Marco que intenta unir herramientas de test de penetración de: guía de pruebas OWASP (v3 y v4), OWASP Top 10, PTES y NIST

 OWASP OWTF es un proyecto centrado en la eficiencia de las pruebas de penetración y la alineación de las pruebas de seguridad con los estándares de seguridad como: la guía de pruebas OWASP (v3 y v4), OWASP Top 10, PTES y NIST para que los pentesters tengan más tiempo para:

  • Ver el panorama general y pensar fuera de la caja
  • Encontrar, verificar y combinar vulnerabilidades de manera más eficiente
  • Tener mas tiempo tiempo para investigar vulnerabilidades complejas como la lógica empresarial, fallas arquitectónicas o sesiones de alojamiento virtual
  • Realizar un fuzzing más táctico y dirigido en áreas mas sensibles
  • Demostrar un verdadero impacto a pesar de los cortos períodos de tiempo que normalmente se dan para probar vulenrabilidades.

La herramienta es altamente configurable y cualquiera puede crear complementos simples o agregar nuevas pruebas en los archivos de configuración sin tener experiencia en desarrollo.

Sin embargo, esta herramienta no es la panacea y solo será tan buena como la persona que la use, se requerirá comprensión y experiencia para interpretar correctamente el resultado de la herramienta y decidir qué investigar más a fondo para demostrar el impacto.

Características:

  • Resiliencia : si una herramienta falla , OWTF , pasará a la siguiente herramienta/prueba, guardando la salida parcial de la herramienta hasta que se bloquee.
  • Flexible : pausa y reanuda tu trabajo.
  • Separación de pruebas : OWTF separa su tráfico hacia el destino en principalmente 3 tipos de complementos:
    • Pasivo : no hay tráfico que se dirija al objetivo.
    • Semi pasivo : tráfico normal al objetivo
    • Activo : sondeo directo de vulnerabilidades
  • API REST extensa.
  • Tiene una guía de pruebas OWASP casi completa (v3, v4), cobertura Top 10, NIST, CWE.
  • Interfaz web : gestione fácilmente las interacciones de gran penetración.
  • Informe interactivo :
  • Clasificaciones automatizadas de complementos a partir de la salida de la herramienta, totalmente configurables por el usuario.
  • Clasificaciones de riesgo configurables
  • Editor de notas en línea para cada complemento.

Más información y descarga de Offensive Web Testing Framework (OWTF):

https://owasp.org/www-project-owtf/


Fuente: GuruDelaInformatica

Comentarios

Publicar un comentario

Entradas populares de este blog

Redefiniendo el Riesgo Inherente: Un Enfoque Coherente para la Gestión de Riesgos y Cumplimiento

Imagen
En el libro Diez errores filosóficos, Mortimer Adler analiza errores que en su momento pasaron desapercibidos y que luego tuvieron vastas implicaciones. El concepto de riesgo inherente, tal como se aplica actualmente en la gestión de riesgos, creo que es uno de esos errores conceptuales que podríamos haber evitado y que aún podemos reorientar. Este artículo propone su reemplazo por un concepto coherente con temas largamente estudiados en el pensamiento contemporáneo, y la incorporación de un vocabulario más moderno y apropiado que facilite la convergencia entre la gestión de riesgos y de cumplimiento para optimizar recursos, mejorar la comunicación y permitir una evaluación más precisa de los riesgos organizacionales. I. Empecemos por el principio: ¿En qué consiste la esencia de la manzana? En artículos anteriores he explorado el concepto de riesgo en varios contextos y el más relevante para el tema de hoy, “¿Que queremos decir realmente cuando hablamos de Riesgo?” lo puedes encon...
Leer más

Kali Linux integra Claude AI para pruebas de penetración mediante el protocolo Model Context

Imagen
  Kali Linux ha introducido oficialmente un flujo de trabajo nativo de pruebas de penetración asistido por IA, que permite a los profesionales de la seguridad emitir comandos en lenguaje natural a través de Claude AI de Anthropic, que luego se traducen en comandos de terminal en vivo en un   entorno Kali Linux , todo conectado mediante el protocolo de contexto modelo de código abierto (MCP). El nuevo flujo de trabajo, documentado por el equipo de desarrollo de Kali Linux a principios de 2026, va más allá de la ejecución tradicional de comandos basada en terminal. En lugar de ejecutar manualmente herramientas como Nmap o Gobuster, un probador de penetración puede simplemente escribir un prompt como   "Escanear scanme.nmap.org puertos y comprobar si existe un archivo security.txt",   y Claude AI interpretará, planificará, ejecutará y devolverá resultados de forma autónoma. Esto es posible gracias a una arquitectura de tres componentes: Capa de interfaz:   Claude D...
Leer más

Cloudfare hace pública la causa que provocó la interrupción de servicio de cientos de webs durante el día de ayer: no fue un ciberataque

Imagen
 La compañía tenía previsto un mantenimiento en el que un cambio de permisos en los sistemas de su base de datos provocó la modificación de un fichero clave. En menos de 24 horas Cloudfare ha detectado y subsanado la causa de la incidencia Cloudfare   Fueron muchos los usuarios que en el día de ayer notaron que algo no funcionaba bien, que había algún problema en la red, ya que En torno al mediodía se acentuó una situación que   impedía acceder a sitios tan populares   como   la red social ‘X’, la plataforma de pago Paypal, o el asistente de inteligencia artificial ChatGPT , entre muchos otros servicios A buen seguro a muchos la mente les llevó a un   problema en materia de seguridad en línea , tal vez a una acción coordinada. Algo plausible si tenemos en cuenta que se trata del   tercer país más afectado por ciberataques , si bien el paso de las horas ha sido el encargado de esclarecer la cuestión al tiempo que la propia compañía afectada ha arrojado ...
Leer más