6 Open-Source Vulnerability Scanners and Tools for 2026

Sicherheitslücken können sich an unerwarteten Stellen verbergen. Sie zu finden, bevor Angreifer es tun, ist entscheidend.

Open-Source-Scanner für Schwachstellen bieten Unternehmen eine kostengünstige Möglichkeit, Sicherheitslücken in Netzwerken, Anwendungen, Softwareabhängigkeiten und Cloud-Umgebungen aufzudecken. Die Wahl des richtigen Tools hängt jedoch davon ab, was geschützt werden soll und welche Arten von Schwachstellen untersucht werden.

Ich habe sechs Open-Source-Scanner untersucht – darunter OPENVAS FREE, ZAP, OSV-Scanner, CloudSploit, Nmap und sqlmap –, um Unternehmen bei der Auswahl des passenden Tools zu helfen. Mein Vergleich betrachtet ihre Funktionen, idealen Einsatzbereiche und administrativen Anforderungen.

Vergleich von Open-Source-Scannern für Schwachstellen

OPENVAS FREE

Am besten geeignet für die netzwerkbasierte Schwachstellenbewertung

Gesamtbewertung: 4.17/5

• Preis: 5.0/5
• Kernfunktionen: 4.7/5
• Zusätzliche Funktionen: 4.3/5
• Benutzerfreundlichkeit und Administration: 3.3/5
• Kundensupport: 3.6/5

*Alle Kategoriebewertungen fließen in die gewichtete Gesamtbewertung ein. Die einzelnen Kategoriebewertungen werden mit einer Dezimalstelle angegeben, die Gesamtbewertung wird auf zwei Dezimalstellen gerundet.

OPENVAS FREE von Greenbone ist eine vorkonfigurierte virtuelle Appliance zur Bewertung von Netzwerk-Schwachstellenscans. Sie läuft über unterstützte Virtualisierungssoftware auf Windows- oder Linux-Hosts. Auch macOS wird unterstützt. Über eine browserbasierte Oberfläche können Nutzer Scans konfigurieren und Ergebnisse prüfen, ohne den Community-Software-Stack aus dem Quellcode erstellen zu müssen.

Die Appliance nutzt den kostenlosen OPENVAS COMMUNITY FEED, der regelmäßig aktualisierte Schwachstellentests erhält. Greenbone positioniert ihn primär für den privaten Einsatz und nichtprofessionelle IT-Umgebungen.

Obwohl die Schwachstellentests aktualisiert werden, lässt sich die Appliance-Software selbst nicht aktualisieren. Unternehmen, die geplante Scans oder Benachrichtigungen benötigen, können die kommerziellen Angebote von Greenbone in Betracht ziehen. Professioneller Support ist separat erhältlich.

Vorteile

• Enthält eine Weboberfläche zur Verwaltung von Scans und Prüfung der Ergebnisse
• Unterstützt geplante Bewertungen über den Verwaltungsdienst
• Nutzt einen kostenlosen Feed für Schwachstellentests

Nachteile

• Für die Bereitstellung müssen mehrere unterstützende Dienste konfiguriert werden
• Ein zuverlässiger Betrieb hängt von regelmäßiger Feed-Synchronisierung und Wartung ab
• Für einige Schwachstellentests für Unternehmen ist der kommerzielle Feed erforderlich

Preis

Die OPENVAS-FREE-Edition und ihr Community-Feed sind ohne Abonnementgebühren erhältlich. OPENVAS BASIC kostet 2.524 € pro Jahr und ist für Unternehmen mit weniger als 150 Assets ausgelegt. Größere Unternehmen können ein individuelles Angebot für OPENVAS SCAN anfordern.

