Rapid7 InsightVM for Web Apps

好东西

真正引人注目的是风险评分。它不仅标记它看到的每个 CVE，还考虑可利用性、资产关键性，甚至漏洞是否暴露在互联网上。有一次，它在无法公开访问的暂存环境中标记了一个过时的库。我们没有惊慌，而是看到分数很低并继续前进。节省了我们几个小时。此外，报告仪表板干净、快速。按 IP 范围或应用程序类型过滤时没有延迟。与某些工具不同的是，它不会让您费尽心思导出数据 - CSV 导出可以立即生效，这在您准备审计时很重要。

不太好的

这对初学者来说并不友好。如果您是漏洞管理的新手，那么学习曲线是真实的。界面还不错，但也不直观——你需要花几天时间才能弄清楚所有东西的位置。此外，缺乏免费套餐或试用意味着您从第一天起就需要投入资金。是的，它不是开源的，所以你被锁定在他们的生态系统中。如果您经营一家预算有限的小商店，这可能会感觉很沉重。另外，它只涵盖网络应用程序 - 如果您需要网络扫描或端点检测，您将需要其他东西。也就是说，它并不试图成为一切。

底线

如果您是一个中型或更大的团队，实际接触过 Web 应用程序，并且需要一种可靠、可操作的方法来跟踪漏洞并确定其优先级，那么 Rapid7 InsightVM for Web Apps 是一个不错的选择。它不会赢得设计奖项，但它在没有戏剧性的情况下完成了它的工作。不是免费的，但也不是非常昂贵。如果您认真确保网络应用程序的安全，那么值得下载。