Gesucht, aber nichts gefunden

Prüf-Software – N-Stalkers Scanner tritt an, Web-Applikationen sicherer zu machen. Im Test scheiterte das Produkt aber schon an der Entdeckung einfacher Sicherheitslücken in Web-Applikationen.

Dieser Test stellte den N-Stalkers Web-Application-Security- Scanner-2006- Enterprise-Edition vor eine mächtige Hürde: Er sollte nicht nur noch unbekannte Lücken in frisch entwickelter Software entdecken. Der Test konzentrierte sich darüber hinaus auf die Überprüfung von Ajax-Applikationen. Trotz riesiger eingebauter Datenbank der Schwachstellen bekannter Web-Server und Web-Applikationen hatte das Produkt arg zu kämpfen.

Der Scanner fand eine ganze Reihe von Sicherheitslücken nicht, die vergleichbare Produkte durchaus entdecken. Auch verfing sich die Engine auf einer Site, die rekursive Links generierte, zu leicht in unbeabsichtigte Scanning-Schleifen. Ohne erkennen zu können, dass nachfolgende URLs wiederholt identische Variablen enthielten, war das Produkt zum Scheitern verurteilt.

Auch unter dem Gesichtspunkt der Nutzbarkeit glänzte N-Stalker nicht. Er enthält keinerlei automatische Login-Entdeckung, und selbst der manuelle Prozess ist mühsam. Der Administrator benötigt mindestens doppelt so viele Mausklicks und Tastatureingaben wie bei vergleichbaren Produkten. Es zeigten sich zahlreiche andere Schwachpunkte und regelrechte Bugs: Mehrere Applikationsfenster erschienen gelegentlich nicht in der Windows-Taskleiste. Schaltflächen verweigerten schweigend die Arbeit. Nicht in der Größe veränderbare Fenster verdeckten notwendige Daten. Diese Liste ließe sich fortsetzen. N-Stalker sagte, mit dem im Oktober erscheinenden 2007-Release seien einige dieser Probleme beseitigt.

Aber es gab auch ein paar Momente, in denen das Produkt glänzte. N-Stalker enthält eine große interne Datenbank mit Angriffs-Signaturen für Standardapplikationen. Primär zum Durchsuchen von Web-Servern nach bekannten Sicherheitslücken eingesetzt, kann das Produkt durchaus überzeugen. Die Berichtsschnittstelle ist flexibel genug und die Berichte attraktiv. Wünschenswert wäre jedoch XML-Output.

1. Gesucht, aber nichts gefunden
2. Gesucht, aber nichts gefunden (Fortsetzung)