Trustwave DbProtect for Web Apps

在我们上次审计在我们的临时环境中标记出一些奇怪的 SQL 模式后，我开始研究这个问题。事实证明，有人留下了一个调试端点，这是经典的菜鸟动作。就在那时，我发现了 Trustwave DbProtect for Web Apps。它并不华丽，但它完成了这项工作，而且没有每五秒就对我尖叫一次。

好东西

实时监控实际上捕捉到了我们错过的一些东西——机器人扫描薄弱端点时出现的异常查询峰值。我很惊讶它标记异常的速度如此之快。还有合规报告？不是噩梦。它生成的 PDF 具有与 PCI DSS 和 GDPR 要求的清晰映射，这在下一次内部审核期间节省了我们的时间。与 Burp Suite 或 OWASP ZAP 等旧工具相比，它不那么实用，但也不需要持续的照顾。你设置了它，它就……起作用了。

此外，漏洞评估扫描的准确性出奇地高。有一次，它指出我们已经几个月没有更新的第三方表单库中存在存储的 XSS。仅此一点就值得支付订阅费。

不太好的

这对初学者来说并不友好。如果您不熟悉网络应用程序安全性，那么仪表板会感觉有点密集。我花了几天时间才弄清楚警报历史记录被埋在“报告”下的哪里。也没有移动应用程序——只有网络。因此，如果您在周末消防演习期间检查手机上的警报，您会眯着眼睛看着浏览器窗口。

老实说，缺乏免费套餐或试用版是一件令人遗憾的事情。你只是把钱扔进黑匣子，希望它能有所帮助。在提交之前无法对其进行测试。另外，开发者信息基本上是虚幻的——没有网站，没有联系方式，什么都没有。如果你厌恶风险，那么这是一个危险信号。

底线

如果您经营的企业需要处理客户数据并需要证明合规性，Trustwave DbProtect for Web Apps 是一个可靠的选择。它并不华丽，但它可以在没有戏剧性的情况下完成工作。如果您是测试业余项目的独立开发人员或者只是想要免费的东西，请跳过它。但如果您身处受监管的行业，并且厌倦了猜测什么是安全的，请尝试一下。它是那些可以悄悄地让您摆脱麻烦的工具之一。