Revue Nikto et alternatives

Personneest un gratuitligne de commandescanner de vulnérabilité. Ce type de logiciel recherche la présence de failles connues pour être utilisées par les pirates informatiques qui souhaitent se faufiler dans un système ou y envoyer des logiciels malveillants.

Un grand avantage descanners de vulnérabilitésest qu'ils effectuent automatiquement une série de contrôles sans qu'il soit nécessaire de prendre des notes ou de prendre une décision par un opérateur humain. Cela signifie que l’utilisateur n’a pas besoin de connaissances en cybersécurité pour utiliser l’outil et peut obtenir une évaluation complète du système sans payer pour un service de conseil coûteux. Ainsi, les scanners de vulnérabilités font gagner du temps et de l’argent aux entreprises. De plus, Nikto estutilisation gratuite, ce qui est encore mieux.

L'histoire de Nikto

Nikto a été lancé pour la première fois en décembre 2001. Le système a été créé parChris Sullo, consultant en sécurité et testeur d'intrusion. Le projet est resté open source et soutenu par la communauté tandis que Sullo poursuivait sa carrière.

Projets open sourceont des coûts inférieurs à ceux du développement de logiciels commerciaux, car l’organisation n’a pas à payer pour les développeurs. Dans le cas de Nikto, l'ensemble du package de base a été écrit par une seule personne puis amélioré par d'autres passionnés.

L'une des sources de revenus du projet réside dans ses fichiers de données, qui fournissent la liste des exploits à rechercher. Malheureusement, le paquet de règles d'exploitation estpas libre. Cela met le projet dans une position difficile. D’une part, sa promesse de logiciel libre est séduisante. D’un autre côté, le coût caché supplémentaire est rebutant et obligerait les utilisateurs potentiels à reconsidérer leur décision.

La perspective de payer pour utiliser le système le met en concurrence avec les systèmes développés commercialement.gestionnaires de vulnérabilités, qui disposent de budgets plus importants pour financer le développement. Nikto a connu des difficultés financières jusqu'en février 2014, date à laquelle Invicti (anciennement Netsparker) est devenu partenaire du projet, apportant financement et expertise organisationnelle.Invinciblesponsorise Nikto à ce jour.

Invincibleproduit un scanner de vulnérabilités qui peut également être utilisé commetests de développementemballer.

Personne n'utilise

Nikto est actuellement facturé commeNikto2. L'outil a maintenant 20 ans et a atteintversion 2.5. Il s'agit d'un scanner de serveur Web qui recherche les vulnérabilités des applications Web. Le paquet contient environ6 700 vulnérabilitésdans sa base de données.

Les routines dans Nikto2 recherchentlogiciel obsolètecontribuer à la livraison des applications Web et vérifier les performances du serveur Webconfiguration. Le système peut analyser les ports des serveurs Web et analyser plusieurs serveurs en une seule session. Le scanner tente une série d'attaques et recherche des exploits. Par exemple, il sondera les informations d'identification, en utilisant un dictionnaire de noms d'utilisateur et de mots de passe bien connus que les pirates savent essayer.

La séquence de tests comprend également unattaque anti-IDScela vous aidera à vérifier les capacités de votre système de détection d'intrusion si vous en avez un installé.

Le résultat de chaque analyse sera résumé à l'écran et il est également possible de demander un rapport rédigé dans un fichier au format texte brut, XML, HTML, NBE ou CSV. Les rapports peuvent être personnalisés en appliquant un modèle pré-écrit, ou il est possible de rédiger le vôtremodèle de formatage. Il est également possible de demander des journaux détaillés pour des tests individuels.

Chaque exécution d'analyse peut être personnalisée en spécifiant des classes d'attributs àexcluredu plan de test.

L'analyse peut prendre un certain temps et vous vous demandez peut-être si elle se bloque. Malheureusement, l'outil ne dispose d'aucun graphique montrant qu'il fonctionne toujours, comme une barre de progression, en tant que service de ligne de commande. Cependant, le système comprend unprocédure d'interruptionque vous pouvez mettre en œuvre en appuyant sur la barre d'espace. Cela incite Nikto2 à donner unrapport d'étapepour estimer le temps restant pour l'analyse.

Options de déploiement Nikto

Nikto2 fonctionne commeun proxy. Celui-ci intercepte le trafic entre votre serveur Web et le programme qui lance tous les tests. Un processus distinct capture le trafic et enregistre les résultats. Ce scénario est largement utilisé dans les outils de test d'intrusion - par exemple, les deuxMétasploitetSuite Rotsutilisez le modèle proxy. Vous devez héberger les deux éléments sur votre site et ils peuvent tous deux être exécutés sur le même hôte.

