OWASP ZAP
OWASP ZAP (abréviation de Zed Attack Proxy) est un scanner de sécurité d'application Web open source. Il est destiné à une utilisation aussi bien par des novices en matière de sécurité des applications que par des testeurs d'intrusion professionnels.
| Première version | [1] |
|---|---|
| Dernière version | 2.17.0 ()[2] |
| Dépôt | github.com/zaproxy/zaproxy |
| Écrit en | Java |
| Système d'exploitation | Linux, Microsoft Windows et macOS |
| Environnement | Machine virtuelle Java |
| Type | Outil de test logiciel (d) |
| Licence | Licence Apache 2.0 |
| Site web | www.zaproxy.org |
C’est l'un des projets OWASP (Open Web Application Security Project) les plus actifs[3]. Il a reçu le statut de Flagship[4].
Lorsqu'il est utilisé comme serveur proxy, ZAP permet à l'utilisateur de manipuler tout le trafic qui le traverse, y compris le trafic utilisant https.
Il peut également fonctionner en mode démon qui est ensuite contrôlé via une API REST.
ZAP a été ajouté au radar technologique ThoughtWorks le dans l'anneau d'essai[5].
Cet outil a été dérivé de Paros, un autre proxy de pentesting. Simon Bennetts, le chef de projet, a déclaré en 2014 que seulement 20 % du code source de ZAP provenait encore de Paros.
Caractéristiques
modifierZAP inclut les fonctionnalités suivantes : serveur proxy d'interception, robots d'exploration Web traditionnels et AJAX, analyseur automatisé, analyseur passif, navigation forcée, Fuzzer, prise en charge de WebSocket, langages de script et prise en charge de Plug-n-Hack. Son architecture repose sur des plugins et une « place de marché » en ligne qui permet d'ajouter des fonctionnalités nouvelles ou mises à jour. Son utilisation est réalisée à travers un panneau de contrôle (GUI)[6].
Récompenses
modifier- L'un des outils OWASP mentionnés dans le prix Bossie 2015 du meilleur logiciel de réseau et de sécurité open source[7]
- Deuxième place dans le classement 2014 des outils de sécurité aux termes du vote des lecteurs de ToolsWatch.org[8]
- Meilleur outil de sécurité dans le classement 2013 aux termes du vote des lecteurs de ToolsWatch.org[9]
- Outil d'outillage de l'année 2011 aux termes du vote des lecteurs de HolisticInfoSec[10]
Articles connexes
modifierRéférences
modifier- ↑ Simon Bennetts, « https://github.com/zaproxy/zaproxy/commit/544e8a59a432be2cd5807ad0f85e7f487224bce1 »,
- ↑ « Release 2.17.0 », (consulté le )
- ↑ (en) Black Duck, « Open Web Application Security Project (OWASP) », fiche sur l’organisation et les projets associés, sur Open Hub (consulté le )
- ↑ (en) OWASP, « Project Inventory », sur OWASP.org, (consulté le )
- ↑ (en) ThoughtWorks, « Technology Radar : Our thoughts on the technology and trends that are shaping the future » [PDF], sur ThoughtWorks.com, (consulté le )
- ↑ (en) Marcel Birkner, « Automated Security Testing Web Applications Using OWASP Zed Attack Proxy test » (blog), sur codecentric.de, (consulté le )
- ↑ (en) Matt Sarrel, InfoWorld Staff, « Bossie Awards 2015: The best open source networking and security software », sur Infoworld, (consulté le )
- ↑ (en) MaxiSoler, « 2014 Top Security Tools as Voted by ToolsWatch.org Readers », Toolswatch Hackers Arsenal, sur ToolsWatch.org, (consulté le )
- ↑ (en) NJ Ouchn, « 2013 Top Security Tools as Voted by ToolsWatch.org Readers », Toolswatch Hackers Arsenal, sur ToolsWatch.org, (consulté le )
- ↑ (en) Russ McRee, « 2011 Toolsmith Tool of the Year: OWASP ZAP » (blog), HolisticInfoSec, (consulté le )
