상위 9개 오픈 소스 보안 테스트 도구(2025)
올리버 존스
보안 테스트 도구는 다양한 위협과 취약성으로부터 웹 앱, 데이터베이스, 서버 및 컴퓨터를 보호합니다. 최고의 침투 테스트 도구에는 손쉬운 통합을 위한 API가 함께 제공되며 다양한 배포 옵션, 광범위한 프로그래밍 언어 지원, 세부 검색 기능, 자동 취약점 감지, 사전 모니터링 등을 제공합니다.
우리는 귀하를 위한 9가지 최고의 보안 테스트 도구 목록을 작성했습니다.
최고의 오픈 소스 보안 테스트 도구
| 성함 | 취약점이 감지되었습니다 | 배포 옵션 | 프로그래밍 언어 | (링크) |
|---|---|---|---|---|
| ManageEngine Vulnerability Manager Plus | 크로스 사이트 스크립팅, SSRF, XXE 주입, SQL 주입 등 | Windows, 맥OS, 리눅스 | Java, Python및 Java스크립트 | 상세보기 |
| Burp Suite | 크로스 사이트 스크립팅, SQL 주입, XML 외부 엔터티 주입 등 | 리눅스, macOS및 Windows | Java, Python, 그리고 루비 | 상세보기 |
| SonarQube | 크로스 사이트 스크립팅, 권한 획득 감지, 디렉터리 탐색 등 | 리눅스, macOS및 Windows | Java, 그물, Java스크립트, PHP 등 | 상세보기 |
| 제드 공격 프록시 | 보안 구성 오류, 인증 깨짐, 민감한 데이터 노출 등 | 리눅스, macOS및 Windows | Java스크립트, Python등 | 상세보기 |
| w3af | LDAP 인젝션, SQL 인젝션, XSS 인젝션 등 | 리눅스, macOS및 Windows | Python 만 | 상세보기 |
" 보안 테스트 도구는 취약점을 찾고, 안정성을 향상하고, 데이터 침해를 방지하고, 고객의 신뢰를 높이는 데 큰 도움이 될 수 있습니다. 귀하의 모든 요구 사항을 충족하고 기존 기술 스택과 통합되는 보안 도구를 선택하십시오. 이상적인 보안 테스트 서비스는 모든 앱, 서버, 데이터베이스 및 웹사이트를 테스트할 수 있어야 합니다. "
1) ManageEngine Vulnerability Manager Plus
기업 위협 및 취약성 관리에 최적
취약점 관리자 플러스 취약점을 즉각적으로 감지하고 해결하여 악용으로부터 기업 네트워크를 보호하는 통합 위협 및 취약점 관리 솔루션입니다.
Vulnerability Manager Plus는 보안 구성 관리, 자동화된 패치 모듈, 고위험 소프트웨어 감사, 웹 서버 강화 등과 같은 다양한 보안 기능을 제공하여 네트워크 엔드포인트가 침해되지 않도록 보호합니다.
특징:
- 여러 플랫폼, 타사 애플리케이션 및 네트워크 장치에 대한 위험 기반 취약성 평가를 통해 악용 가능하고 영향을 미치는 취약성을 평가하고 우선순위를 지정합니다.
- 패치를 자동으로 배포 Windows, macOS, 리눅스.
- 제로데이 취약점을 식별하고 수정 사항이 도착하기 전에 해결 방법을 구현합니다.
- 보안 구성 관리를 통해 잘못된 구성을 지속적으로 감지하고 해결합니다.
- 다양한 공격 변형이 없는 방식으로 웹 서버를 설정하기 위한 보안 권장 사항을 얻으세요.
- 단종된 소프트웨어, PXNUMXP, 안전하지 않은 원격 데스크톱 공유 소프트웨어 및 네트워크의 활성 포트를 감사합니다.
2) Burp Suite
기존 앱을 통합하는 데 가장 좋습니다
Burp Suite 빠른 스캔, 강력한 API, 보안 요구 사항을 관리하는 도구를 제공하는 최고의 보안 및 침투 테스트 도구 중 하나입니다. 다양한 규모의 비즈니스 요구 사항을 빠르게 충족하기 위한 여러 가지 플랜을 제공합니다. 델타 및 기타 많은 수정 사항을 사용하여 보안 포스처의 진화를 쉽게 시각화하는 기능을 제공합니다.
