DAST-Software-Preisvergleich: Burp Suite, Nessus & mehr
Bei über 20 DAST-Tools auf dem Markt kann die Auswahl des passenden Tools aufgrund der unterschiedlichen Funktionen und Preisoptionen eine Herausforderung sein. Wir haben öffentlich zugängliche Informationen zu den Preisstrategien der Anbieter zusammengetragen, um Ihnen einen einfachen Überblick zu verschaffen und die voraussichtlichen Kosten abzuschätzen.
Top DAST Softwarepreise
Anbieter | Kostenlose Testversion | Preis |
|---|---|---|
InsightVM Rapid7 | ✅ (30 Tage) | Die Preisgestaltung basiert auf den Vermögenswerten (mindestens 512 Vermögenswerte). |
PortSwigger Burp Suite | ✅ | Community-Edition: Kostenlos Professionelle Ausgabe: 449 $/Person/Jahr. Enterprise-Edition: Nicht öffentlich zugänglich |
Tenable Nessus | ✅ (7 Tage) | Von 4.390 $ bis 6.390 $ jährlich |
NowSecure | ✅ | Nicht öffentlich geteilt |
Indusface war | ✅ (14 Tage) | Es gibt einen Advanced-Tarif für 59 $ pro Monat. Premium- und MSSP-Tarife werden jährlich individuell abgerechnet. |
Vergleichsbewertung | ❌ | Nicht öffentlich geteilt |
Checkmarx DAST | ❌ | Nicht öffentlich geteilt |
HCL AppScan | ✅ (30 Tage) | Nicht öffentlich geteilt |
Folgende Punkte sind bei der Preisgestaltung zu beachten:
- Funktionsumfang: Anbieter unterteilen ihre Produkte üblicherweise in verschiedene Leistungsstufen. Tenables Nessus Pro und Nessus Expert nutzen dieselbe Scan-Engine, aber nur Expert bietet zusätzlich Webanwendungs-Scanning und Scanning externer Angriffsflächen. Daher kostet Expert jährlich etwa 2.000 US-Dollar mehr.
- Lizenzmodell: Einige Tools berechnen die Gebühren pro Benutzer und Jahr (Burp Suite Professional), andere pro Asset (InsightVM). Assetbasierte Preisgestaltung wie bei Rapid7 senkt die Stückkosten bei höheren Nutzungsmengen, was größeren Organisationen zugutekommt, für kleinere Teams jedoch eine hohe Einstiegshürde darstellt.
- Kostenlose Versionen: Sowohl Burp Suite Community als auch Indusface WAS bieten kostenlose Einstiegsmöglichkeiten, weisen aber erhebliche Funktionslücken auf. Community fehlt die automatische Scanfunktion vollständig, während die kostenlose Version von Indusface die Scanhäufigkeit begrenzt und den Support einschränkt.
Tenable Nessus
Tenable Nessus bietet zwei DAST-Tools an: Nessus Pro und Nessus Expert. Beide sind im Jahresabonnement erhältlich, unterscheiden sich jedoch in Kosten und Funktionsumfang. Nessus Pro ist zwar günstiger, bietet aber nicht so viele Funktionen wie die Expert-Version.
Nessus Professional kostet in den USA 4.390 US-Dollar. Es umfasst unbegrenzte IT-Schwachstellenanalysen, Konfigurationsprüfungen, Compliance-Scans und Schwachstellenbewertungen, jedoch keine Webanwendungsprüfungen und die Ermittlung externer Angriffsflächen.
Nessus Expert kostet in den USA 6.390 US-Dollar. Zusätzlich zu den Funktionen von Pro bietet es Web-App-Scanning, die Erkennung externer Angriffsflächen und IaC-Scanning. Unternehmen, die bereits Pro nutzen, können Expert 7 Tage lang kostenlos testen.
Beide Editionen bieten optionalen erweiterten Support (24/7 per Telefon und Chat) als kostenpflichtiges Zusatzpaket. Mehrjährige Lizenzen sind rabattiert. Die Preise variieren je nach Region; bitte prüfen Sie die aktuellen Preise vor dem Kauf unter tenable.com/buy.
Wenn Sie einen Ersatz für Nessus suchen oder noch unentschlossen sind, sollten Sie Alternativen zu Tenable Nessus in Betracht ziehen.
InsightVM Rapid 7
Rapid7 hat seine Produktlinie für Schwachstellenmanagement im Jahr 2024 unter der Command Plattform neu positioniert. InsightVM dient nun als Schwachstellenmanagement-Engine innerhalb von Exposure Command, dem aktuellen Flaggschiffprodukt von Rapid7 für die Bewertung und Behebung von Sicherheitslücken.
