Top 10 Ferramentas DAST: Resultados de Benchmarking & Comparação

Como CISO, trabalhei extensivamente com ferramentas DAST. Ao avaliar as principais soluções, analisei capacidades como precisão, desempenho de deteção por gravidade e muito mais. Veja abaixo uma análise detalhada das minhas principais conclusões:

Resultados do benchmark DAST

Taxas de verdadeiros e falsos positivos

Ambientes de benchmark:

1. Holdout: Dois websites privados são usados na metodologia para avaliar a eficácia com que as ferramentas detetam vulnerabilidades em aplicações personalizadas e não públicas.

2. Holdout (sem itens informativos): Dois websites privados usados para avaliar a deteção de vulnerabilidades em aplicações personalizadas e não públicas. Uma segunda variante exclui descobertas de divulgação de informações (erros verbose, fugas de metadata) para isolar a deteção de vulnerabilidades exploráveis.

3. DVWA (Damn Vulnerable Web Application): Aplicação PHP/MySQL de código aberto para validar a deteção contra vulnerabilidades conhecidas.¹ Visa comparar ferramentas com vulnerabilidades conhecidas e validar a consistência da deteção.

4. Broken Crystals: Uma aplicação web de código aberto construída com React.² Visa avaliar a eficácia da ferramenta em vulnerabilidades comuns em aplicações com muito frontend.

Métricas-chave para avaliar ferramentas DAST:

1. Cobertura de vulnerabilidades: Quantas vulnerabilidades reais a ferramenta encontra corretamente. (Maior cobertura significa menos pontos cegos na sua segurança.)

Fórmula = verdadeiros positivos (ou seja, vulnerabilidades de segurança corretamente identificadas) / número total de vulnerabilidades.

2. Taxa de Falsos Positivos Invertida: A proporção de descobertas que não são falsos alarmes. Garante que as equipas de segurança não percam tempo a investigar problemas que não são reais. (Invertemos a taxa para que mais alto seja sempre melhor.)

Fórmula = 1 − (Falsos Positivos ÷ Total de Descobertas).

As nossas recomendações

Com base no nosso benchmark, recomendamos que as empresas:

Tornem o DAST parte de cada ciclo de lançamento: Executar scans após cada lançamento deteta vulnerabilidades recorrentes antes que cheguem à produção.

Não dependam apenas do DAST: Complemente-o com SAST para análise ao nível do código, IAST para monitorização em runtime e testes manuais para falhas lógicas complexas.

Equilibrem velocidade com precisão: As ferramentas mais úteis revelam as vulnerabilidades certas rapidamente com orientações claras de remediação, não a lista mais longa de descobertas.

Análise aprofundada do benchmark holdout

Analisámos os resultados holdout em detalhe, indo além da deteção para a priorização e relatórios:

Desempenho de deteção de vulnerabilidades importantes

Vulnerabilidades classificadas como informativas (ex.: mensagens verbose, fugas de metadata) foram excluídas da análise para focar apenas em vulnerabilidades críticas que podem impactar a segurança.

Relatórios e outras funcionalidades

• Tempo de scan: A velocidade é crucial quando os scans DAST são integrados em pipelines CI/CD. Um scan lento pode atrasar os ciclos de desenvolvimento e desencorajar o uso frequente.
• Sugestões de remediação: Ferramentas com sugestões de remediação podem fornecer orientação acionável e de alta qualidade para ajudar os developers a resolver problemas de segurança rapidamente. (Nota: ainda não avaliamos formalmente a qualidade das sugestões de remediação.)
• Qualidade do relatório: Classificámos a qualidade do relatório como alta, média ou baixa com base na nossa experiência com as ferramentas DAST testadas. Relatórios de alta qualidade eram bem estruturados, fáceis de ler e forneciam insights claros.

Deteção de vulnerabilidades por gravidade

Ferramentas com taxas de deteção mais altas (ex.: HCL AppScan com 75%) são mais eficazes.

• Vulnerabilidades críticas: Problemas graves (ex.: execução remota de código) que precisam de atenção imediata.
• Vulnerabilidades altas, médias e baixas: Problemas de alta gravidade precisam de ação urgente, enquanto média e baixa são menos críticos.
• Melhor prática: Problemas não críticos (ex.: configurações inseguras) que melhoram a higiene de segurança.
• Informativa: Problemas não exploráveis (ex.: erros verbose) que são de baixa prioridade.

