Top 10 Ferramentas DAST: Resultados de Benchmarking & Comparação

Como CISO, trabalhei extensivamente com ferramentas DAST. Ao avaliar as principais soluções, revisei capacidades como precisão, desempenho de detecção por gravidade e muito mais. Veja abaixo uma análise detalhada das minhas principais conclusões:

Resultados do benchmark DAST

Taxas de verdadeiros e falsos positivos

Ambientes de benchmark:

1. Holdout: Dois sites construídos internamente são usados na metodologia para avaliar quão efetivamente as ferramentas detectam vulnerabilidades em aplicações personalizadas e não públicas.

2. Holdout (sem itens de informação): Dois sites construídos internamente usados para avaliar a detecção de vulnerabilidades em aplicações personalizadas e não públicas. Uma segunda variante exclui descobertas de divulgação de informações (erros verbosos, vazamentos de metadados) para isolar a detecção de vulnerabilidades exploráveis.

3. DVWA (Damn Vulnerable Web Application): Aplicação open-source PHP/MySQL para validar a detecção contra vulnerabilidades conhecidas.¹ Tem como objetivo fazer benchmark das ferramentas contra vulnerabilidades conhecidas e validar a consistência da detecção.

4. Broken Crystals: Um aplicativo web open-source construído com React.² Tem como objetivo avaliar a eficácia das ferramentas em vulnerabilidades comuns em aplicações com foco em frontend.

Métricas principais para avaliar ferramentas DAST:

1. Cobertura de vulnerabilidades: Quantas vulnerabilidades reais a ferramenta encontra corretamente. (Maior cobertura significa menos pontos cegos na sua segurança.)

Fórmula = verdadeiros positivos (ou seja, vulnerabilidades de segurança identificadas corretamente) / número total de vulnerabilidades.

2. Taxa de Falsos Positivos Invertida: A parcela de descobertas que não são falsos alarmes. Garante que as equipes de segurança não percam tempo perseguindo problemas que não são reais. (Invertemos a taxa para que valores mais altos sejam sempre melhores.)

Fórmula = 1 − (Falsos Positivos ÷ Total de Descobertas).

Nossas recomendações

Com base em nosso benchmark, recomendamos que as empresas:

Tornem o DAST parte de cada ciclo de lançamento: Executar varreduras após cada lançamento captura vulnerabilidades recorrentes antes que elas cheguem à produção.

Não confie apenas no DAST: Complemente-o com SAST para análise em nível de código, IAST para monitoramento em tempo de execução e testes manuais para falhas de lógica complexas.

Equilibre velocidade com precisão: As ferramentas mais úteis destacam as vulnerabilidades certas rapidamente com orientações claras de correção, não a lista mais longa de descobertas.

Análise aprofundada do benchmark Holdout

Analisamos os resultados do holdout em detalhes, indo além da detecção para priorização e relatórios:

Desempenho de detecção de vulnerabilidades importantes

Vulnerabilidades classificadas como informativas (por exemplo, mensagens verbosas, vazamentos de metadados) foram excluídas da análise para focar apenas em vulnerabilidades críticas que poderiam impactar a segurança.

Relatórios e outros recursos

• Tempo de varredura: A velocidade é crucial quando as varreduras DAST são integradas em pipelines CI/CD. Uma varredura lenta pode atrasar ciclos de desenvolvimento e desencorajar o uso frequente.
• Sugestões de correção: Ferramentas com sugestões de correção podem fornecer orientações acionáveis e de alta qualidade para ajudar os desenvolvedores a resolver problemas de segurança rapidamente. (Nota: ainda não avaliamos formalmente a qualidade das sugestões de correção.)
• Qualidade do relatório: Avaliamos a qualidade do relatório como alto, médio ou baixo com base em nossa experiência com as ferramentas DAST testadas. Relatórios de alta qualidade eram bem estruturados, fáceis de ler e forneciam insights claros.

Detecção de vulnerabilidades por gravidade

Ferramentas com taxas de detecção mais altas (por exemplo, HCL AppScan com 75%) são mais eficazes.