Exposure Command wird pro Asset (durchschnittliche Anzahl überwachter Assets) berechnet und jährlich abgerechnet. Es gibt zwei Stufen, die sich nach dem Cloud-Reifegrad eines Unternehmens richten. Beide Stufen beinhalten Surface Command ohne zusätzliche Kosten. Die genauen Preise der einzelnen Stufen werden nicht öffentlich aufgeführt; Unternehmen erhalten ein individuelles Angebot basierend auf der Anzahl der Assets und dem Umfang der Bereitstellung.
Abbildung 4. InsightVM-Preismodell 1
PortSwigger Burp Suite
Burp Suite gibt es in drei Editionen, die sich an unterschiedliche Benutzertypen richten.
Burp Suite Community ist kostenlos. Es umfasst manuelles Testen der HTTP-Abfangfunktion mit Burp Proxy, die Manipulation von Anfragen mit Burp Repeater und die grundlegende Web-Traffic-Analyse. Automatisierte Scans sind nicht enthalten; dafür ist eine kostenpflichtige Version erforderlich.
Burp Suite Professional kostet 475 US-Dollar pro Benutzer und Jahr. Es umfasst automatisierte Schwachstellenscans, Burp Intruder für die benutzerdefinierte Angriffsautomatisierung und Burp AI, einen KI-gestützten Assistenten, der Angriffsideen generiert und Tests in Echtzeit steuert. Es richtet sich an einzelne Penetrationstester und kleine AppSec-Teams.
Burp Suite DAST ist der automatisierte Scanner der Enterprise-Klasse, entwickelt für AppSec-Teams mit großen Anwendungsportfolios. Er unterstützt unbegrenzte Benutzeranzahl, CI/CD-Pipeline-Integration, geplante Scans, Massenanwendungsverwaltung sowie die Bereitstellung in Eigenregie und in der Cloud. Die Preise basieren auf individuellen Angeboten von PortSwigger und richten sich nach Scanvolumen und Bereitstellungsumfang.
Abbildung 5. Preisgestaltung von Burp Suite Professional 2
Indusface war
Indusface WAS bietet ein abonnementbasiertes Preismodell mit verschiedenen Stufen, um unterschiedlichen Bedürfnissen und Budgets gerecht zu werden. Es gibt eine Advanced-Stufe für 59 US-Dollar pro App und Monat oder 599 US-Dollar pro App und Jahr. Zusätzlich gibt es die Premium- und MSSP-Edition, die jährlich individuell abgerechnet werden. (Siehe Abbildung 7).
Wenn Sie mehr über die Funktionen dieser Tools erfahren möchten, lesen Sie bitte den Abschnitt über Tools zum Scannen von Schwachstellen .
Abbildung 7. Indusface WAS Preisgestaltung 3
FAQs
Ja, es gibt mehrere Open-Source-DAST-Tools , wie beispielsweise OWASP ZAP (Zed Attack Proxy) und Arachni. Obwohl diese Tools möglicherweise nicht denselben Supportumfang und dieselben erweiterten Funktionen wie kommerzielle Lösungen bieten, können sie für Organisationen mit begrenztem Budget eine kostengünstige Alternative darstellen.
Um den Nutzen von DAST-Tools zu maximieren, sollten Organisationen ihre Testmethoden regelmäßig aktualisieren, um neuen Bedrohungen und Schwachstellen Rechnung zu tragen, DAST-Tests in den Softwareentwicklungslebenszyklus (SDLC) integrieren, identifizierte Schwachstellen priorisieren und umgehend beheben sowie in Schulungen investieren, um sicherzustellen, dass die Teammitglieder das Tool effektiv einsetzen können.
Organisationen sollten bei der Bewertung ihrer Optionen Faktoren wie ihr Budget, die spezifischen Sicherheitsanforderungen ihrer Anwendungen, das in ihrem Team vorhandene Fachwissen sowie die Skalierbarkeit und Flexibilität des DAST-Tools berücksichtigen.
Zusätzlich zu den Grundlizenzgebühren können für Organisationen weitere Kosten für Dienstleistungen wie Schulungen, Implementierung, Integration in bestehende Systeme, laufende Unterstützung und Wartung anfallen.
Referenzlinks
Seien Sie der Erste, der kommentiert
Ihre E-Mail-Adresse wird nicht veröffentlicht. Alle Felder sind erforderlich.