Wichtige Funktionen

• Schwachstellentests: Prüft Zielsysteme mithilfe des Greenbone Community Feed auf bekannte Schwachstellen
• Scanverwaltung: Speichert Scan-Konfigurationen und Ergebnisse zentral über den Greenbone Vulnerability Manager
• Webverwaltung: Bietet browserbasierte Verwaltung über den Greenbone Security Assistant
• Zugriffskontrollen: Unterstützt rollenbasierte Berechtigungen und Benutzergruppen zur Steuerung des Zugriffs auf Scan-Ressourcen

Fazit und Alternative

OPENVAS FREE unterstützt wiederkehrende netzwerkbasierte Schwachstellenbewertungen mit zentralisierten Ergebnissen. Ziehen Sie Nmap in Betracht, wenn die Netzwerkerkennung und gezielte Schwachstellenprüfungen für Sie Priorität haben.

ZAP

Am besten geeignet für Sicherheitstests von Webanwendungen

Gesamtbewertung: 4.47/5

• Preis: 5.0/5
• Kernfunktionen: 4.6/5
• Zusätzliche Funktionen: 4.6/5
• Benutzerfreundlichkeit und Administration: 4.2/5
• Kundensupport: 4.0/5

Der Zed Attack Proxy (ZAP), früher bekannt als OWASP ZAP, ist ein kostenloses Tool für Sicherheitstests von Webanwendungen. Heute unter der Bezeichnung ZAP by Checkmarx, bleibt es ein unabhängiges Open-Source-Projekt unter der Leitung des ZAP Core Team.

ZAP kombiniert automatisierte Scans mit der manuellen Untersuchung von Webanfragen und -antworten. Die Desktop-Oberfläche ermöglicht es Analysten, das Anwendungsverhalten zu untersuchen, während Automatisierungsoptionen wiederholbare Tests in Entwicklungspipelines ermöglichen. Passive Scans untersuchen den beobachteten Datenverkehr, während aktive Scans Anwendungseingaben auf potenzielle Schwachstellen testen.

Das Automation Framework definiert Workflows mithilfe von YAML-Plänen. Es unterstützt Authentifizierung und Sitzungsverwaltung und hilft Scans dabei, Funktionen hinter Anmeldeseiten zu erreichen. Add-ons ermöglichen es Teams außerdem, API-Definitionen zu importieren.

Teams sollten Zeit für die Konfiguration der Anwendungserkennung einplanen und überprüfen, ob authentifizierte Scans die vorgesehenen Funktionen erreichen.

Vorteile

• Unterstützt automatisierte Scans und manuelle Untersuchungen
• Bietet eine Desktop-Oberfläche zur Konfiguration von Tests und Prüfung der Ergebnisse
• Bietet Add-ons zur Erweiterung der Testfunktionen

Nachteile

• Authentifizierte Scans und Anwendungserkennung erfordern zusätzliche Konfiguration
• Ergebnisse müssen validiert werden, um die Behebung anzuleiten
• Fehler in der Geschäftslogik erfordern neben automatisierten Scans in der Regel eine manuelle Bewertung

Preis

ZAP ist unter der Apache-2.0-Lizenz kostenlos. Kommerzielle Produkte und Dienste rund um ZAP haben separate Preise und Bedingungen. 

Wichtige Funktionen

• Datenverkehrsinspektion: Untersucht Webanfragen und -antworten
• Aktive Scans: Verwendet Angriffsmuster, um potenzielle Schwachstellen in Anwendungen zu identifizieren
• Automation Framework: Definiert wiederholbare Test-Workflows mithilfe eines YAML-Plans
• API-Workflows: Importiert OpenAPI-Definitionen und GraphQL-Schemas über Add-ons

Fazit und Alternative

ZAP unterstützt Sicherheitstests von laufenden Webanwendungen. Für Teams, die sich auf bekannte Schwachstellen in Softwareabhängigkeiten und unterstützten Containerpaketen konzentrieren, deckt OSV-Scanner diesen separaten Untersuchungsbedarf ab.

OSV-Scanner

Am besten geeignet für das Scannen von Schwachstellen in Abhängigkeiten und Container-Images

Gesamtbewertung: 4.20/5

• Preis: 5.0/5
• Kernfunktionen: 4.3/5
• Zusätzliche Funktionen: 4.2/5
• Benutzerfreundlichkeit und Administration: 4.0/5
• Kundensupport: 3.5/5

Googles OSV-Scanner identifiziert bekannte Schwachstellen in Softwarekomponenten mithilfe von Beratungsdaten von OSV.dev. Er untersucht unterstützte Projektdateien und scannt Container-Images auf anfällige Betriebssystempakete und Anwendungsabhängigkeiten.

