Outils de sécurité open source
Nikto : le vieux scanner Web bruyant qui vaut la peine d'être conservé
Nikto est le scanner de serveur Web vétéran de 2001 qui n'est jamais mort : il vérifie les fichiers dangereux, les chaînes de bannières de logiciels obsolètes, les faiblesses de configuration et plusieurs centaines de problèmes génériques, haut et fort à la lettre de sa propre bannière. Il ne s'agit pas d'un DAST moderne : pas de rendu javascript, pas de logique de flux de travail et ses résultats se lisent comme une liste de carrières plutôt que comme une évaluation des risques. Nous le gardons pour ce qu'il est : un contrôle d'intégrité au niveau du serveur en une seule commande qui ne coûte rien à exécuter et qui révèle parfois quelque chose que tout le monde a manqué.
Points clés
- La commande est une ligne : nikto -h target -o report.html, plus -Format csv ou json lorsque la sortie alimente un outil au lieu des yeux.
- Jamais en premier, toujours après la reconnaissance : Nikto lance des centaines de requêtes reconnaissables par n'importe quel IDS ; exécutez-le lorsque le volume est jugé acceptable.
- Attendez-vous à des faux positifs en masse : les bannières de versions obsolètes et les résultats de vérification génériques sont des invites à vérifier, et non des résultats à rapporter directement.
- Les cas de valeur sont réels : fichiers par défaut et dangereux (répertoires .git, archives de sauvegarde, pages phpinfo), faiblesses SSL/TLS, fuites d'en-tête de serveur : des gains rapides que les analyses bon marché manquent.
- Réglage avec les catégories d'analyse des étendues -T (0 téléchargement de fichier, 2 erreurs de configuration, 3 divulgation d'informations) afin qu'un test exécute uniquement la classe dont vous avez besoin.
- Associez-le à la vérification d'annuaire séparément : la couverture de Nikto est au niveau du serveur ; la découverte de contenu reste le travail d'un outil dédié.
- Le mode Mutation devine les noms de fichiers à partir de noms connus et continue de trouver d'anciens serveurs que personne n'a revérifié, alors traitez-le comme étant limité à l'engagement et non par défaut.
- Le cadrage des autorisations reste ennuyeux et crucial : exécutez-le uniquement sur les hôtes concernés, car son empreinte digitale est indubitable et le volume atterrit sur les tableaux de bord de surveillance du client.
Note de terrain
Nikto trouve toujours /server-status sur les boîtes installées par mes héros d'enfance – et le trouver coûte une seule requête. L'analyse ne s'exécute qu'après avoir averti le client à quoi ressembleront ses tableaux de bord.
Questions fréquentes
Nikto est-il obsolète par rapport aux scanners modernes ?
En termes de capacité oui, en termes d'utilité, il persiste : pour les erreurs de configuration au niveau du serveur que le DAST moderne ignore, il gagne toujours sa place à un coût nul.
Peut-il être exécuté furtivement ?
Non, et c'est intentionnel : c'est bruyant, c'est pourquoi les plans d'engagement précisent quand il se déroule et qui en est informé à l'avance.
Nikto ou OWASP ZAP pour une analyse Web de base ?
Différentes couches : Nikto balaie les mauvaises configurations du serveur, ZAP effectue une analyse au niveau des applications ; beaucoup de gens courent les deux parce qu'aucun des deux ne couvre la voie de l'autre.
Pourquoi ne pas simplement vérifier manuellement ?
Les vérifications manuelles s'étendent à quelques hôtes ; Un parc client de cinquante serveurs dotés de logiciels connus des années 2000 est exactement ce à quoi appartient le balayage en une seule commande de Nikto.
Comment Kinetikatech vous aide avec outils de sécurité open source
Vous ne devriez pas avoir à devenir expert en outils de sécurité open source : Les professionnels de la boîte à outils de test restent chargés : les scanners, les renifleurs, les crackers et les proxys Web expliquent la manière dont ils sont utilisés lors d'engagements réels : commandes, indicateurs, sorties et où chacun se situe dans une méthodologie. C'est exactement à cela que sert Tests d'intrusion et Sécurité des serveurs Linux : installation, durcissement, supervision et un ingénieur d'astreinte jour et nuit.