Was ist WACA?

image

WACA ist die Abkürzung für Web Application Configuration Analyzer und ist ein Tool, das einen Windows Server in Produktion und Pre-Production Stages gegen einige Best Practices überprüft. Die Liste der Best Practices ist abgeleitet von Microsoft-internen Standards der Microsoft Information Security & Risk Management Deployment Review Standards und Inhalten die von Microsoft Patterns & Practices, speziell Improving Web Application Security: Threats and Countermeasures. Wer WACA  Analyzer dient der Härtung von Pre-Produktions und Produktions-Umgebungen für Line-of-Business Anwendungen. Dabei wird ein Scan (ohne Agent) durchgeführt, für den der anstoßende Anwender administrative Berechtigungen auf dem Zielserver, sowie jeder SQL Instanz die auf dieser Maschine läuft. Es kann von Entwicklern verwendet werden, um sicherzustellen ob der eigene Code in einer sicheren/gehärteten Umgebung läuft.

Features:

  • Sicherheitsscan eines Servers gegen mehr als 159 Sicherheitsregeln
  • Regeln können auch unterdrückt werden, wenn man der Meinung ist diese nicht unterstützen zu können/müssen.
  • Die unterdrückten Regeln werden in einer Datei gespeichert, so dass dies Liste auch wiederverwendet werden kann.
  • Bei Änderung der unterdrückten Regeln, kann ein Report neu erstellt werden ohne dass ein neuer Scan gemacht werden muss.
  • HTML basiertes Reporting
  • Beim Reporting werden auch die unterdrückten Infomationen angezeigt, damit man sieht was allgemein Bestand, Durchgefallen oder nicht relevant war.
  • Vergleich mehrerer Reports: Man kann verschiedene Scans (mehrere Versionen einer Maschine oder einen Scan einer Maschine gegen den einer anderen) vergleichen, um die Unterschiede zu sehen
  • Reports können exportiert werden (u.a. Excel, Team Foundation Server)
  • Scan verschiedener Systeme und SQL Instanzen in einem Bulk Scan

Download: Zum Download geht es hier