Acunetix

Acunetix – komercyjny skaner podatności przeznaczony do automatycznego wykrywania luk bezpieczeństwa w aplikacjach internetowych. Produkt oferowany jest w kilku wersjach, w tym jako oprogramowanie instalowane lokalnie (Acunetix Web Vulnerability Scanner) oraz w modelu chmurowym (Acunetix Online). System jest wykorzystywany zarówno przez specjalistów ds. pentestingu, jak i zespoły bezpieczeństwa informacji w organizacjach różnej wielkości.

Historia

Firma Acunetix Ltd., założona w 2005 roku w Wielkiej Brytanii, wprowadziła na rynek pierwszą wersję swojego skanera w 2006 roku. Od tego czasu oprogramowanie przeszło liczne aktualizacje, wprowadzając m.in. obsługę najnowszych standardów OWASP, lepszą integrację z systemami CI/CD oraz rozszerzone raportowanie zgodne z CVE. Główne kamienie milowe to:

2008 – wprowadzenie wsparcia dla SQL injection i Cross‑Site Scripting (XSS).
2012 – dodanie modułu analizy CMS (WordPress, Joomla, Drupal).
2016 – uruchomienie wersji chmurowej, umożliwiającej skanowanie bez instalacji lokalnej.
2020 – wprowadzenie technologii AI do redukcji liczby fałszywych alarmów.

Funkcje

Acunetix łączy kilka kluczowych elementów, które wyróżniają go na tle innych skanerów:

Automatyczne wykrywanie luk – ponad 4500 reguł wykrywania obejmujących m.in. SQL injection, XSS, CSRF, LFI/RFI i podatności w popularnych systemach zarządzania treścią.
Analiza JavaScript – silnik Spider potrafi interpretować dynamiczne aplikacje SPA i wykrywać podatności ukryte w kodzie klienckim.
Integracja z CI/CD – wtyczki dla Jenkins, GitLab, Azure DevOps umożliwiają automatyczne skanowanie podczas procesu budowania.
Raportowanie i zgodność – generowanie raportów zgodnych z normami PCI‑DSS, ISO/IEC 27001 oraz NIST.
Wykrywanie luk w API – obsługa protokołów REST i SOAP oraz automatyczna analiza dokumentacji OpenAPI/Swagger.

Technologia

Podstawę Acunetixa stanowi własny silnik skanowania, oparty na kombinacji technik signature‑based i heuristic‑based. System wykorzystuje:

crawling (Spider) do mapowania struktury aplikacji,
symulację sesji i manipulację ciasteczkami,
testy penetracyjne w modelu black‑box oraz gray‑box,
integrację z bazą podatności CVE w czasie rzeczywistym.

Zastosowanie

Acunetix jest wykorzystywany w różnych środowiskach:

Środowisko	Przykładowe zastosowanie
Małe firmy	Regularne skanowanie witryny firmowej w celu spełnienia wymagań PCI‑DSS.
Średnie przedsiębiorstwa	Integracja z pipelines CI/CD w celu wykrywania podatności przed wdrożeniem produkcyjnym.
Duże korporacje	Centralne zarządzanie setkami aplikacji webowych oraz raportowanie zgodności z regulacjami GDPR.

Licencjonowanie i dostępność

Acunetix oferuje kilka modeli licencyjnych:

Perpetual License – jednorazowa opłata za nieograniczone użycie oprogramowania, z roczną opłatą za aktualizacje i wsparcie.
Subscription – płatność roczna lub miesięczna, obejmująca wszystkie aktualizacje oraz dostęp do wersji chmurowej.
Cloud SaaS – dostęp wyłącznie przez przeglądarkę, bez potrzeby instalacji.

Wersja próbna (trial) umożliwia skanowanie do 100 stron internetowych bez ograniczeń czasowych.

Krytyka i ograniczenia

Mimo szerokiej popularności, Acunetix nie jest wolny od zarzutów. Najczęściej wymieniane wątki to:

Wysoka cena w porównaniu z niektórymi otwartoźródłowymi alternatywami, takimi jak OWASP ZAP czy Nikto.
Fałszywe alarmy – pomimo wdrożenia sztucznej inteligencji, niektóre skany generują tzw. false positives, co wymaga ręcznej analizy.
Ograniczenia w skanowaniu aplikacji mobilnych – produkt jest dedykowany głównie aplikacjom webowym, a nie natywnym rozwiązaniom mobilnym.

Porównanie z innymi rozwiązaniami

W tabeli przedstawiono skrócone zestawienie najważniejszych cech Acunetixa w porównaniu z innymi popularnymi skanerami:

Produkt	Typ licencji	Obsługa API	Wykrywanie SQL injection	Wsparcie CMS
Acunetix	Komercyjny (perpetual / subscription)	Tak	Tak	WordPress, Joomla, Drupal, Magento, …
OWASP ZAP	Open‑source	Tak	Tak	Ograniczone (wymaga wtyczek)
Nikto	Open‑source	Nie	Podstawowe	Brak dedykowanej obsługi

Patrz także

Pentesting, Web aplikacja, OWASP, CVE, SQL injection, Cross‑Site Scripting, CMS, bezpieczeństwo informacji

Bibliografia

Acunetix Ltd., Acunetix Web Vulnerability Scanner – Official Documentation, 2023.
OWASP, Top 10 Web Application Security Risks, 2021.
ISO/IEC 27001 – Information security management systems, 2022.