L’équipe en charge du projet NMAP maintient en parallèle une liste des outils « sécurité » utilisés par les acteurs du domaine depuis une décade. Voila cinq ans que cette liste n’avait pas été mise à jour. C’est désormais chose faite ! La compilation d’environ trois mille réponses a permis d’établir ce nouveau listing.
un site plus dynamique
Pour la cosmétique, on notera une extension de 100 à 125 entrées, un environnement plus dynamique permettant de poster une revue, de réaliser des recherches, des tris et enfin la possibilité de soumettre des suggestions.
passons aux choses sérieuses
Pour le reste, les outils les plus célèbres se retrouvent en tête de classement (Wireshark, Metasploit, Nessus, Snort, Cain & Abel, Backtrack, …) sans surprise.
L’ensemble des outils permettant d’évaluer les vulnérabilités web représente désormais plus de 20% des entrées et met probablement bien en évidence la sensibilité de ce sujet à la fois en nombre d’attaques recensées ou en sensibilité des administrateurs.
Une nouvelle rubrique « fuzzer » fait son entrée. Les quatre outils la composant sont orientés vers le web et recoupent donc les pensées du paragraphe précédent. Un léger regret pour ma part de ne pas voir apparaître des outils existant autour du protocole SIP ou encore de frameworks généralistes de type Sulley.
On notera également l’apparition de sujets comme la sécurisation des environnements « Web/bases de données » avec des outils de test de type injection SQL (sqlninja ou sqlmap) ou encore un outil axé sur les attaques de type social engineering (Social engineering toolkit).
conclusion : allez-y !
Bref, je dirais que c’est un excellent refresh pour les acteurs du domaine sécurité ou une porte d’entrée très effective pour les nouveaux arrivants. Je vous laisse avec l’url ( http://sectools.org/) et vous encourage à parcourir cette liste.
Cedric
Membre actif de la communauté sécurité d'orange Business Services, je suis aujourd'hui en charge, au sein de l'équipe marketing « sécurité », de la bonne prise en compte de la sécurité dans nos offres traitant des communications sur IP, et cela du mode cloud à l'intégré classique. Un large périmètre pour rencontrer des problématiques complexes sur le plan technique comme sur le plan organisationnel. Bref, un océan de motivation pour toute personne qui marche au challenge et à l'envie d'apprendre.