Precisão de priorização

Uma pontuação de 100% não significa que todas as vulnerabilidades foram detetadas. Indica que, entre as vulnerabilidades detetadas, todas foram priorizadas corretamente.

Metodologia do benchmark

Conjunto holdout: Configurámos 2 websites:

• Um com todas as vulnerabilidades do OWASP top 10 incluídas deliberadamente, como Injeção de SQL.
• O outro não incluía vulnerabilidades importantes.

Os websites não são públicos. Mantemo-los como um conjunto holdout para garantir que os fornecedores não os usam para melhorar as suas ferramentas DAST, o que anularia o propósito do benchmark: medir o desempenho destas ferramentas em aplicações do mundo real.

Soluções DAST participantes: Para produzir os resultados do benchmark, nós:

• Obtivemos acesso a 6 soluções DAST de topo.
• Usámos cada ferramenta como um scanner web DAST para executar testes de benchmark com a configuração para detetar o OWASP Top 10.

As soluções DAST usadas no conjunto holdout estão listadas abaixo:

• Acunetix by Invicti versão mais recente em Junho/2024
• HCL AppScan Standard 10.5.0
• Qualys WAS versão mais recente em Outubro/2024
• Netsparker by Invicti versão mais recente em Junho/2024
• Tenable Nessus 10.7.4
• ZAP 2.15.0

DVWA e Broken Crystals:

Os resultados foram retirados do benchmark do Pentest-Tools.com.³

Próximos passos

Planeamos adicionar resultados de benchmark de código aberto, incluindo o OWASP Benchmark Project (uma suite de testes Java para avaliar precisão, cobertura e velocidade). Estamos ativamente à procura de incluir as seguintes ferramentas em futuras execuções de benchmark:

• Checkmarx DAST
• Contrast Assess
• Indusface WAS
• PortSwigger Burp Suite

Porque estamos a executar benchmarks DAST?

As empresas dependem do DAST para manter os seus dados e aplicações seguros como parte da sua estratégia de cibersegurança. No entanto, as métricas mais importantes sobre uma ferramenta DAST, como a taxa de falsos positivos, não estão disponíveis.

As empresas devem executar uma Prova de Conceito (PoC) antes de adotar ferramentas DAST, no entanto as PoCs não são perfeitas:

• As aplicações testadas durante a PoC podem não ter certas vulnerabilidades e, como resultado, as empresas podem não compreender todas as capacidades das ferramentas na sua PoC.

• As PoCs são dispendiosas, as empresas podem não cobrir todas as ferramentas DAST na sua PoC e perder a solução que melhor se adapta ao seu negócio.

Rever os resultados do benchmark e selecionar a sua lista restrita de fornecedores para a PoC pode ajudar as empresas a identificar a solução ideal para as suas aplicações.

Critérios padronizados para avaliar scanners de vulnerabilidades web

Veja abaixo alguns dos critérios que usámos e a justificação para os selecionar:

• Taxa de verdadeiros positivos: A deteção automatizada de vulnerabilidades é a principal função de uma ferramenta DAST. É crítico que os scanners automatizados de segurança de aplicações web identifiquem vulnerabilidades nas aplicações.

• Taxa de falsos positivos: Falsos positivos reduzem a confiança nas soluções DAST e atrasam as equipas de segurança. No gráfico, queríamos colocar as soluções de maior desempenho no canto superior direito, por isso invertemos a taxa de falsos positivos.

• Precisão de priorização é crítica para a priorização. Sem ela, as equipas de segurança podem perder-se numa longa lista de vulnerabilidades.

Como as empresas devem executar PoCs de DAST?

Recomendamos,

• Usar uma ampla variedade de aplicações para ver como diferentes ferramentas se comportam em diferentes cenários.

• Incluir alvos de benchmark que se assemelhem o mais possível às aplicações-alvo finais da organização.

Top 10 ferramentas DAST comparadas

Os insights das avaliações vêm do ⁵ e ⁶

Aqui listamos soluções DAST pagas e gratuitas. Se está apenas interessado em soluções gratuitas, veja ferramentas DAST gratuitas.

