiedad de una fundación sin ánimo de lucro dirigida a la comunidad, la Open Information Security Foundation (OISF). Es altamente escalable, puede identificar la mayoría de los protocolos, permite identificación y extracción de ficheros y checksums MD5.

9. WPScan: es un escaner de vulnerabilidades de tipo caja negra para Wordpress. Está escrito en Ruby y permite comprobar vulnerabilidades conocidas en instalaciones de Wordpress.

10.- O-Saft (OWASP SSL Advanced Forensic Tool): es una herramienta fácil de usar para analizar información sobre las conexiones SSL y los certificados SSL proporcionados. Está diseñado para ser utilizado por pentesters, auditores de seguridad o administradores de servidores.