60,000명 이상의 보안 전문가가 취약점 탐지, 무차별 대입 공격 방어 등을 위해 이 보안 테스트 도구를 신뢰합니다. GraphQL API를 사용하면 완벽한 유연성으로 스캔을 시작, 예약, 취소, 업데이트하고 정확한 데이터를 수신할 수 있습니다. 동시 보안 검색 빈도를 자동으로 조정하기 위해 다양한 매개변수를 적극적으로 확인합니다.
특징:
- 자동화된 OAST(대역외 애플리케이션 보안 테스트)는 많은 취약점을 탐지하는 데 도움이 됩니다.
- Jenkins와 같은 플랫폼과 통합할 수 있으며 TeamCity 대시보드의 모든 취약점을 시각적으로 표시합니다.
- 다중 사용자 시스템을 생성하고 사용자에게 다양한 기능, 액세스 및 권한을 제공하는 도구를 제공합니다.
- 수동으로 생성된 통합 Burp Suite 완전 자동화된 기업 환경에 Pro 설정 제공
- 취약점 탐지: 크로스 사이트 스크립팅, SQL 주입, XML 외부 엔터티 주입 등
- API : 가능
- 자동 스캔: 가능
장점
단점
주요 사양 :
지원되는 프로그래밍 언어: Java, Python, 그리고 루비
배포 옵션: 리눅스, macOS및 Windows
오픈 소스 : 가능
링크 : https://portswigger.net/burp/communitydownload
3) SonarQube
여러 프로그래밍 언어에 적합
SonarQube 모든 파일을 평가하여 모든 코드가 깨끗하고 잘 유지 관리되는지 확인하는 고급 보안 테스트 기능을 갖춘 오픈 소스 보안 도구입니다. 강력한 품질 검사 기능을 사용하여 확인되지 않은 버그, 성능 병목 현상, 보안 위협 및 사용자 경험 불일치를 포착하고 수정할 수 있습니다.
Issue Visualizer는 여러 방법과 파일에서 문제를 추적하고 더 빠른 문제 해결을 지원합니다. 25개 이상의 인기 프로그래밍 언어를 완벽하게 지원합니다. 엔터프라이즈 및 데이터 서버 수준 보안 테스트를 위한 3가지 비공개 소스 유료 플랜이 있습니다.
특징:
- 배포 도구를 통해 백그라운드에서 지속적으로 작업하여 오류를 식별합니다.
- 애플리케이션이 충돌하거나 메모리가 부족할 때 메모리 누수와 같은 중요한 문제를 표시합니다.
- 프로그래머의 기술 향상에 도움이 되는 코드 품질에 대한 피드백을 제공합니다.
- 한 코드 파일에서 다른 코드 파일로의 문제를 확인하는 접근성 도구
- 취약점 탐지: 크로스 사이트 스크립팅, 권한 획득, 디렉터리 탐색 등
- API : 가능
- 자동 스캔: 가능
장점
단점
주요 사양 :
지원되는 프로그래밍 언어: Java, 그물, Java스크립트, PHP 등
배포 옵션: 리눅스, macOS및 Windows
오픈 소스 : 가능
링크 : https://www.sonarqube.org/
4) 제드 공격 프록시
웹 애플리케이션의 취약점을 찾는 데 가장 좋습니다
Open Web Application Security Project(OWASP)에서 개발한 ZAP 또는 Zed Attack Proxy 침투 테스트 도구입니다. 웹 애플리케이션의 취약점을 쉽게 발견하고 해결할 수 있습니다. 이를 사용하여 대부분의 상위 10개 OWASP 취약점을 손쉽게 찾을 수 있습니다. API와 Daemon 모드를 사용하여 완전한 개발 제어를 얻을 수 있습니다.
ZAP는 클라이언트의 웹 브라우저와 서버 간의 이상적인 프록시입니다. 이 도구를 사용하면 모든 통신을 모니터링하고 악의적인 시도를 차단할 수 있습니다. 기술 스택과 쉽게 통합하는 데 사용할 수 있는 REST 기반 API를 제공합니다.
특징:
- ZAP는 웹 검사를 통해 모든 요청과 응답을 기록하고 발견된 문제에 대해 경고를 제공합니다.