Cobertura de scan

• Detetar XSS: Identifica vulnerabilidades onde atacantes injetam scripts maliciosos que podem roubar dados ou sequestrar sessões de utilizadores.
• Detetar injeção de SQL: Deteta falhas onde atacantes manipulam queries SQL para aceder ou modificar uma base de dados.
• OAuth 2.0: Avalia a segurança dos fluxos de autorização OAuth 2.0, para garantir um controlo de acesso adequado.
• Detetar injeção de comandos: Deteta vulnerabilidades onde atacantes injetam e executam comandos arbitrários no servidor ou sistema.

Invicti

Invicti é uma ferramenta de teste dinâmico de segurança de aplicações (DAST) e teste interativo de segurança de aplicações (IAST) projetada para identificar vulnerabilidades em aplicações web e APIs.

Esta abordagem dupla permite que o Invicti realize scans precisos e em tempo real tanto de aplicações em execução como do seu código, fornecendo insights mais profundos sobre potenciais vulnerabilidades.

Suporta uma ampla gama de testes de segurança, incluindo verificações para:

• Injeção de SQL
• XSS (cross-site scripting, uma vulnerabilidade web)
• Vulnerabilidades relacionadas com API

Pontos fortes

• Scan de linha de base e incremental: Uma das capacidades diferenciadoras do Invicti é o seu scan de linha de base para avaliações iniciais de vulnerabilidades e scan incremental para focar em novas alterações. Esta abordagem otimiza a monitorização contínua em comparação com outras ferramentas que dependem apenas de scans completos e estáticos.
• Integração CI/CD: Integra-se perfeitamente com pipelines CI/CD, permitindo scans de segurança automatizados durante o processo de desenvolvimento.

Pontos fracos

• Falsos positivos e análise de vulnerabilidades: Embora o Invicti tenha um bom desempenho na deteção de vulnerabilidades, há margem para melhorias na sua análise de falsos positivos e nas bibliotecas de análise de vulnerabilidades em geral. A taxa atual de falsos positivos de 23% significa que as equipas de segurança podem ainda precisar de gastar tempo a validar resultados.
• Cobertura limitada para API GraphQL: Embora o Invicti seja uma ferramenta forte para scanear vários tipos de vulnerabilidades, a sua cobertura para segurança de API GraphQL é menos extensa em comparação com outras soluções de teste de API especializadas. É eficaz a testar APIs, incluindo REST, SOAP e GraphQL, sem exigir configuração adicional. No entanto, é menos eficaz a testar lógica de negócio complexa ou a fornecer uma análise aprofundada para APIs GraphQL em comparação com outras ferramentas projetadas especificamente para esses casos de uso.
• Especificidade dos relatórios: A especificidade dos relatórios gerados pelo Invicti poderia ser melhorada fornecendo informação contextual mais detalhada, orientação de remediação mais clara e melhor clareza de priorização.

PortSwigger Burp Suite

O Burp Suite suporta tanto Testes Dinâmicos de Segurança de Aplicações (DAST) automatizados como manuais. No nosso benchmark, alcançou 29% de cobertura de vulnerabilidades críticas, tornando-o eficaz tanto para testes de vulnerabilidade automatizados como manuais.

Disponível em diferentes edições, incluindo as edições Professional, Enterprise e Community.

A edição community pode scanear ou rastrear aplicações web interna ou externamente, enquanto a versão paga fornece capacidades adicionais para empresas que procuram uma ferramenta mais complexa.

Pontos fortes

• Precisão: No nosso benchmark, o Burp Suite mostrou uma taxa de falsos positivos de 15%, que é inferior em comparação com outras ferramentas como o Invicti, que teve uma taxa de falsos positivos de 23%.
• Configuração simples: O processo de configuração é simples e fácil de usar.

Pontos fracos

• Alto uso de memória: Durante os scans, particularmente com aplicações maiores, o Burp Suite usa memória significativa, o que impacta o desempenho.
• Integrações limitadas: O Burp Suite carece de integrações mais extensas com ferramentas como Jenkins para automatizar scans DAST, limitando a sua utilidade em fluxos de trabalho de integração contínua/implantação contínua (CI/CD).
• Qualidade do relatório: O Burp Suite teve baixa qualidade de relatório. E a orientação de remediação fornecida foi muitas vezes demasiado genérica.