Entwicklungsteams können Scans vor der Bereitstellung ausführen und Entwicklern so helfen, betroffene Pakete in ihre bestehenden Workflows einzubeziehen. Die verfügbaren Ausgabeformate unterstützen die Weiterverarbeitung, während HTML-Berichte eine browserbasierte Möglichkeit zur Prüfung der Ergebnisse bieten.

Container-Scans extrahieren Paketinformationen, ohne den Code des Containers auszuführen. Die Layer-Zuordnung hilft Entwicklern festzustellen, ob eine betroffene Komponente aus dem Basis-Image stammt oder während des Builds hinzugefügt wurde. Nach dem Herunterladen der erforderlichen Datenbanken ist auch ein Offline-Abgleich von Schwachstellen möglich.

Organisationen, die OSV-Scanner evaluieren, sollten bestätigen, dass ihre Paketökosysteme und die relevanten Image-Inhalte unterstützt werden. Der Fokus auf bekannte Schwachstellen in Komponenten hilft Teams, betroffene Pakete zu identifizieren. Ein Verständnis davon, wie diese Komponenten verwendet werden, unterstützt Entscheidungen zur Behebung.

Vorteile

• Scannt unterstützte Softwareabhängigkeiten und Container-Images
• Analysiert exportierte Image-Archive im Docker-Format, ohne Docker vorauszusetzen
• Unterstützt Offline-Scans nach dem Herunterladen von Schwachstellendatenbanken

Nachteile

• Die Abdeckung variiert je nach unterstütztem Ökosystem und Dateiformat
• Paketergebnisse erfordern möglicherweise weitere Untersuchungen, um die Ausnutzbarkeit zu bestimmen
• Der Offline-Modus unterstützt keine Scans auf Commit-Ebene
• Laufzeittests von Anwendungen und Bewertungen von Cloud-Berechtigungen erfordern separate Tools

Preis

OSV-Scanner ist unter der Apache-2.0-Lizenz kostenlos; ein Abonnement ist nicht erforderlich.  

Wichtige Funktionen

• Projekt-Scans: Identifiziert unterstützte Softwarepakete in Quellverzeichnissen
• Containerbewertung: Prüft Image-Komponenten anhand bekannter Schwachstellenaufzeichnungen
• Layer-Zuordnung: Identifiziert die Image-Layer, in denen anfällige Komponenten eingeführt wurden
• Offline-Modus: Scannt anhand einer lokal vorbereiteten Schwachstellendatenbank

Fazit und Alternative

OSV-Scanner identifiziert anfällige Softwarekomponenten vor der Bereitstellung. Ziehen Sie ZAP in Betracht, wenn Sicherheitstests von Webanwendungen in der Produktion für Sie Priorität haben.

CloudSploit

Am besten geeignet für die Bewertung von Cloud-Konfigurationen

Gesamtbewertung: 3.73/5

• Preis: 5.0/5
• Kernfunktionen: 3.8/5
• Zusätzliche Funktionen: 3.6/5
• Benutzerfreundlichkeit und Administration: 3.4/5
• Kundensupport: 3.0/5

CloudSploit by Aqua verwendet Anbieter-APIs, um Cloud-Konten auf potenzielle Fehlkonfigurationen und andere Sicherheitsrisiken zu prüfen. Es unterstützt AWS und Microsoft Azure; die Abdeckung erstreckt sich außerdem auf Google Cloud und Oracle Cloud Infrastructure. Zusätzliche Prüfungen decken GitHub ab.

CloudSploit erfasst Konfigurationsdaten von Konten und wertet sie anhand von Sicherheitsprüfungen aus. Die dokumentierte Einrichtung der Bewertung verwendet schreibgeschützte Berechtigungen, sodass Teams Cloud-Einstellungen prüfen können, ohne die Berechtigung zum Ändern von Ressourcen zu erteilen. 