• Vulnerabilidades críticas: Problemas graves (por exemplo, execução remota de código) que precisam de atenção imediata.
• Vulnerabilidades altas, médias e baixas: Problemas de alta gravidade exigem ação urgente, enquanto os de média e baixa são menos críticos.
• Melhor prática: Problemas não críticos (por exemplo, configurações inseguras) que melhoram a higiene de segurança.
• Informativo: Problemas não exploráveis (por exemplo, erros verbosos) que são de baixa prioridade.

Precisão de priorização

Uma pontuação de 100% não significa que todas as vulnerabilidades foram detectadas. Indica que, entre as vulnerabilidades detectadas, todas foram priorizadas corretamente.

Metodologia de benchmark

Conjunto de holdout: Configuramos 2 sites:

• Um com todas as vulnerabilidades OWASP top 10 incluídas deliberadamente, como SQL Injection.
• O outro não incluía vulnerabilidades importantes.

Os sites não são públicos. Os mantemos como um conjunto de holdout para garantir que os fornecedores não os usem para melhorar suas ferramentas DAST, o que anularia o propósito do benchmark: medir o desempenho dessas ferramentas em aplicações do mundo real.

Soluções DAST participantes: Para produzir resultados de benchmark, nós:

• Obtivemos acesso a 6 principais soluções DAST.
• Usamos cada ferramenta como um scanner DAST web para executar testes de benchmark com a configuração para detectar OWASP Top 10.

Soluções DAST usadas no conjunto de holdout estão listadas abaixo:

• Acunetix pela versão mais recente da Invicti em junho/2024
• HCL AppScan Standard 10.5.0
• Qualys WAS' versão mais recente em outubro/2024
• Netsparker pela versão mais recente da Invicti em junho/2024
• Tenable Nessus 10.7.4
• ZAP 2.15.0

DVWA e Broken Crystals:

Os resultados foram retirados do benchmark do Pentest-Tools.com.³

Próximos passos

Planejamos adicionar resultados de benchmark open-source, incluindo o OWASP Benchmark Project (um conjunto de testes Java para avaliar precisão, cobertura e velocidade). Estamos ativamente buscando incluir as seguintes ferramentas em futuras execuções de benchmark:

• Checkmarx DAST
• Contrast Assess
• Indusface WAS
• PortSwigger Burp Suite

Por que estamos executando benchmarks DAST?

As empresas dependem do DAST para manter seus dados e aplicações seguros como parte de sua estratégia de cibersegurança. No entanto, as métricas mais importantes sobre uma ferramenta DAST, como a taxa de falsos positivos, não estão disponíveis.

As empresas devem executar uma Prova de Conceito (PoC) antes de adotar ferramentas DAST, no entanto, as PoCs não são perfeitas:

• Aplicações testadas durante a PoC podem não ter certas vulnerabilidades e, como resultado, as empresas podem não entender as capacidades completas das ferramentas em sua PoC.

• As PoCs são caras, as empresas podem não cobrir todas as ferramentas DAST em sua PoC e perder a solução mais adequada para seus negócios.

Revisar os resultados do benchmark e selecionar sua lista curta de fornecedores para a PoC pode ajudar as empresas a identificar a solução ideal para suas aplicações.

Critérios padronizados para avaliar scanners de vulnerabilidade web

Veja abaixo alguns dos critérios que usamos e a justificativa para selecioná-los:

• Taxa de verdadeiros positivos: A detecção automatizada de vulnerabilidades é a principal função de uma ferramenta DAST. É crítico que scanners automatizados de segurança de aplicações web identifiquem vulnerabilidades em aplicações.

• Taxa de falsos positivos: Falsos positivos reduzem a confiança nas soluções DAST e atrasam as equipes de segurança. No gráfico, queríamos colocar as soluções de melhor desempenho no canto superior direito, portanto invertemos a taxa de falsos positivos.

• Precisão de priorização é crítica para priorização. Sem isso, as equipes de segurança podem se perder em uma grande lista de vulnerabilidades.

Como as empresas devem executar PoCs DAST?

Recomendamos,

• Usar uma ampla variedade de aplicações para ver como diferentes ferramentas se desempenham em diferentes cenários.

• Incluir alvos de benchmarking que se assemelhem o mais possível às aplicações finais da organização.

Top 10 ferramentas DAST comparadas

Insights de avaliação vêm de ⁵ e ⁶

Aqui listamos soluções DAST pagas e gratuitas. Se você está interessado apenas em soluções gratuitas, confira as ferramentas DAST gratuitas.