- Jenkins 플러그인의 도움으로 보안 테스트를 CI/CD 파이프라인에 통합할 수 있습니다.
- Fuzzer는 다음을 주입하는 데 도움이 됩니다. Java앱의 취약점을 노출하는 스크립트 페이로드
- 사용자 정의 스크립트 추가 기능을 사용하면 ZAP에 삽입된 스크립트를 실행하여 내부 데이터 구조에 액세스할 수 있습니다.
- 취약점 탐지: 보안 구성 오류, 인증 깨짐, 민감한 데이터 노출 등
- API : 가능
- 자동 스캔: 가능
장점
단점
주요 사양 :
지원되는 프로그래밍 언어: NodeJS, Java스크립트, Python등
배포 옵션: 리눅스, macOS및 Windows.
오픈 소스 : 가능
링크 : https://github.com/zaproxy/zaproxy
5) w3af
데이터가 풍부한 보안 보고서 생성에 최적
w3af는 웹 앱의 취약점을 식별하고 해결하는 데 이상적인 오픈소스 보안 테스트 도구입니다. 이 도구를 사용하면 웹사이트의 취약점 200개 이상을 손쉽게 탐지할 수 있습니다. 사용하기 쉬운 GUI, 강력한 온라인 지식 기반, 참여도가 높은 온라인 커뮤니티, 초보자와 숙련된 전문가를 지원하는 블로그를 제공합니다.
이를 사용하여 보안 테스트를 수행하고 데이터가 풍부한 보안 보고서를 생성할 수 있습니다. SQL 주입 시도, 코드 주입 및 무차별 대입 공격을 포함한 다양한 공격으로부터 방어하는 데 도움이 됩니다. 플러그인 기반 아키텍처를 사용하여 필요에 따라 기능/기능을 추가/제거할 수 있습니다.
특징:
- XSS, SQLI, CSF 등 다양한 취약점을 테스트하기 위한 솔루션을 제공합니다.
- Sed 플러그인은 다양한 정규식을 사용하여 요청과 응답을 수정하는 데 도움이 됩니다.
- GUI 기반 전문가 도구는 사용자 정의 HTTP 요청을 손쉽게 작성하고 전송하는 데 도움이 됩니다.
- 퍼지 및 수동 요청 Generator 기능은 수동 웹 애플리케이션 테스트와 관련된 문제를 제거합니다.
- 취약점 탐지: LDAP 주입, SQL 주입, XSS 주입
- API : 아니
- 자동 스캔: 아니
장점
단점
주요 사양 :
지원되는 프로그래밍 언어: Python 만
배포 옵션: 리눅스, macOS및 Windows
오픈 소스 : 가능
링크 : https://github.com/andresriancho/w3af/
6) 와피 티
최고의 오픈소스 취약점 탐지기
Wapiti는 모든 기술 스택에서 작동하는 최고 수준의 취약성 탐지 프로그램입니다. 서버에서 잠재적으로 위험한 파일을 자동으로 식별하고 복구하는 데 사용할 수 있어 보안 위협에 대한 강력한 방어선이 됩니다. 서버에서 무차별 대입 공격을 탐지하고 보호하는 데 이상적인 도구입니다. 또한 이 도구는 설정을 지원하고 전문가 조언을 제공하는 활발한 보안 전문가 커뮤니티를 자랑합니다.
.htaccess 파일에 발생할 수 있는 문제, 위험한 데이터베이스 등과 같은 수많은 서버 수준 취약점을 이 도구를 사용하여 발견할 수 있습니다. 또한 이 명령줄 프로그램은 웹 사이트에 테스트 페이로드를 삽입할 수 있습니다.
특징:
- HTML, XML, JSON, TXT 등의 데이터 기반 취약성 보고서를 생성합니다.
- Basic, Digest, NTLM 또는 GET/POST 방법을 사용하여 로그인 양식을 인증합니다.
- 활성 보안 검사를 일시 중지하고 나중에 다시 시작할 수 있습니다.
- 웹사이트를 크롤링하고 적절한 보안 테스트를 위해 "블랙박스" 스캔을 수행합니다.