Teams können das selbst gehostete Tool lokal mit Node.js ausführen oder über Docker bereitstellen. Die Ergebnisse lassen sich zur weiteren Analyse als CSV oder JSON exportieren. Compliance-Zuordnungen helfen dabei, relevante Ergebnisse unterstützten Frameworks zuzuordnen, während die Plugin-Architektur Teams ermöglicht, Prüfungen zu erweitern.

Organisationen, die sich für die selbst gehostete Version entscheiden, sollten einen Scan-Zeitplan und einen Prozess für die Weiterleitung von Ergebnissen an die Verantwortlichen der Ressourcen festlegen. Ein separater Paketscanner kann diese Konfigurationsprüfungen ergänzen, indem er bekannte Softwareschwachstellen in Cloud-Workloads identifiziert.

Vorteile

• Bewertet mehrere unterstützte Cloud-Plattformen
• Verwendet schreibgeschützten Zugriff für Konfigurations-Scans 
• Ermöglicht Anpassungen über seine Plugin-Architektur

Nachteile

• Erfordert die Konfiguration von Cloud-Berechtigungen und Anmeldedaten
• Die Abdeckung variiert je nach Anbieter und Dienst
• Bei der selbst gehosteten Nutzung müssen Teams die Planung und die nachgelagerte Verarbeitung der Ergebnisse organisieren

Preis

Die selbst gehostete Version von CloudSploit ist unter GPLv3 kostenlos. Organisationen sollten etwaige Infrastruktur- und Administrationskosten berücksichtigen. Die kommerzielle Cloud-Sicherheitsplattform von Aqua verwendet eine nutzungsabhängige Preisgestaltung auf Basis der Workloads, nennt jedoch keine öffentlichen Dollarbeträge. Organisationen können Aqua für ein Angebot und eine Demo kontaktieren.

Wichtige Funktionen

• Konfigurationsprüfungen: Identifiziert potenziell riskante Cloud-Einstellungen
• Anbieterintegrationen: Erfasst Daten über unterstützte Cloud-APIs
• Compliance-Zuordnungen: Ordnet relevante Prüfungen unterstützten Compliance-Frameworks zu
• Exportformate: Exportiert Ergebnisse zur weiteren Analyse in Formaten wie CSV und JSON

Fazit und Alternative

CloudSploit bewertet Cloud-Konten auf Konfigurationsrisiken. Ziehen Sie OSV-Scanner in Betracht, wenn für Sie die Suche nach anfälligen Softwarepaketen in Container-Images Priorität hat.

sqlmap

Am besten geeignet für Tests auf SQL-Injection-Schwachstellen

Gesamtbewertung: 3.90/5

• Preis: 4.8/5
• Kernfunktionen: 4.1/5
• Zusätzliche Funktionen: 3.8/5
• Benutzerfreundlichkeit und Administration: 3.4/5
• Kundensupport: 3.5/5

sqlmap automatisiert die Erkennung und Ausnutzung von SQL-Injection-Schwachstellen. Es unterstützt Penetrationstester dabei, zu bestimmen, ob Eingaben in Anwendungen manipuliert werden können, um Datenbankabfragen zu beeinflussen, und den durch eine bestätigte Schwachstelle ermöglichten Zugriff zu bewerten.

Das Befehlszeilentool unterstützt mehrere Datenbanktechnologien und verschiedene SQL-Injection-Techniken. Tester können eine Ziel-URL angeben oder eine aufgezeichnete HTTP-Anfrage laden, um bestimmte Interaktionen mit der Anwendung zu untersuchen. Die Anpassung von Anfragen unterstützt authentifizierte Tests mithilfe geeigneter Sitzungsinformationen.