Cobertura de varredura

• Detectar XSS: Identifica vulnerabilidades onde atacantes injetam scripts maliciosos que podem roubar dados ou sequestrar sessões de usuário.
• Detectar injeção SQL: Detecta falhas onde atacantes manipulam consultas SQL para acessar ou modificar um banco de dados.
• OAuth 2.0: Avalia a segurança dos fluxos de autorização OAuth 2.0, para garantir o controle de acesso adequado.
• Detectar injeção de comando: Detecta vulnerabilidades onde atacantes injetam e executam comandos arbitrários no servidor ou sistema.

Invicti

Invicti é uma ferramenta de teste de segurança de aplicações dinâmico (DAST) e teste de segurança de aplicações interativo (IAST) projetada para identificar vulnerabilidades em aplicações web e APIs.

Essa abordagem dupla permite que o Invicti execute varreduras em tempo real e precisas de aplicações em execução e de seu código, fornecendo insights mais profundos sobre vulnerabilidades potenciais.

Ele suporta uma ampla gama de testes de segurança, incluindo verificações para:

• Injeção SQL
• XSS (cross-site scripting, uma vulnerabilidade web)
• Vulnerabilidades relacionadas a API

Pontos fortes

• Varredura de base e incremental: Uma das capacidades diferenciadoras do Invicti é sua varredura de base para avaliações iniciais de vulnerabilidades e varredura incremental para focar em novas alterações. Essa abordagem otimiza o monitoramento contínuo em comparação com algumas outras ferramentas que dependem apenas de varreduras completas e estáticas.
• Integração CI/CD: Integra-se perfeitamente com pipelines CI/CD, permitindo varreduras de segurança automatizadas durante o processo de desenvolvimento.

Pontos fracos

• Falsos positivos e análise de vulnerabilidades: Embora o Invicti se saia bem na detecção de vulnerabilidades, há espaço para melhoria em sua análise de falsos positivos e bibliotecas gerais de análise de vulnerabilidades. A taxa atual de falsos positivos de 23% significa que as equipes de segurança ainda podem precisar gastar tempo validando resultados
• Cobertura limitada para API GraphQL: Embora o Invicti seja uma ferramenta forte para varredura de vários tipos de vulnerabilidades, sua cobertura para segurança de API GraphQL é menos extensa em comparação com outras soluções especializadas de teste de API. É eficaz no teste de APIs, incluindo REST, SOAP e GraphQL, sem exigir configuração adicional. No entanto, é menos eficaz no teste de lógica de negócios complexa ou fornecendo análise aprofundada para APIs GraphQL em comparação com outras ferramentas projetadas especificamente para esses casos de uso.
• Especificidade dos relatórios: A especificidade dos relatórios gerados pelo Invicti poderia ser melhorada fornecendo informações contextuais mais detalhadas, orientações de correção mais claras e melhor clareza de priorização.

PortSwigger Burp Suite

Melhor para: Pentesting

Burp Suite suporta teste de segurança de aplicações dinâmico (DAST) automatizado e manual). Em nosso benchmark, ele alcançou 29% de cobertura de vulnerabilidades críticas, tornando-o eficaz para testes de vulnerabilidade automatizados e manuais.

Disponível em diferentes edições, incluindo as edições Professional, Enterprise e Community.

A edição community pode varrer ou rastrear aplicativos web interna ou externamente, enquanto a versão paga fornece capacidades adicionais para empresas que buscam uma ferramenta mais complexa.

Pontos fortes

• Precisão: Em nosso benchmark, o Burp Suite mostrou uma taxa de falsos positivos de 15%, que é menor em comparação com outras ferramentas como o Invicti, que teve uma taxa de falsos positivos de 23%.
• Configuração Simples: O processo de configuração é simples e amigável.

Pontos fracos

• Alto uso de memória: Durante as varreduras, particularmente com aplicações maiores, o Burp Suite usa memória significativa, o que impacta o desempenho.
• Integrações limitadas: O Burp Suite carece de integrações mais extensas com ferramentas como Jenkins para automatizar varreduras DAST, limitando sua utilidade em fluxos de trabalho de integração contínua/implantação contínua (CI/CD).
• Qualidade do relatório: O Burp Suite teve baixa qualidade de relatório. E, as orientações de correção fornecidas eram frequentemente muito gerais.