- 취약점 탐지: Shellshock 또는 Bash 버그, SSRF, XXE 주입 등
- API : 아니
- 자동 스캔: 아니
장점
단점
주요 사양 :
지원되는 프로그래밍 언어: Python 만
배포 옵션: FreeBSD 및 Linux
오픈 소스 : 가능
링크 : https://wapiti-scanner.github.io/
7) 스 니크
코드 보호를 위한 최고의 보안 플랫폼
Snyk는 배포 전에도 코드 취약점을 탐지하는 데 이상적인 도구입니다. IDE, 보고서 및 워크플로에 통합될 수 있습니다. Sync 코드가 작성될 때 보안 취약성을 발견하기 위해 논리 프로그래밍 원칙을 사용합니다. 또한 자체 학습 리소스를 활용하여 애플리케이션 보안 테스트를 개선할 수도 있습니다.
Snyk의 내장 인텔리전스는 다양한 서버 전체 매개변수를 기반으로 검색 빈도를 동적으로 조정합니다. Jira에 대한 통합이 사전 구축되어 있습니다. Microsoft 비주얼 스튜디오, GitHub, CircleCI등. 이 도구는 다양한 비즈니스 규모의 고유한 요구 사항을 충족할 수 있는 다양한 가격 계획을 제공합니다.
특징:
- 대량 코드 테스트를 통해 패턴을 발견하고 잠재적인 취약점을 식별할 수 있습니다.
- 배포된 프로젝트와 코드를 자동으로 추적하고 새로운 취약점이 감지되면 알림을 보냅니다.
- 사용자에게 보안 자동화 기능을 변경할 수 있는 기능을 제공합니다.
- 전이적 취약점 분류를 개선하기 위한 직접적인 종속성 수정 제안
- 취약점 탐지: 크로스 사이트 스크립팅, SQL 주입, XML 외부 엔터티 주입 등
- API : 가능
- 자동 스캔: 가능
장점
단점
주요 사양 :
지원되는 프로그래밍 언어: Java스크립트, .NET, Python, 루비 등
배포 옵션: Ubuntu, CentOS 및 데비안
오픈 소스 : 가능
링크 : https://snyk.io/
8) 베가
서버-클라이언트 통신 모니터링에 최적
Vega는 다양한 플랫폼에서의 보안 테스트를 위한 강력한 오픈 소스 도구입니다. 이는 귀중한 경고를 제공하여 취약점과 잠재적인 위협을 식별하는 데 도움이 됩니다. 이를 프록시로 사용하여 서버와 브라우저 간의 통신을 제어할 수 있습니다. SQL 주입, 무차별 대입 공격 등 다양한 보안 위험으로부터 서버를 보호합니다.
고급 API를 사용하여 강력한 공격 모듈을 구축하고 필요에 따라 보안 테스트를 수행할 수 있습니다. 그것은 최고 중 하나입니다 소프트웨어 테스트 도구 웹 사이트에 자동으로 로그인하여 모든 제한 영역의 취약점을 확인합니다.
특징:
- SSL 차단을 수행하고 모든 클라이언트-서버 통신을 분석합니다.
- 정기적인 테스트를 위한 자동 스캐너가 포함된 전술적 검사 도구를 제공합니다.
- 사용자 자격 증명이 제공되면 자동으로 웹사이트에 로그인합니다.
- 프록시 기능을 사용하면 브라우저에서 웹 애플리케이션 서버로의 요청을 차단할 수 있습니다.
- 취약점 탐지: 블라인드 SQL 인젝션, 헤더 인젝션, 쉘 인젝션 등
- API : 가능
- 자동 스캔: 가능
장점
단점
주요 사양 :
지원되는 프로그래밍 언어: Java, Python, HTML 등
배포 옵션: 리눅스, macOS및 Windows
오픈 소스 : 가능
링크 : https://subgraph.com/vega/
9) SQL맵
SQL 취약점을 탐지하는 데 가장 좋습니다
SQLMap은 데이터베이스 보안을 전문으로 하는 보안 도구입니다. 데이터베이스에서 주입 결함, 취약성, 약점 및 잠재적인 데이터 침해 위협을 스캔하는 데 사용할 수 있습니다. 고급 탐지 엔진은 적절한 침투 테스트를 효율적으로 수행합니다. 심층 스캔은 중요한 서버 구성 오류 및 시스템 약점을 식별하는 데 도움이 됩니다. SQL 주입 결함, 민감한 데이터 결함 등을 확인하는 데 사용할 수 있습니다.