InsightVM Rapid7

Melhor para: Identificar e rastrear vulnerabilidades

O InsightVM não é uma ferramenta DAST. É uma plataforma de gestão de vulnerabilidades que avalia riscos em ambientes de TI usando a pesquisa de vulnerabilidades da Rapid7, dados globais de atacantes e scan de internet. Integra-se com o Metasploit para confirmação de exploits e fornece monitorização em tempo real de ativos cloud, virtuais e de containers.

Pontos fortes

• Gestão e rastreamento de vulnerabilidades: Fornece avaliações de ativos em tempo real para ambientes cloud, virtuais e de containers, integrando-se com o Metasploit para confirmação de exploits.
• Avaliação de risco e priorização: A plataforma usa pontuações de risco do mundo real para priorizar vulnerabilidades e suporta gestão baseada em agentes para aplicação eficiente de patches.

Pontos fracos

• Alto consumo de memória: Durante os scans, especialmente com ambientes grandes, o InsightVM pode consumir muita memória, o que pode impactar o desempenho do sistema e levar a problemas de estabilidade.
• Interface Gráfica do Utilizador (GUI) imatura: A GUI é inconsistente e carece de maturidade, tornando a navegação e configuração mais difíceis para os utilizadores, especialmente aqueles sem experiência técnica.
• Construtor de queries limitado: O construtor de queries é limitado, impedindo a personalização de queries ou relatórios complexos, tornando a extração de dados e a configuração de relatórios mais desafiante.
• Correções de bugs atrasadas: Bugs em verificações de vulnerabilidades complexas podem demorar muito tempo a serem resolvidos, atrasando as avaliações de vulnerabilidades e os esforços de remediação.

O lançamento da plataforma em fevereiro de 2026 reduziu a utilização de memória da Consola de Segurança e otimizou o manuseamento de conteúdo de vulnerabilidades e a gestão de scans, abordando a fraqueza de longa data de consumo de memória da plataforma. Uma vulnerabilidade de validação de assinatura que afetava o componente Exposure Analytics baseado na cloud foi corrigida sem necessidade de ação do cliente.⁷

Veja mais dos nossos benchmarks e insights baseados em dados na Pesquisa Google.

Adicionar como fonte preferencial

Tenable Nessus Professional

Melhor para: Scan de rede

Tenable Nessus Professional é focado principalmente em scan de vulnerabilidades de rede em vez de testes tradicionais de segurança de aplicações web.

Realiza scans agentless e avaliativos para avaliar vulnerabilidades em ativos de rede, tornando-o adequado para organizações que precisam de avaliações de segurança abrangentes dos seus ambientes de TI.

Não se especializa em segurança de aplicações web, mas fornece atualizações frequentes para identificar as vulnerabilidades mais recentes e inclui recomendações de remediação.

Para aqueles que necessitam de funcionalidades de scan de nível mais empresarial, como scan de aplicações web e scan de superfície de ataque externa, a Tenable oferece o Nessus Expert como uma opção de nível superior.

Discutimos preços de ferramentas DAST e mais no artigo “Preços de DAST: Comparação de Taxas de Fornecedores”.

Pontos fortes

• Scan de rede: Oferece scans agentless e avaliativos para avaliações completas numa variedade de ativos.
• Abordagem de implementação dupla: O Nessus suporta soluções de scan baseadas em agentes e em credenciais, fornecendo flexibilidade dependendo das necessidades da organização.

Pontos fracos

• Duração e resultados de scan inconsistentes: Variabilidade na duração do scan e inconsistência nos resultados, o que pode afetar a fiabilidade da ferramenta em ambientes grandes ou complexos.

Se já está a usar o Tenable Nessus e procura alternativas, pode ler o nosso artigo “Alternativas ao Tenable Nessus”.

HCL AppScan

Melhor para: Gestão de vulnerabilidades de aplicações de nível empresarial

A suite AppScan inclui vários produtos (AppScan on Cloud, AppScan 360, AppScan Standard, AppScan Source e AppScan Enterprise). 