Não perca os nossos benchmarks e insights baseados em dados. O botão abre o Google; selecionar a AIMultiple confirma que deseja ver a AIMultiple com mais frequência nos resultados de pesquisa do Google.

Adicionar como fonte preferencial

InsightVM Rapid7

Melhor para: Identificação e rastreamento de vulnerabilidades

InsightVM não é uma ferramenta DAST. É uma plataforma de gerenciamento de vulnerabilidades que avalia riscos em ambientes de TI usando pesquisa de vulnerabilidades da Rapid7, dados de atacantes globais e varredura da internet. Integra-se com Metasploit para confirmação de exploração e fornece monitoramento em tempo real de ativos em nuvem, virtuais e de contêiner.

Pontos fortes

• Gerenciamento e rastreamento de vulnerabilidades: Fornece avaliações de ativos em tempo real para ambientes em nuvem, virtuais e de contêiner, integrando-se com Metasploit para confirmação de exploração.
• Avaliação de risco e priorização: A plataforma usa pontuações de risco do mundo real para priorizar vulnerabilidades e suporta gerenciamento baseado em agente para correção eficiente.

Pontos fracos

• Alto consumo de memória: Durante as varreduras, especialmente com grandes ambientes, o InsightVM pode consumir muita memória, o que pode impactar o desempenho do sistema e levar a problemas de estabilidade.
• Interface Gráfica do Usuário (GUI) imatura: A GUI é inconsistente e carece de maturidade, tornando a navegação e configuração mais difíceis para os usuários, especialmente aqueles sem experiência técnica.
• Construtor de consultas limitado: O construtor de consultas é limitado, impedindo a personalização de consultas ou relatórios complexos, tornando a extração de dados e configuração de relatórios mais desafiadora.
• Correções de bugs atrasadas: Bugs em verificações de vulnerabilidade complexas podem levar muito tempo para serem resolvidos, atrasando avaliações de vulnerabilidade e esforços de correção.

A versão da plataforma de fevereiro de 2026 reduziu a utilização de memória do Security Console e otimizou o tratamento de conteúdo de vulnerabilidade e gerenciamento de varredura, abordando a fraqueza de longo prazo de consumo de memória da plataforma. Uma vulnerabilidade de validação de assinatura que afetava o componente de Análise de Exposição baseado em nuvem foi corrigida sem necessidade de ação do cliente.⁷

Tenable Nessus Professional

Melhor para: Varredura de rede

O Tenable Nessus Professional é focado principalmente em varredura de vulnerabilidade de rede em vez de teste tradicional de segurança de aplicações web.

Ele realiza varreduras sem agente e avaliativas para avaliar vulnerabilidades em ativos de rede, tornando-o adequado para organizações que precisam de avaliações de segurança abrangentes de seus ambientes de TI.

Ele não é especializado em segurança de aplicações web, mas fornece atualizações frequentes para identificar as últimas vulnerabilidades e inclui recomendações de correção.

Para aqueles que exigem recursos de varredura de nível empresarial, como varredura de aplicações web e varredura de superfície de ataque externa, a Tenable oferece o Nessus Expert como uma opção de nível superior.

Discutimos preços de ferramentas DAST e mais no artigo "Preços DAST: Comparação de Taxas de Fornecedores".

Pontos fortes

• Varredura de rede: Oferece varreduras sem agente e avaliativas para avaliações minuciosas em uma variedade de ativos.
• Abordagem de implementação dupla: O Nessus suporta soluções de varredura baseadas em agente e baseadas em credenciais, fornecendo flexibilidade dependendo das necessidades da organização.

Pontos fracos

• Duração e resultados inconsistentes da varredura: Variabilidade na duração da varredura e inconsistência nos resultados, o que pode afetar a confiabilidade da ferramenta em ambientes grandes ou complexos.

Se você já está usando o Tenable Nessus e procurando alternativas, pode ler nosso artigo "Alternativas ao Tenable Nessus".

HCL AppScan

Melhor para: Gerenciamento de vulnerabilidades de aplicações de nível empresarial

A suíte AppScan inclui vários produtos (AppScan on Cloud, AppScan 360, AppScan Standard, AppScan Source e AppScan Enterprise).