Mit den Steuerelementen können Tester Parameter auswählen und die Testintensität anpassen. Die Datenbank-Fingerprinting-Funktion hilft dabei, die Backend-Technologie zu identifizieren, und unterstützt so die weitere Bewertung innerhalb des autorisierten Umfangs.

sqlmap ist für Penetrationstester hilfreich, die gezielte Tests auf SQL-Injection-Schwachstellen durchführen müssen. Vertrautheit mit HTTP-Anfragen und dem Verhalten von Datenbanken hilft Teams dabei, Tests zu konfigurieren und Ergebnisse zu interpretieren. Organisationen können außerdem einen allgemeinen Webscanner für eine breitere Anwendungsabdeckung einsetzen und anschließend sqlmap zur Untersuchung relevanter Ergebnisse verwenden.

Vorteile

• Automatisiert gezielte Tests auf SQL-Injection-Schwachstellen
• Unterstützt mehrere Datenbanktechnologien und Injection-Techniken
• Bietet umfangreiche Konfigurationsoptionen für erfahrene Penetrationstester

Nachteile

• Für umfassendere Tests von Webanwendungen sind ergänzende Tools erforderlich
• Für eine effektive Nutzung sind Kenntnisse über Anwendungsanfragen und das Verhalten von Datenbanken erforderlich
• Test- und Ausnutzungseinstellungen müssen sorgfältig ausgewählt werden, um mögliche Auswirkungen auf Daten und Systeme zu begrenzen

Preis

sqlmap ist unter GPLv2 oder einer späteren Version kostenlos verfügbar, mit projektspezifischen Klarstellungen und Ausnahmen. Für proprietäre Integrationen ist eine kommerzielle Lizenzierung verfügbar. Die Preise für kommerzielle Lizenzen werden nicht öffentlich aufgeführt; Organisationen können das sqlmap-Team für ein Angebot kontaktieren.

Wichtige Funktionen

• Injection-Erkennung: Testet Eingaben von Anwendungen auf SQL-Injection-Schwachstellen
• Datenbank-Fingerprinting: Identifiziert unterstützte Backend-Datenbanktechnologien
• Auswirkungsbewertung: Hilft zu bestimmen, welchen Zugriff eine bestätigte SQL-Injection-Schwachstelle ermöglichen könnte
• Anpassung von Anfragen: Ermöglicht Testern, die Interaktion von sqlmap mit der Anwendung anzupassen

Fazit und Alternative

sqlmap unterstützt gezielte Tests auf SQL-Injection-Schwachstellen im Rahmen einer autorisierten Bewertung. Ziehen Sie ZAP in Betracht, wenn Sie umfassendere Sicherheitstests von Webanwendungen benötigen. 

Nmap

Am besten geeignet für die Netzwerkerkennung und gezielte Schwachstellenprüfungen

Gesamtbewertung: 4.18/5

• Preis: 4.5/5
• Kernfunktionen: 4.4/5
• Zusätzliche Funktionen: 4.4/5
• Benutzerfreundlichkeit und Administration: 3.8/5
• Kundensupport: 3.8/5

Nmap hilft Teams dabei, erreichbare Systeme zu identifizieren und ihre Netzwerkaussetzung zu verstehen. Das Tool ermittelt Hosts und offene Ports und identifiziert anschließend verfügbare Dienste. Fingerprinting des Betriebssystems und Informationen zu Dienstversionen liefern Kontext für weitere Untersuchungen.

Teams können einzelne Hosts oder größere Netzwerkbereiche bewerten und Scanmethoden sowie Zeitplanung an ihre Umgebung anpassen. Die strukturierte Ausgabe unterstützt die Automatisierung und die Integration mit anderen Tools. Diese Funktionen helfen Teams zu prüfen, ob die festgestellte Aussetzung dem erwarteten Netzwerkinventar entspricht.

Die Nmap Scripting Engine erweitert die Erkennung um gezielte Sicherheitsprüfungen. Verfügbare Skripte können ausgewählte Schwachstellen untersuchen oder Dienstkonfigurationen prüfen; die Abdeckung hängt von den ausgewählten Skripten ab. Die Validierung von Schwachstellenbefunden hilft Teams, fundierte Entscheidungen zur Behebung zu treffen.

