Nesta página
Tabela resumo
| Scanner | Categoria | Alvo | Impacto | Tempo est. | Precisa de acesso ao código? |
|---|---|---|---|---|---|
| ZAP | DAST | web_url | ● ativo | 5–15 min | Não |
| Nikto | DAST | web_url | ● passivo | 2–5 min | Não |
| testssl | DAST | web_url | ● passivo | 1–3 min | Não |
| Gitleaks | SAST | git_repo | ● passivo | 1–5 min | Sim (clone) |
| Semgrep | SAST | git_repo | ● passivo | 2–8 min | Sim (clone) |
| ESLint | SAST | git_repo | ● passivo | 1–4 min | Sim (clone) |
| SonarQube | SAST | git_repo | ● passivo | 5–30 min | Sim (clone) |
| Grype | SCA | git_repo | ● passivo | 1–3 min | Sim (clone) |
| Dependency-Track | SCA | git_repo | ● passivo | 5–20 min | Sim (clone) |
| OpenVAS | Network | host | ● agressivo | 30 min–4h | Não |
| Google Lighthouse | Performance | web_url | ● passivo | 30–60 seg | Não |
| Joern | Arquitetura | git_repo | ● passivo | 1–10 min | Sim (clone) |
● passivo = só lê, não modifica |
● ativo = envia requisições de teste |
● agressivo = pode causar indisponibilidade
DAST
Análise dinâmica de aplicações web
Testa a aplicação em execução, de fora, como um atacante faria
OWASP ZAP
5–15 min
Scanner DAST completo. Faz spider da aplicação, descobre endpoints e executa testes ativos de injeção (SQL, XSS, path traversal, etc). É o scanner mais abrangente para aplicações web.
Impacto no alvo: envia requisições de teste com payloads maliciosos. Pode criar registros no banco, disparar e-mails, ou logar tentativas de ataque.
Melhor para: auditoria completa de aplicações web antes de releases ou em ambientes de staging.
⚠️ Execute em ambiente de staging antes de produção. Pode criar dados espúrios no banco e disparar alertas de segurança.
Nikto
2–5 min
Scanner de configuração de servidor web. Verifica cabeçalhos HTTP inseguros, arquivos sensíveis expostos (robots.txt, .env, backups), versões de software desatualizadas e configurações incorretas.
Impacto no alvo: baixo. Apenas requisições GET para paths conhecidos. Não modifica dados.
Melhor para: check rápido de hardening do servidor. Seguro para produção.
testssl.sh
1–3 min
Audita a configuração TLS/SSL do servidor. Detecta protocolos fracos (SSLv3, TLS 1.0), cifras inseguras, certificados expirados ou inválidos, e vulnerabilidades como BEAST, POODLE, Heartbleed.
Impacto no alvo: mínimo. Handshakes TLS de teste. Completamente seguro para produção.
Melhor para: compliance (PCI-DSS, LGPD) e auditoria de certificados.
ℹ️ Requer que a URL use HTTPS (porta 443). Não funciona em HTTP puro.
SAST
Análise estática de código-fonte
Analisa o código em repouso, sem executá-lo
Gitleaks
1–5 min
Detecta segredos e credenciais expostos no histórico Git: tokens de API, senhas, chaves AWS, certificados privados, strings de conexão de banco de dados — inclusive em commits antigos.
Impacto no alvo: nenhum. Só lê o repositório localmente.
Melhor para: descobrir credenciais vazadas antes que atacantes as encontrem. Deve ser o primeiro scanner a rodar em qualquer repositório.
Semgrep
2–8 min
Análise estática baseada em padrões. Detecta vulnerabilidades comuns como injeção, uso de funções perigosas, más práticas de criptografia, e problemas de segurança específicos por linguagem (Python, JS, Java, Go, etc).
Impacto no alvo: nenhum. Análise local do código.
Melhor para: CI/CD — detecta problemas no código antes do merge.
ESLint Security
1–4 min
Lint de segurança para JavaScript e TypeScript. Detecta uso de eval(), innerHTML sem sanitização, regex inseguros (ReDoS), acesso direto a process.env, e outras más práticas comuns em código Node.js e frontend.
Impacto no alvo: nenhum. Análise local do código.
Melhor para: projetos JavaScript/Node.js. Complementa o Semgrep.
SonarQube
5–30 min
Plataforma completa de qualidade e segurança de código. Detecta bugs, vulnerabilidades e code smells com regras específicas por linguagem. Mantém histórico de métricas e tendências ao longo do tempo.
Impacto no alvo: nenhum. A análise acontece no servidor SonarQube.
Atenção: projetos grandes (Java, .NET) podem levar 20–30 minutos.
Melhor para: análise aprofundada e acompanhamento contínuo de qualidade.
SCA
Análise de composição de software
Detecta vulnerabilidades em bibliotecas e dependências de terceiros
Grype
1–3 min
Verifica o repositório contra bancos de CVE (NVD, GitHub Advisory) para encontrar dependências com vulnerabilidades conhecidas. Usa banco embutido na imagem — rápido e sem necessidade de internet no runtime.