HCL AppScan inclui capacidades de integração com vários ambientes de desenvolvimento e implantação, relatórios de conformidade regulatória e personalização através do AppScan Extension Framework.

Pontos fortes

• Precisão: Entre os 2 principais desempenhos em nosso benchmark DAST, o HCL AppScan demonstrou:
  • Alta taxa de verdadeiros positivos: 66% para vulnerabilidades críticas.
  • Baixa taxa de falsos positivos: 2% de taxa de falsos positivos.
  • Alta precisão na atribuição de gravidade a problemas: Demonstrou 60% de precisão na atribuição do nível de gravidade correto para vulnerabilidades.

Pontos fracos

• Painel e relatórios: As seções de painel e visão geral nos relatórios ficam aquém das de outras ferramentas DAST comerciais.
• Integração limitada de contêineres: Não é uma boa opção para aplicações em contêiner em certos ambientes.
• Integração CI/CD: Não é uma ferramenta eficaz para integração contínua CI/CD devido a restrições de licenciamento
• Duração lenta da varredura: HCL AppScan teve o tempo de varredura mais longo em nosso benchmark.

NowSecure

Melhor para: Varredura de aplicativos móveis

O DAST NowSecure é focado apenas em teste de aplicações móveis; ele não fornece teste de aplicações web.

Como o mercado de varredura de aplicativos móveis é limitado, poucas ferramentas são focadas exclusivamente em varredura de aplicativos móveis. O NowSecure poderia ser uma opção adequada para empresas que

• Testam apenas aplicações móveis.
• Podem pagar por uma ferramenta dedicada para varredura de aplicativos móveis.

Pontos fortes

• Varredura de aplicativos móveis: Suporta varredura automatizada para aplicações móveis.

Pontos fracos

• Testes complexos e intervenção manual: Alguns cenários de teste exigem intervenção manual, especialmente para fluxos de login personalizados ou configurações complexas de aplicativos móveis.
• Limitações de personalização: Opções de personalização para relatórios e configurações de teste específicas são limitadas.
• Duração da varredura: As durações de varredura podem ser longas.

Checkmarx DAST

Melhor para: Segurança de aplicações em ambientes CI/CD de ritmo acelerado

O Checkmarx DAST pode ser implantado on-prem, híbrido ou em nuvem. Oferece detecção de injeção SQL e detecção de XSS.

O Checkmarx DAST faz parte da plataforma Checkmarx One, que consolida várias ferramentas de segurança de aplicações (como SAST, Segurança de API, Segurança de Contêiner, etc.) em uma única plataforma.

Pontos fortes

• Rastreamento de vulnerabilidades: Categoriza vulnerabilidades por risco associado e suporta varredura delta para re-varrer apenas o código alterado.
• Amplitude da plataforma: Plataforma única para SAST, DAST, varredura de API, SCA e segurança de contêiner.

Pontos fracos

• Falsos Positivos: Alto número de falsos positivos, especialmente em grandes bases de código de aplicações.
• Limitações de personalização: Opções de personalização são limitadas, particularmente em termos de relatórios personalizados e criação de novos widgets para o painel.
• Integração complexa com Jenkins: Embora o Checkmarx se integre a pipelines CI/CD, o snippet de código do Jenkins é difícil de implementar.

Indusface WAS

Melhor para: Teste de segurança de aplicações web

O Indusface DAST fornece recursos de Firewall de Aplicação Web (WAF) baseados em nuvem. O Indusface WAS não pode ser implantado on-prem, o que pode ser visto como um negativo se os usuários desejarem evitar o uso de serviços em nuvem.

Pontos fortes

• Cobertura de varredura: Combina varredura de segurança de aplicações web com vulnerabilidades em nível de sistema operacional e varredura de malware.
• Varredura automatizada e manual: A plataforma suporta tanto varreduras automatizadas quanto VAPT manual (Avaliação de Vulnerabilidade e Teste de Penetração).

Pontos fracos

• Interface do Usuário (UI) precisa de melhorias: Layout e navegação da UI podem ser aprimorados para acesso mais fácil a relatórios de segurança e recursos de varredura.
• Personalização limitada: Carece de opções de personalização para testes de segurança mais personalizados.
• Duração da varredura: O processo de varredura é mais lento para aplicações em grande escala.