O HCL AppScan inclui capacidades de integração com vários ambientes de desenvolvimento e deployment, relatórios de conformidade regulamentar e personalização através do AppScan Extension Framework. 

Pontos fortes

• Precisão: Entre os 2 melhores desempenhos no nosso benchmark DAST, o HCL AppScan demonstrou:
  • Alta taxa de verdadeiros positivos: 66% para vulnerabilidades críticas.
  • Baixa taxa de falsos positivos: 2% de taxa de falsos positivos.
  • Alta precisão na atribuição de gravidade aos problemas: Demonstrou 60% de precisão na atribuição do nível de gravidade correto às vulnerabilidades.

Pontos fracos

• Painel e relatórios: As secções do painel e visão geral nos relatórios ficam atrás das de outras ferramentas DAST comerciais.
• Integração limitada com containers: Não é uma boa opção para aplicações em containers em certos ambientes.
• Integração CI/CD: Não é uma ferramenta eficaz para integração CI/CD contínua devido a restrições de licenciamento.
• Duração do scan lenta: O HCL AppScan teve o maior tempo de scan no nosso benchmark.

NowSecure

Melhor para: Scan de apps móveis

NowSecure DAST está focado apenas em testes de aplicações móveis; não fornece testes de aplicações web.

Como o mercado de scan de apps móveis é limitado, poucas ferramentas são focadas exclusivamente em scan de apps móveis. NowSecure pode ser uma opção adequada para empresas que:

• Testam apenas aplicações móveis.
• Podem pagar uma ferramenta dedicada para scan de apps móveis.

Pontos fortes

• Scan de apps móveis: Suporta scan automatizado para aplicações móveis.

Pontos fracos

• Testes complexos e intervenção manual: Alguns cenários de teste requerem intervenção manual, especialmente para fluxos de login personalizados ou configurações complexas de apps móveis.
• Limitações de personalização: As opções de personalização para relatórios e configurações de teste específicas são limitadas.
• Duração do scan: As durações dos scans podem ser longas.

Checkmarx DAST

Melhor para: Segurança de aplicações em ambientes CI/CD acelerados

Checkmarx DAST pode ser implementado on-prem, híbrido ou cloud. Oferece deteção de injeção de SQL e deteção de XSS.

Checkmarx DAST faz parte da plataforma Checkmarx One, que consolida várias ferramentas de segurança de aplicações (como SAST, Segurança de API, Segurança de Containers, etc.) numa única plataforma.

Pontos fortes

• Rastreamento de vulnerabilidades: Categoriza vulnerabilidades por risco associado e suporta delta-scanning para re-scanear apenas código alterado.
• Amplitude da plataforma: Plataforma única para SAST, DAST, scan de API, SCA e segurança de containers.

Pontos fracos

• Falsos Positivos: Alto número de falsos positivos, especialmente em bases de código de aplicações grandes.
• Limitações de personalização: As opções de personalização são limitadas, particularmente em termos de relatórios personalizados e criação de novos widgets para o painel.
• Integração complexa com Jenkins: Embora o Checkmarx se integre com pipelines CI/CD, o trecho de código para Jenkins é difícil de implementar.

Indusface WAS

Melhor para: Testes de segurança de aplicações web

O Indusface DAST fornece funcionalidades de Web Application Firewall (WAF) baseadas na cloud. Indusface WAS não pode ser implementado on-prem, o que pode ser visto como um ponto negativo se os utilizadores desejarem evitar o uso de serviços cloud.

Pontos fortes

• Cobertura de scan: Combina scan de segurança de aplicações web com vulnerabilidades ao nível do SO e scan de malware.
• Scan automatizado e manual: A plataforma suporta tanto scans automatizados como VAPT manual (Avaliação de Vulnerabilidades e Testes de Penetração).

Pontos fracos

• Interface do Utilizador (UI) precisa de melhorias: O layout e a navegação da UI podem ser melhorados para um acesso mais fácil a relatórios de segurança e funcionalidades de scan.
• Personalização limitada: Carece de opções de personalização para testes de segurança mais adaptados.
• Duração do scan: O processo de scan é mais lento para aplicações de grande escala.

