AVALIAÇÃO DE SCANNERS WEB OFERECIDOS COMO SERVIÇO (SAAS)

Resumo

A sociedade está cada vez mais dependente dos sistemas e serviços oferecidos através da Internet. A maioria dos recursos e serviços online são disponibilizados aos usuários finais na forma de aplicações Web. Portanto, a segurança desses sistemas passa a ser de fundamental importância para o mercado e a sociedade. Neste contexto, o objetivo deste trabalho é analisar a eficácia de scanners online de vulnerabilidades de sistemas Web. Para a avaliação, foi utilizado um cenário controlado contendo falhas pertencentes às 10 categorias de vulnerabilidades mais comumentemente encontradas em sistemas Web. O trabalho foi dividido em seis etapas bem definidas, indo desde o levantamento do estado da arte até a análise dos resultados obtidos pela execução dos scanners. Nas etapas iniciais, foram selecionados 5 scanners SaaS, que representam o estado da arte (o que há de mais avançado) em termos de detecção de vulnerabilidades em sistemas Web. Surpreendentemente, o conjunto destes serviços de varredura detectou apenas 70% das categorias de vulnerabilidades do ambiente controlado. Estes resultados indicam claramente a necessidade de se utilizar mais de um scanner para identificar falhas em um sistema Web e, também, demonstram o quão preocupante é o cenário atual uma vez que a detecção deveria ter atingido o índice de 100%. Além disso, os resultados corroboram com a teoria de que pode ser difícil escolher um scanner de vulnerabilidades para dar suporte, no que diz respeito a aspectos de segurança, ao processo de desenvolvimento de software.