Contrast Assess

Melhor para: Analisando vulnerabilidades diretamente dentro de aplicações em execução

A ferramenta da Contrast Security, Contrast Assess, usa principalmente uma abordagem de Teste de Segurança de Aplicações Interativo (IAST).

Pontos fortes

• Abordagem IAST: Correlaciona descobertas entre métodos SAST e DAST, reduzindo falsos positivos e identificando vulnerabilidades em código personalizado e bibliotecas open-source.
• Explicações de vulnerabilidades: Cada descoberta inclui risco, causa raiz e detalhes de correção.
• Integração CI/CD: Integra-se limpa em pipelines existentes.

Pontos fracos

• Suporte limitado a linguagens: O suporte a testes IAST para aplicações legadas ou linguagens de programação mais antigas é um pouco limitado.
• Falsos Positivos/Negativos: Falsos positivos e falsos negativos são relatados, exigindo verificação manual e ajustes.

OWASP ZAP

Melhor para: Segurança de aplicações web open-source

Uma ferramenta gratuita e open-source, o ZAP é altamente personalizável e suporta aplicações web e APIs. É amplamente usado em DevSecOps e pipelines CI/CD. Embora não tenha o mesmo nível de teste de lógica de negócios que outros, ainda é uma ferramenta sólida que pode ser aprimorada com plugins e integrações.

Ele atua como um proxy man-in-the-middle, permitindo que ele intercepte e inspecione mensagens enviadas entre um navegador e um servidor web para encontrar falhas de segurança em tempo real.

Pontos fortes

• Fácil de usar: Possui uma interface de usuário básica bem estruturada.
• Integrações: Integra-se facilmente com ferramentas CI/CD como Jenkins. Também se integra com ferramentas DevSecOps como DefectDojo.⁸
• Eficiência de pentesting: Eficaz para teste de penetração, combinando recursos de teste manual e automatizado para identificar vulnerabilidades.

Pontos fracos

• Falsos positivos: Sinaliza problemas não exploráveis como vulnerabilidades durante testes automatizados.
• Documentação pobre: A documentação é insuficiente.
• Escopo limitado: carece de recursos de automação como varredura de API dinâmica. Também não suporta totalmente aplicações em contêiner.

O roteiro do ZAP inclui integração de IA, integrações expandidas com ferramentas de terceiros e capacidades de exploração aprimoradas. O ZAP também adicionou detecção de ciclo GraphQL (risco de negação de serviço) em lançamentos recentes.⁹

Perguntas frequentes

Cite este benchmark

Escolha o formato adequado ao local onde você vai publicar. Colar a versão com link no seu CMS preserva o backlink.

@misc{hafa2026,
  author = {Hafa, Adil},
  title  = {{Top 10 Ferramentas DAST: Resultados de Benchmarking & Comparação}},
  year   = {2026},
  month  = feb,
  howpublished    = {\url{https://aimultiple.com/dast-tools}},
  note   = {AIMultiple. Acessado em 27 Fevereiro 2026}
}

Links de referência

1.

GitHub - digininja/DVWA: Damn Vulnerable Web Application (DVWA) · GitHub

2.

GitHub - NeuraLegion/brokencrystals: A Broken Application - Very Vulnerable! · GitHub

3.

Benchmarking our Website Vulnerability Scanner and 5 others | Pentest-Tools.com Blog

Pentest-Tools.com

4.

Bewertungen von Geschäftssoftware und -diensten | G2

5.

Capterra: Find The Right Software

Capterra

6.

February 2026 Release Notes | Insight Platform Administration Documentation

7.

ZAP – Third Party Products and Services

8.

ZAP – ZAP Updates - 2025 Highlights and Plans for 2026

9.

ZAP – ZAP Updates - 2025 Highlights and Plans for 2026

Adil Hafa

Consultor Técnico

Siga-nos

Adil é um especialista em segurança com mais de 16 anos de experiência nas áreas de defesa, varejo, finanças, câmbio, pedidos de comida e governo.

Ver perfil completo

Seja o primeiro a comentar

Seu endereço de e-mail não será publicado. Todos os campos são obrigatórios. Os comentários são deixados em seu idioma original.

Nome

Endereço de email

Comentário

0/450

Postar comentário