Contrast Assess

Melhor para: Analisar vulnerabilidades diretamente em aplicações em execução

A ferramenta da Contrast Security, Contrast Assess, usa principalmente uma abordagem de Teste Interativo de Segurança de Aplicações (IAST).

Pontos fortes

• Abordagem IAST: Correlaciona descobertas de métodos SAST e DAST, reduzindo falsos positivos e identificando vulnerabilidades tanto em código personalizado como em bibliotecas de código aberto.
• Explicações de vulnerabilidades: Cada descoberta inclui risco, causa raiz e detalhe de remediação.
• Integração CI/CD: Integra-se de forma limpa em pipelines existentes.

Pontos fracos

• Suporte de linguagem limitado: O suporte a testes IAST para aplicações legadas ou linguagens de programação mais antigas é algo limitado.
• Falsos Positivos/Negativos: Falsos positivos e falsos negativos são reportados, exigindo verificação manual e ajustes.

OWASP ZAP

Melhor para: Segurança de aplicações web de código aberto

Uma ferramenta gratuita e de código aberto, o ZAP é altamente personalizável e suporta aplicações web e APIs. É amplamente usado em pipelines DevSecOps e CI/CD. Embora não tenha o mesmo nível de teste de lógica de negócio que outros, ainda é uma ferramenta sólida que pode ser melhorada com plugins e integrações.

Atua como um proxy man-in-the-middle, permitindo-lhe intercetar e inspecionar mensagens enviadas entre um navegador e um servidor web para encontrar falhas de segurança em tempo real.

Pontos fortes

• Facilidade de uso: Tem uma interface de utilizador básica bem estruturada.
• Integrações: Integra-se facilmente com ferramentas CI/CD como Jenkins. Também se integra com ferramentas DevSecOps como DefectDojo.⁸
• Eficiência de pentesting: Eficaz para testes de penetração, combinando funcionalidades de teste manual e automatizado para identificar vulnerabilidades.

Pontos fracos

• Falsos positivos: Sinaliza problemas não exploráveis como vulnerabilidades durante testes automatizados.
• Documentação deficiente: A documentação é insuficiente.
• Âmbito limitado: carece de funcionalidades de automação como scan dinâmico de API. Também não suporta totalmente aplicações em containers.

O roadmap do ZAP inclui integração de IA, integrações expandidas com ferramentas de terceiros e capacidades de exploração melhoradas. O ZAP também adicionou deteção de ciclo GraphQL (risco de denial-of-service) em lançamentos recentes.⁹

Perguntas frequentes

Cite este benchmark

Escolha o formato adequado ao local onde você vai publicar. Colar a versão com link no seu CMS preserva o backlink.

@misc{hafa2026,
  author = {Hafa, Adil},
  title  = {{Top 10 Ferramentas DAST: Resultados de Benchmarking & Comparação}},
  year   = {2026},
  month  = feb,
  howpublished    = {\url{https://aimultiple.com/dast-tools}},
  note   = {AIMultiple. Acessado em 27 Fevereiro 2026}
}

Links de referência

1.

GitHub - digininja/DVWA: Damn Vulnerable Web Application (DVWA) · GitHub

2.

GitHub - NeuraLegion/brokencrystals: A Broken Application - Very Vulnerable! · GitHub

3.

Benchmarking our Website Vulnerability Scanner and 5 others | Pentest-Tools.com Blog

Pentest-Tools.com

4.

Bewertungen von Geschäftssoftware und -diensten | G2

5.

Capterra: Find The Right Software

Capterra

6.

February 2026 Release Notes | Insight Platform Administration Documentation

7.

ZAP – Third Party Products and Services

8.

ZAP – ZAP Updates - 2025 Highlights and Plans for 2026

9.

ZAP – ZAP Updates - 2025 Highlights and Plans for 2026

Adil Hafa

Consultor Técnico

Siga-nos

Adil é um especialista em segurança com mais de 16 anos de experiência em defesa, varejo, finanças, câmbio, pedidos de comida e governo.

Ver perfil completo

Seja o primeiro a comentar

Seu endereço de e-mail não será publicado. Todos os campos são obrigatórios. Os comentários são deixados em seu idioma original.

Nome

Endereço de email

Comentário

0/450

Postar comentário