Nmap bietet Administratoren und Analysten anpassbare Netzwerkbewertungen. Für ein laufendes Schwachstellenmanagement können Organisationen es mit einem Scanner kombinieren, der wiederkehrende Bewertungen zentral verwaltet.

Vorteile

• Bietet flexible Host- und Diensterkennung
• Unterstützt die Automatisierung über Befehlszeilenoptionen
• Erweitert Sicherheitsbewertungen durch NSE-Skripte

Nachteile

• Die Schwachstellenabdeckung hängt von den ausgewählten Skripten ab
• Ergebnisse müssen interpretiert und durch weitere Prüfungen verifiziert werden
• Für proprietäre Integrationen und die Weiterverteilung müssen die individuellen Lizenzbedingungen geprüft werden

Preis

Nmap ist für interne Scans unter der Nmap Public Source License kostenlos. Kommerzielle OEM-Lizenzen für die Weiterverteilung haben für qualifizierte kleine Unternehmen eine einmalige, unbefristete Gebühr von 59.980 US-Dollar. Die Stufe für mittelgroße Unternehmen kostet 89.980 US-Dollar, während die Enterprise-Lizenzierung 119.980 US-Dollar kostet. Eine jährliche Wartung ist optional und wird separat berechnet. Lizenzen mit vierteljährlicher Laufzeit sind ebenfalls verfügbar.

Wichtige Funktionen

• Host-Erkennung: Identifiziert erreichbare Systeme innerhalb des Scanumfangs
• Port-Scanning: Identifiziert offene TCP- oder UDP-Ports
• Diensterkennung: Identifiziert exponierte Dienste und, sofern verfügbar, deren Versionen
• NSE-Prüfungen: Führt ausgewählte Skripte für gezielte Sicherheitsbewertungen aus

Fazit und Alternative

Nmap unterstützt die Netzwerkerkennung und gezielte Schwachstellenprüfungen. Ziehen Sie OPENVAS FREE in Betracht, wenn Sie wiederkehrende Schwachstellenbewertungen mit zentral verwalteten Scans und Ergebnissen benötigen.

Fünf Faktoren, die bei der Auswahl eines Open-Source-Scanners für Schwachstellen zu berücksichtigen sind

Abdeckung Ihrer Systeme

Wählen Sie einen Scanner auf Grundlage dessen aus, was Sie testen müssen. Die Erkennung eines unerwarteten Netzwerkdienstes erfordert andere Funktionen als die Identifizierung eines anfälligen Softwarepakets. Vergewissern Sie sich, dass das Tool die Technologien in Ihrer Umgebung unterstützt.

Aktualisierte Prüfungen und Schwachstellendaten

Prüfen Sie, wie häufig das Projekt seine Erkennungsregeln und Schwachstellendaten aktualisiert. Netzwerk-Schwachstellenscanner verwenden möglicherweise Feeds, während Dependency-Scanner auf Paketempfehlungen zurückgreifen. Auch Webanwendungs-Scanner benötigen gepflegte Testrichtlinien. Eine Aktualisierung des Tools allein aktualisiert möglicherweise nicht alle Erkennungsinhalte.

Ergebnisse, die Teams bei der Behebung von Problemen helfen

Ergebnisse sollten das betroffene Asset identifizieren und das Problem so klar erklären, dass Teams es verifizieren können. Nützliche Ergebnisse enthalten, sofern verfügbar, auch Hinweise zur Behebung. Legen Sie Prioritäten auf Grundlage des Schweregrads fest und danach, ob die Schwachstelle ein kritisches System oder einen Geschäftsprozess offenlegt.

Automatisierung routinemäßiger Tests

Suchen Sie nach Tools, die mit Ihren bestehenden Prozessen funktionieren. Entwickler benötigen möglicherweise Scans in ihren Softwarepipelines. Infrastrukturteams brauchen eventuell geplante Bewertungen. Prüfen Sie, ob Ergebnisse das zuständige Team erreichen können, ohne dass jemand jeden Befund manuell übertragen muss.