해시를 사용하여 비밀번호를 자동으로 인식하고 비밀번호를 해독하기 위한 사전 공격 조정을 지원합니다. 다음과 같은 다양한 데이터베이스 관리 시스템을 보호할 수 있습니다. MySQL, Oracle, PostgreSQL, IBM DB2 등
특징:
- 스택 쿼리, 시간 기반, 오류 기반 SQL 쿼리 등을 활용하여 주기적으로 취약점을 검색합니다.
- 현재 데이터베이스 정보, 세션 사용자, DBMS 배너를 자동으로 가져옵니다.
- 테스터는 여러 공격을 쉽게 시뮬레이션하여 시스템 안정성을 확인하고 서버 취약성을 발견할 수 있습니다.
- 지원되는 공격에는 사용자 열거, 비밀번호 해시 및 무차별 대입 테이블이 포함됩니다.
- 취약점 탐지: 크로스 사이트 스크립팅, SQL 인젝션, XML 외부 엔터티 삽입 등
- API : 아니
- 자동 스캔: 가능
장점
단점
주요 사양 :
프로그래밍 언어들: Python, 쉘, HTML, Perl, SQL 등
배포 옵션: 리눅스, macOS및 Windows
오픈 소스 : 가능
링크 : https://sqlmap.org/
10) Kali Linux
주입 및 비밀번호 스니핑에 가장 적합
Kali Linux 부하 테스트, 윤리적 해킹, 알려지지 않은 취약점 발견을 위한 이상적인 보안 침투 테스트 도구입니다. 활발한 온라인 커뮤니티는 귀하의 모든 문제와 문의 사항을 해결하는 데 도움을 드릴 수 있습니다. 이를 사용하여 스니핑, 디지털 포렌식, WLAN/LAN 취약성 평가를 수행할 수 있습니다. 그만큼 Kali NetHunter 모바일 침투 테스트 소프트웨어입니다. Android 스마트 폰
언더커버 모드는 너무 많은 관심을 받지 않고 조용히 실행됩니다. VM, 클라우드, USB 등에 배포할 수 있습니다. 고급 메타패키지를 사용하면 사용 사례에 맞게 최적화하고 서버를 미세 조정할 수 있습니다.
특징:
- 초보자와 베테랑을 위한 관련 정보가 포함된 심층 문서
- 웹 애플리케이션에 대한 다양한 침투 테스트 기능을 제공하고, 공격을 시뮬레이션하고, 취약점 분석을 수행합니다.
- Live USB 부팅 드라이브는 호스트 운영 체제를 방해하지 않고 테스트에 사용할 수 있습니다.
- 취약점 탐지: 무차별 대입 공격, 네트워크 취약점, 코드 삽입 등
- API : 아니
- 자동 스캔: 가능
장점
단점
주요 사양 :
지원되는 프로그래밍 언어: C와 ASM
배포 옵션: 리눅스, Windows및 Android
오픈 소스 : 가능
자주 묻는 질문
최고의 오픈소스 보안 테스트 도구
| 성함 | 취약점이 감지되었습니다 | 배포 옵션 | 프로그래밍 언어 | (링크) |
|---|---|---|---|---|
| ManageEngine Vulnerability Manager Plus | 크로스 사이트 스크립팅, SSRF, XXE 주입, SQL 주입 등 | Windows, 맥OS, 리눅스 | Java, Python및 Java스크립트 | 상세보기 |
| Burp Suite | 크로스 사이트 스크립팅, SQL 주입, XML 외부 엔터티 주입 등 | 리눅스, macOS및 Windows | Java, Python, 그리고 루비 | 상세보기 |
| SonarQube | 크로스 사이트 스크립팅, 권한 획득 감지, 디렉터리 탐색 등 | 리눅스, macOS및 Windows | Java, 그물, Java스크립트, PHP 등 | 상세보기 |
| 제드 공격 프록시 | 보안 구성 오류, 인증 깨짐, 민감한 데이터 노출 등 | 리눅스, macOS및 Windows | Java스크립트, Python등 | 상세보기 |
| w3af | LDAP 인젝션, SQL 인젝션, XSS 인젝션 등 | 리눅스, macOS및 Windows | Python 만 | 상세보기 |