Impacto no alvo: nenhum. Analisa os arquivos de lock localmente.
Melhor para: verificação rápida de CVEs. Resultado em minutos.
Dependency-Track
5–20 min
Gera um SBOM (Software Bill of Materials — lista completa de componentes) e envia para análise assíncrona no Dependency-Track, que correlaciona com múltiplos bancos de vulnerabilidades (NVD, OSV, VulnDB).
Atenção: análise assíncrona — o resultado pode demorar 5–20 min após o disparo.
Melhor para: inventário completo de componentes e rastreabilidade de licenças. Complementa o Grype.
Network
Varredura de rede e infraestrutura
Analisa hosts, portas e serviços de rede
OpenVAS / GVM
30 min – 4 horas
Scanner de vulnerabilidades de rede completo. Faz port scan, identifica serviços em execução, verifica versões contra bancos de CVE, testa autenticação padrão e executa mais de 70.000 testes de vulnerabilidade (NVTs).
Impacto no alvo: alto. Envia tráfego intenso de varredura. Pode causar lentidão em serviços, disparar alertas de IDS/IPS, e em casos raros derrubar serviços instáveis.
Duração: scans completos levam entre 30 minutos e 4 horas, dependendo do número de hosts e portas. O job fica com status "running" durante todo o scan — a coleta de resultados é feita automaticamente ao final.
Rede privada: para escanear hosts dentro da rede do cliente (atrás de NAT), instale o componente Sensor disponível na criação do target tipo "host". O sensor escaneia localmente e envia os resultados para a plataforma via HTTPS.
Melhor para: auditoria de infraestrutura, servidores, dispositivos de rede e sistemas internos.
⚠️ ATENÇÃO: Execute apenas em hosts que você tem autorização explícita para testar. Varreduras não autorizadas são ilegais. Prefira janelas de manutenção em produção.
Performance
Performance e qualidade web
Audita velocidade, acessibilidade, SEO e boas práticas de front-end
Google Lighthouse
30–60 seg
Audita a página em 4 frentes: Performance (tempo de carregamento, JS não utilizado, imagens não otimizadas), Acessibilidade (contraste, landmarks, texto alternativo), Best Practices (HTTPS, erros de console) e SEO (meta tags, links rastreáveis). Roda um navegador headless de verdade contra a URL.
Impacto no alvo: nenhum. Apenas carrega a página como um visitante normal faria.
Melhor para: checar a saúde de páginas públicas — não é um scanner de vulnerabilidade, é qualidade e experiência do usuário.
Arquitetura
Mapa estrutural do código
Extrai a estrutura de funções e chamadas do repositório
Joern
1–10 min
Analisa o código-fonte e extrai um grafo de funções e chamadas entre elas — quem chama quem, incluindo chamadas para bibliotecas externas. O resultado alimenta o Mapa de Código, uma visualização interativa (aba própria no menu).
Impacto no alvo: nenhum. Só clona e analisa o repositório localmente.
Melhor para: entender a estrutura de um repositório novo ou grande — onde ficam os pontos de entrada, o que chama o quê.
ℹ️ Importante: diferente dos demais scanners desta página, o Joern não produz findings de vulnerabilidade. Ele gera a estrutura do código; a detecção de vulnerabilidades continua sendo feita pelo Semgrep, ESLint, Gitleaks e demais scanners SAST.
✅ Boas práticas
Ordem recomendada
Para uma análise completa de uma aplicação web com repositório:
1. Gitleaks — segredos no código (rápido, passivo)
2. Semgrep + ESLint — vulnerabilidades no código
3. Grype — CVEs nas dependências
4. Nikto + testssl — configuração do servidor
5. ZAP — testes dinâmicos (staging)
1. Gitleaks — segredos no código (rápido, passivo)
2. Semgrep + ESLint — vulnerabilidades no código
3. Grype — CVEs nas dependências
4. Nikto + testssl — configuração do servidor
5. ZAP — testes dinâmicos (staging)
Produção vs. staging
Seguros para produção: testssl, Nikto, Gitleaks, Semgrep, ESLint, Grype, Dependency-Track, Lighthouse, Joern.
Prefira staging: ZAP (cria dados), OpenVAS (tráfego intenso).
Nunca sem autorização: OpenVAS em redes de terceiros.
Prefira staging: ZAP (cria dados), OpenVAS (tráfego intenso).
Nunca sem autorização: OpenVAS em redes de terceiros.
Agendamentos recomendados
Diário: Gitleaks, Grype (rápidos, passivos)
Semanal: Semgrep, ESLint, Nikto, testssl, Lighthouse
Quinzenal: ZAP, SonarQube, Dependency-Track, Joern (após mudanças estruturais)
Mensal: OpenVAS (impacto alto, longo)
Semanal: Semgrep, ESLint, Nikto, testssl, Lighthouse
Quinzenal: ZAP, SonarQube, Dependency-Track, Joern (após mudanças estruturais)
Mensal: OpenVAS (impacto alto, longo)