Вроде бы инструментов для сканирования сайтов и веб-приложений сейчас много – от классики вроде OpenVAS и Nikto до более новых типа OWASP ZAP и Burp Suite. Но у всех свои заморочки: где-то мало автоматизации, где-то ложных срабатываний навалом, где-то интерфейс убивает все желание.

Пробовал совмещать несколько – например, сначала быстро пробегаюсь ZAP, потом уже углубляюсь в Burp, если что-то зацепило. Иногда подкручиваю настройки сканера, чтобы не вылезало тонны шумных предупреждений, которые потом не разобрать. А вот OpenVAS у себя в локальной среде поставил, чтобы комплексно порыться глубже, но он довольно тяжеловесен, не всегда быстро.

Особенно интересно, кто как с автоматикой работает? Какие профили настройте для минимизации фальшивых срабатываний? Или лучше настраивать по шагам вручную? Для сайтов с постоянным обновлением контента и CMS – желательно что-то умеющее обновлять базу уязвимостей и подстраиваться под плагины.

Пока что для меня сбалансированный вариант – это OWASP ZAP в связке с ручной проверкой особо важных маршрутов и нестандартных точек. Ну и обязательный аудит конфигов сервера. Если кто что еще интересного юзает, делитесь.