Le logiciel est écrit pour fonctionner surLinuxet autreDe type Unixsystèmes d'exploitation. L'outil est intégré à Kali Linux. Il s'agit d'un projet open source et vous pouvez obtenir le code source à partir de son Dépôt GitHub et modifiez-le si vous souhaitez créer votre version personnalisée.

Forces et faiblesses de Nikto

Commeun outil gratuitavec un développeur actif, la progression des mises à jour logicielles est lente. Malgré le parrainage d’Invicti (anciennement Netsparker), le projet ne semble pas avoir amélioré sa stratégie de développement. Par exemple, le site explique que le mécanisme de gestion des versions estmanuelet, bien qu’il existe un projet prévu pour automatiser cela, Chris Sullo n’y est pas encore parvenu. Cela explique que Sullo est quasiment le seul développeur impliqué dans le projet. Il est également le seul technicien d'assistance.

Il n'y a pas de forum de discussion ni de fonction d'échange de données pour les utilisateurs, donc le package n'a pas le 'soutien communautaire» proposés par de nombreux autres projets open source.

Avantages:

• Un programme de base gratuit
• Vérifications approfondies du nombre d'exploits dans la correspondance d'analyse standard recherchée par les gestionnaires de vulnérabilités payants
• Vérifications externes pour les applications Web
• Inclus dans Kali Linux

Les inconvénients:

• Pas d'interface graphique
• Aucune équipe de développement et de support
• Pas de forum communautaire
• Ne fonctionnera pas sans une liste de vulnérabilités payante

Alternatives à Nikto

Nikto est une tentative courageuse de créerun scanner de vulnérabilités gratuit. Cependant, le manque de dynamisme du projet et le petit nombre de personnes impliquées dans la gestion et la maintenance du système font que si vous choisissez cet outil, vous vous retrouvez pratiquement seul.

Notre méthodologie pour sélectionner une alternative à Nikto

Nous avons examiné le marché des gestionnaires de vulnérabilités comme Nikto et évalué les options en fonction des critères suivants :

• Un package d’installation pour une installation automatisée
• Une interface graphique pour une utilisation facile
• Options d'analyse des vulnérabilités à la demande ou planifiée
• Un système que des règles personnalisables peuvent adapter
• Un système bien entretenu avec des correctifs pour mettre à jour les règles de détection et les fonctionnalités
• Un outil gratuit ou un mécanisme d’évaluation des outils payants
• Un système payant qui offre un bon rapport qualité-prix ou un outil gratuit qui fonctionne

Nous avons dressé une liste d'excellentsgestionnaires de vulnérabilitésqui offrent de bonnes alternatives à Nikto en gardant ces critères de sélection à l'esprit. En gardant à l’esprit que le public de ce guide gère les systèmes d’entreprise, nous avons également donné la priorité aux services fournis avec un package de support professionnel ou donnant accès à une communauté d’utilisateurs étendue et active pour obtenir des conseils.

Voici notre liste des six meilleures alternatives à Nikto :

