Evaluación comparativa de herramientas de análisis de vulnerabilidades para escenarios de gestión de superficie de ataque
Barra lateral del artículo
Contenido principal del artículo
Resumen
La identificación automatizada de vulnerabilidades requiere herramientas capaces de atender conjuntos amplios de objetivos sin comprometer el desempeño operativo. Con el propósito de determinar una alternativa adecuada para este escenario, se compararon cuatro herramientas de análisis de vulnerabilidades, considerando su capacidad de detección, tiempo de ejecución, automatización, escalabilidad y capacidad de integración. La evaluación se realizó mediante pruebas de tipo caja negra sobre objetivos de prueba, bajo condiciones homogéneas de análisis. Posteriormente, se realizaron pruebas de análisis masivo sobre un conjunto de servicios y aplicaciones vulnerables desplegados en un entorno controlado de laboratorio. Para ello, se utilizó la herramienta que presentó la mayor adecuación a los criterios establecidos y se implementó una arquitectura para procesar y visualizar los hallazgos de manera centralizada. El esquema incorporó mecanismos automatizados para validar los objetivos antes del análisis y generar alertas a partir de los hallazgos obtenidos. El desempeño durante las pruebas de análisis masivo se evaluó mediante indicadores relacionados con tiempo de ejecución y uso de recursos. Los resultados mostraron diferencias entre las herramientas evaluadas de acuerdo con su orientación y capacidades de análisis. Las herramientas enfocadas en infraestructura proporcionaron mayor visibilidad sobre servicios y configuraciones, mientras que las orientadas a aplicaciones web identificaron vulnerabilidades específicas de estos entornos. La herramienta seleccionada permitió analizar 861 hosts virtuales del entorno de pruebas en aproximadamente 24 horas, con un consumo máximo de 2.5 GB de memoria y un uso promedio de CPU de 66%. Se concluyó que la arquitectura implementada presentó viabilidad técnica para apoyar el análisis masivo y el seguimiento de vulnerabilidades sobre conjuntos amplios de objetivos.
Descargas
Detalles del artículo
Esta obra está bajo una licencia internacional Creative Commons Atribución-NoComercial-SinDerivadas 4.0.
Este trabajo tiene la licencia CC BY-NC-ND 4.0
Citas
Abdulghaffar, K., Elmrabit, N., y Yousefi, M. (2023). Enhancing web application security through automated penetration testing with multiple vulnerability scanners. Computers, 12(11), 235. https://doi.org/10.3390/computers12110235 DOI: https://doi.org/10.3390/computers12110235
Albahar, M., Alansari, D., y Jurcut, A. (2022). An empirical comparison of pen-testing tools for detecting web app vulnerabilities. Electronics, 11(19), 2991. https://doi.org/10.3390/electronics11192991 DOI: https://doi.org/10.3390/electronics11192991
Altulaihan, E. A., Alismail, A., y Frikha, M. (2023). A survey on web application penetration testing. Electronics, 12(5), 1229. https://doi.org/10.3390/electronics12051229 DOI: https://doi.org/10.3390/electronics12051229
Bhatt, N., Kaur, J., Anand, A., y Alhazmi, O. H. (2022). Selecting best software vulnerability scanner using intuitionistic fuzzy set TOPSIS. Computers, Materials & Continua, 72(2), 3613–3629. https://doi.org/10.32604/cmc.2022.026554 DOI: https://doi.org/10.32604/cmc.2022.026554
Izzat, M., Saputra, F. A., y Syarif, I. (2025). Design and implementation of distributed web application vulnerability assessment tools for securing complex microservices environment. International Journal of Safety and Security Engineering, 15(2), 267–273. https://doi.org/10.18280/ijsse.150207 DOI: https://doi.org/10.18280/ijsse.150207
Prathima, C., Vamshi, R., Kartheek, J., Kavya, P., Naveed, S., y Lahari, T. (2025, 6-8 de marzo). A novel approach to security-driven web application protection through Attack Surface Management [ponencia]. 2025 7th International Conference on Signal Processing, Computing and Control (ISPCC), Solan, India. https://doi.org/10.1109/ISPCC66872.2025.11039514 DOI: https://doi.org/10.1109/ISPCC66872.2025.11039514
Ragheb, M. S., y Al-Omary, A. (2025, 17-19 de noviembre). The hacker view: Significance of external attack surface management to organizations [ponencia]. 2025 International Conference on Innovation and Intelligence for Informatics, Computing, and Technologies (3ICT), Sakhir, Baréin. https://doi.org/10.1109/3ict68299.2025.11442109 DOI: https://doi.org/10.1109/3ict68299.2025.11442109
Shaji, E., y Subramanian, N. (2021, 30-31 de julio). Assessing non-intrusive vulnerability scanning methodologies for detecting web application vulnerabilities on large scale [ponencia]. 2021 International Conference on System, Computation, Automation and Networking (ICSCAN), Puducherry, India. https://doi.org/10.1109/ICSCAN53069.2021.9526423 DOI: https://doi.org/10.1109/ICSCAN53069.2021.9526423
Wongsaard, P., Thaenkaew, P., y Suksomboon, K. (2025, 17-19 de septiembre). Enabling cost-effective vulnerability scanning with OpenVAS: A nested virtualization approach for understaffed security teams [ponencia]. 2025 6th Asia Service Sciences and Software Engineering Conference (ASSE 2025), Tokio, Japón. https://doi.org/10.1145/3775030.3775037 DOI: https://doi.org/10.1145/3775030.3775037