51520
Goto Top

Schwachstellenscanner für MSSQL, MySQL, DB2, Oracle usw

Alternative zu AppDetectivePro

Hi Leute!
Ich bin momentan auf der Suche nach einem Schwachstellenscanner für Datenbanken.
Aktuell habe ich "AppDetectivePro" con "Application Security Inc" getestet.
Dieser Scanner kann (laut eigener Aussage face-wink) MySQL, MSSQL, DB2, Oracle usw scannen.
Ist zwar ziemlich gut, aber doch recht teuer.
Gibt es eine Opensource-Alternative?
Nessus mault beim Scan lediglich, dass der DB-Port offen ist. Was aber gewollt sein kann.
Der von mir gewünschte Scanner sollte in der Lage sein praezisere Antworten zu liefern als vorgenannte.

Gibt's da was? (Von mir aus auch kommerziell. Dann aber gut&günstig face-wink)
Gruß
Atschi


[Edit Biber] Verschoben von "Firewall & Netzwerksicherheit"
nach "IT-Sicherheit" -- "Angriffserkennung und -Abwehr"
und in die fürsorglichen und fachkundigen Hände von el moderator
[/Edit]

Content-Key: 74041

Url: https://administrator.de/contentid/74041

Ausgedruckt am: 29.03.2024 um 13:03 Uhr

Mitglied: gnarff
gnarff 21.11.2007 um 00:22:40 Uhr
Goto Top
Hallo Atschi!

DB- Vulnerability Scanner die was taugen und billig sind gibt es nicht.
Wie sieht denn dein Budget aus, und wie ist es um Deine Linux/Unix/Perl-Kenntnisse bestellt?

In letzterem Fall gäbe es ein paar OpenSpource Produkte...

saludos
gnarff
Mitglied: 51520
51520 21.11.2007 um 08:43:29 Uhr
Goto Top
Hi gnarff!
Bugettechnisch kann man das schlecht sagen. Das hängt vom Kunden ab.
Außerdem kommt es ja immer auf die Infrastruktur an, ob überhaupt ein dezentraler DB-Server eingesetzt wird und so ein reiner DB-Scan überhaupt Sinn macht.
Somit wäre eine Volumenlizenz (oder "on demand") ganz passend.
Aber lieber wäre mir eine kostenlose Variante, wo wir zumindest eine gewisse Grundsicherheit testen können. Also Fehlkonfiguration usw. (Huiuiui, ich muss aufpassen was ich sage, gell? face-wink )
Klar, per Hand geht auch, aber dazu muss man ja jede Syntax eines jeden DB-Systems kennen. Ein automatisches abklappern auf Schwachstellen wäre da zumindest ein Anfang. Wenn dann Fehler entdeckt werden, kann man sich ja per Hand einloggen.
Auf den gängigen Sec-sites (#hust#) hab ich leider nichts in Richtung DB-Scan gefunden. face-confused
Perl, Unix und dgl. sind übrigens kein Problem.
Danke schonmal!
Atschi
Mitglied: gnarff
gnarff 21.11.2007 um 18:18:02 Uhr
Goto Top
Hallo atschi!

Als kommerzielle, erschwingliche Ausgaben eines Vulnerabiltyscanners kämen wohl folgende in Betracht:

1. Shadow Database Scanner -Demoversion kann angefordert werden

2. Die Produkte aus der NGSSqirrel Serie, leider sind die Scanner da nach Datenbanktyp einzeln als Module zu erwerben; Demoversion auf Anfrage.

3. ISR-sqlget, wenn Du firm in Perl bist. Exzellentes Werkzeug!
Unterstützt folgende Datenbanken:
- IBM DB2
- Microsoft SQL Server
- Oracle
- Postgres
- Mysql
- IBM Informix
- Sybase
- Hsqldb (www.hsqldb.org)
- Mimer (www.mimer.com)
- Pervasive (www.pervasive.com)
- Virtuoso (virtuoso.openlinksw.com)
- SQLite
- Interbase/Yaffil/Firebird (Borland)
- H2 (http://www.h2database.com)
- Mckoi (http://mckoi.com/database/)
- Ingres (http://www.ingres.com)
- MonetDB (http://www.monetdb.nl)
- MaxDB (www.mysql.com/products/maxdb/)
- ThinkSQL (http://www.thinksql.co.uk/)
- SQLBase (http://www.unify.com)

Mehr Infos auf der Spar-Manpage oder direkt bei Infobyte; ich habe Dir einen Direktlink zu einer Onlinedemo geschickt.

saludos
gnarff