Überschaubarer Wartungsaufwand und passende Lizenzierung

Berücksichtigen Sie den Aufwand, der für die Konfiguration des Scanners und den zuverlässigen Betrieb der Scans erforderlich ist. Prüfen Sie die Lizenz im Hinblick auf Ihre geplante Nutzung. Die Einbettung eines Scanners in ein Produkt oder seine Weiterverteilung kann anderen Bedingungen unterliegen als die interne Nutzung.

So habe ich die besten Open-Source-Scanner für Schwachstellen für 2026 bewertet

Ich habe jedes Tool anhand von fünf gewichteten Kategorien unter Verwendung offizieller Projektdokumentation und veröffentlichter Produktinformationen bewertet. Ich habe die Tools entsprechend ihrem Zweck beurteilt, da Netzwerk-Scanner und Tools für Anwendungstests unterschiedliche Sicherheitsanforderungen erfüllen.

Die Bewertungen spiegeln meine redaktionelle Einschätzung wider. Ich habe keine praktischen Tests durchgeführt und die Erkennungsgenauigkeit nicht unabhängig gemessen.

Bewertungskriterien

Kernfunktionen (30 %): Ich habe geprüft, was jedes Tool scannen kann und welche Sicherheitslücken es identifizieren kann. Außerdem habe ich die Optionen zur Scan-Konfiguration und die bereitgestellten Nachweise berücksichtigt, die Nutzern bei der Untersuchung von Ergebnissen helfen.

Benutzerfreundlichkeit und Administration (25 %): Ich habe die Installationsanforderungen und die für die Konfiguration von Scans erforderlichen Kenntnisse bewertet. Ich habe die verfügbaren Schnittstellen und die laufenden Wartungsanforderungen geprüft. Außerdem habe ich berücksichtigt, wie Teams wiederholte Scans ausführen und Ergebnisse verwalten.

Preis (15 %): Ich habe geprüft, welche Scan-Funktionen kostenlos verfügbar sind und für welche ein kostenpflichtiges Produkt oder ein kostenpflichtiger Dienst erforderlich ist. Außerdem habe ich die Lizenzbedingungen für die interne Nutzung untersucht. Bedingungen für proprietäre Integrationen und die Weiterverteilung wurden separat berücksichtigt.

Zusätzliche Funktionen (15 %): Ich habe Berichtsfunktionen und Möglichkeiten zur Erweiterung des Tools durch Skripte oder Plugins geprüft. Außerdem habe ich Integrationen berücksichtigt, die Teams dabei helfen, Ergebnisse an ihre bestehenden Systeme zur Behebung von Problemen zu senden.

Kundensupport (15 %): Ich habe die verfügbare Dokumentation und Anleitungen zur Fehlerbehebung bewertet. Außerdem habe ich die Supportkanäle der Community geprüft und dabei zwischen der Unterstützung für kostenlose Nutzer und separat angebotenen professionellen Supportleistungen unterschieden.

Häufig gestellte Fragen

Fazit

Wählen Sie einen Open-Source-Scanner für Schwachstellen danach aus, was Sie bewerten müssen und was Ihr Team verwalten kann. Vergewissern Sie sich, dass er Ihre Systeme unterstützt, und berücksichtigen Sie den Aufwand für die Pflege der Scans und die Untersuchung der Ergebnisse.

Durch die Kombination von Scannern lassen sich Lücken abdecken, die ein einzelnes Tool hinterlässt. Weisen Sie die Ergebnisse den für die Behebung zuständigen Teams zu und priorisieren Sie Korrekturen auf Grundlage des Risikos. Nachdem diese Teams die Korrekturen vorgenommen haben, scannen Sie die betroffenen Systeme erneut, um zu überprüfen, dass die Probleme behoben wurden. 

Erfahren Sie, wie Sie Scan-Ergebnisse anhand der fünf Phasen des Lebenszyklus des Schwachstellenmanagements in priorisierte Behebungen umwandeln.