1. Invincible (ACCÈS DÉMO GRATUIT) C'est legestionnaire de vulnérabilitésproposé par le sponsor principal de Nikto, et il présente également la meilleure alternative à cet outil open source. Bien qu’Invicti ne soit pas gratuit, il en vaut la peine. Le système peut être déployé dans plusieurs options qui fournissent des analyses de vulnérabilité à la demande, des analyses planifiées ou une analyse continue, qui fournit des tests intégrés pour les pipelines CI/CD. Ce service recherche les exploits et examine le code pour rechercher les erreurs logiques et les points d'entrée potentiels pour les attaques zero-day. Il s'agit d'un outil sophistiqué et facile à utiliser, pris en charge par des techniciens disponibles 24 heures sur 24. Ce gestionnaire de vulnérabilités d'applications Web est proposé sous forme une plateforme SaaS ou un progiciel sur site pour les fenêtres et Serveur Windows . Accédez à un système de démonstration gratuit pour évaluer les invaincus
2. Acunetix (ACCÈS DÉMO GRATUIT) Ce gestionnaire de vulnérabilités est un meilleur pari que Nikto car il offre des options pour analyse du réseau interne et gestion des vulnérabilités des applications Web.t Ce système recherche plus de 7 000 vulnérabilités externes et plus de 50 000 exploits réseau. Les analyses effectuées par ce système sont rapides malgré le grand nombre de contrôles qu'il effectue. Acunetix est proposé en trois éditions qui proposent des tests à la demande, programmés et continus. L'outil peut être utilisé pour les tests de développement d'applications Web ainsi que pour l'analyse des vulnérabilités. Ce système est disponible sous forme de SaaS plate-forme ou pour installation sur les fenêtres , macOS , ou Linux . Accéder un système de démonstration pour évaluer Acunetix.
3. Syxsense sécurisé Il s'agit d'un système basé sur le cloud gestionnaire de vulnérabilités qui comprend une gamme de services de sécurité supplémentaires ainsi que des outils de gestion du système. Le service de vérification des vulnérabilités se compose d'un scanner de ports et l'ensemble intègre un gestionnaire de correctifs qui sera automatiquement déclenché par le scanner de vulnérabilités. Une autre fonctionnalité de ce service est un module de détection et de réponse (EDR) des points de terminaison qui parcourt chaque point de terminaison à la recherche de logiciels malveillants et identifie les intrusions et les menaces internes. L'EDR fonctionne simultanément comme agent pour le scanner de vulnérabilités et le gestionnaire de correctifs, et il est disponible pour les fenêtres , macOS , et Linux . Le scanner peut être exécuté à la demande ou configuré pour se répéter selon un horaire à une fréquence de votre choix. Le système peut également être configuré pour fonctionner de manière incrémentielle et se lancer automatiquement chaque fois que des mises à jour de renseignements sur les menaces arrivent. LeCompte SaaScomprend également un espace de stockage pour les installateurs de correctifs et les fichiers journaux. Syxsense Secure est disponible pour un essai gratuit de 14 jours .
4. SecPod SanerMaintenant Cette plateforme SaaS de services de sécurité et de gestion de systèmes comprend un gestionnaire de vulnérabilités , un gestionnaire de correctifs , et un panneau de configuration . Le système fournit également sur l'appareil détection et réponse des points finaux logiciel qui peut être coordonné à partir de la plateforme cloud. Toutes les fonctions de sécurité et de gestion du package SanerNow peuvent être liées pour fournir une détection et une correction complètes des failles de sécurité. L'outil peut être configuré pour fonctionner en continu et automatiquement pour garantir le renforcement du système et fournir une protection préventive. La combinaison de gestion des actifs et des logiciels dans cette offre fonctionne également bien pour les opérations quotidiennes, telles que le provisionnement et l'intégration. Il peut être utilisé pour créer de nouveaux utilisateurs et configurer automatiquement de nouveaux appareils en appliquant un profil. Toutes les fonctions de surveillance et de gestion du pack SanerNow incluent des actions et des détections approfondies. enregistrement service qui fournit une piste d’audit appropriée pour les rapports de conformité. Offres SecPod un essai gratuit de SanerNow.
5. Gestionnaire de vulnérabilités ManageEngine Plus Ce package contient des modules qui peuvent résoudre les problèmes identifiés par le scanner de vulnérabilités du bundle. Comme ces services sont proposés sous forme de collection, la résolution peut être déclenchée automatiquement par la découverte de faiblesses par le scanner. Ces services de réparation comprennent un gestionnaire de correctifs et un gestionnaire de configuration . Le scanner de vulnérabilités s'exécute selon un calendrier, le cycle de lancement par défaut étant toutes les 90 minutes – cette fréquence peut être modifiée. La base de données d'exploits est automatiquement mise à jour chaque fois qu'une nouvelle stratégie d'attaque de pirate informatique est découverte. Le logiciel s'installe sur Serveur Windows, et les agents analysent les appareils exécutés les fenêtres , macOS , et Linux . ManageEngine propose Vulnerability Manager Plus avec un essai gratuit de 30 jours, et il existe également un Édition gratuite , qui analyse jusqu'à 25 appareils.
6. Rapid7 InsightVM Ce scanner de vulnérabilités fait partie de une plateforme cloud qui inclut tous les derniers outils de sécurité système de Rapid7. Il est possible d'en souscrire à plusieurs et de bénéficier de l'ensemble de la collecte de données sur site réalisée par les mêmes agents. Le scanner peut fonctionner à l'intérieur d'un réseau , sur les points de terminaison et les services cloud. Il fournit des analyses internes et externes. De plus, InsightVM comprend un l'évaluation des risques service qui fournit un service de notification des risques aux tiers et est constamment mis à jour. InsightVM est disponible pour un essai gratuit de 30 jours .

FAQ Nikto

Nikto est-il un bon outil ?

Nikto est un bon outil mais il manque quelques éléments, ce qui pourrait vous inciter à rechercher un scanner de vulnérabilité alternatif. L’absence la plus importante du système Niktop est une liste de vulnérabilités à rechercher – vous devez vous procurer cette information ailleurs.

Nikto peut-il être détecté ?

Nikto est facile à détecter – il n’est pas du tout furtif. Si un pirate informatique souhaite utiliser Nikto pour identifier les failles de sécurité d'un système, cette sonde sera immédiatement repérée par tout système de détection d'intrusion.

Pourquoi Nikto est-il utilisé ?

Nikto est utile pour le renforcement du système. Vous devez rechercher les logiciels obsolètes et les mettre à jour ou les supprimer, ainsi qu'analyser les cookies installés sur votre système. Nikto effectue ces tâches.