Escáner de aplicaciones web (OWASP ZAP)

Ejecuta escaneos de vulnerabilidades sobre aplicaciones web. Detecta XSS, SQLi, CSRF, y cientos de otras vulnerabilidades.

1. ¿Para qué sirve?

• Escanear una URL de aplicación web en busca de vulnerabilidades.
• Detecta:
  • XSS (Cross-Site Scripting).
  • SQL Injection.
  • CSRF (Cross-Site Request Forgery).
  • Path Traversal.
  • Information disclosure.
  • Broken authentication.
  • Y mucho más.
• Reportes con severidad, evidencia y remediación.
• Programar escaneos recurrentes.
• Integración con tu pipeline CI/CD.

2. ¿Cómo se llega?

• Inicia sesión.
• Menú lateral → "OWASP ZAP" (ícono de spider).

3. Tipos de escaneo

La plataforma ofrece 4 niveles:

Tipo	Qué hace	Cuándo usarlo
Quick scan	Spider + active scan mínimo.	Smoke tests.
Standard scan	Spider + active scan estándar.	Auditar una nueva app.
Full scan	Spider profundo + todas las reglas.	Auditoría completa.
API scan	Importa OpenAPI/Swagger y escanea los endpoints.	APIs REST.

4. Lanzar un escaneo

1. Haz clic en "Nuevo escaneo".
2. Configura:
   • URL objetivo (ej. https://app.tuempresa.com).
   • Tipo (Quick, Standard, Full, API).
   • Autenticación (ninguna, formulario, bearer token, cookie).
   • Contexto (rutas a excluir: ej. /logout, /admin/delete).
   • Política de severidad (Low+, Medium+, High+, Critical only).
3. Haz clic en "Lanzar".

El escaneo corre en segundo plano. Verás el progreso y las vulnerabilidades que va encontrando en tiempo real.

Captura pendiente: 01 - Lanzar un escaneo

Imagen pendiente de incorporar.

5. Ver resultados

Ruta: OWASP ZAP → "Historial".

Columna	Significado
ID	Identificador del escaneo.
Objetivo	URL.
Tipo	Standard, Full, etc.
Inicio	Fecha y hora.
# Hallazgos	Total.
# High+	Críticos.
Estado	En curso, Exitoso, Falló.
Acciones	Ver reporte, Descargar, Re-escanear, Eliminar.

Captura pendiente: 02 - Resultados del escaneo

Imagen pendiente de incorporar.

5.1 Detalle de un hallazgo

Haz clic en un hallazgo → panel con:

• Tipo: XSS, SQLi, etc.
• Severidad: Critical / High / Medium / Low / Informational.
• CWE: clasificación.
• URL afectada.
• Parámetro vulnerable.
• Evidencia: request/response.
• Descripción.
• Remediación recomendada.
• CVE si aplica.

Captura pendiente: 03 - Detalle de un hallazgo

Imagen pendiente de incorporar.

6. Reportes

Haz clic en "Descargar" en un escaneo:

• PDF ejecutivo (resumen, top hallazgos, gráfico de severidad).
• HTML (reporte completo).
• JSON (para integración con otras herramientas).
• XML (formato estándar).

Captura pendiente: 04 - Reportes

Imagen pendiente de incorporar.

7. Programar escaneos recurrentes

1. OWASP ZAP → "Programados".
2. Haz clic en "Nuevo programado".
3. Configura igual que un escaneo manual, más:
   • Frecuencia (diaria, semanal, mensual).
   • Día y hora.
   • Notificar al completar (email / webhook).
4. Haz clic en "Guardar".

Captura pendiente: 05 - Escaneos programados

Imagen pendiente de incorporar.

8. Integración con CI/CD (GitHub Actions, GitLab CI, Jenkins)

La plataforma expone una API para lanzar escaneos desde tu pipeline. Pide al administrador la URL de la API y el token.

Ejemplo (conceptual) para un pipeline:

# 1. Crear el escaneo
# 2. Esperar a que termine
# 3. Obtener los resultados
# 4. Si hay hallazgos críticos o altos, fallar el build

Tu administrador puede darte el script específico para tu herramienta de CI/CD.

9. Diferencias con Trython (Threat Intel)

Capacidad	OWASP ZAP	Trython
Qué escanea	Aplicaciones web (URLs).	Software instalado en equipos.
Detecta	XSS, SQLi, etc.	CVEs de librerías y del SO.
Cuándo	Antes de deploy / continuo.	Continuo (inventario).
Quién	Equipos de desarrollo / QA.	Equipos de seguridad / TI.

Ambos se complementan. ZAP valida tu código, Trython valida las versiones de librerías que usas.

10. Privacidad y alcance

• Solo escanea URLs que tengas autorización de probar.
• NESS no se hace responsable de escanear sistemas de terceros sin permiso.
• Recomendado: usa ZAP solo en staging o en producción con conocimiento del dueño del sitio.

11. ¿Qué hago si...?

Problema	Causa probable	Solución
"No se puede conectar"	URL mal escrita o firewall	Verifica con curl desde la terminal.
"El spider no puede entrar"	Auth mal configurada	Verifica las credenciales.
Demasiados hallazgos	Política muy sensible	Baja el nivel.
El escaneo es muy lento	App muy grande	Reduce el scope o usa Quick scan.
Falsos positivos	ZAP es heurístico	Márcalos como FP en el reporte.
La API falla en CI	Token mal o sin permisos	Verifica con el administrador.

Fuente

Guías para el cliente NESS HQ (2026). Ver Fuentes.