Outils de sécurité open source
OpenVAS/Greenbone : le scanner de vulnérabilités open source
OpenVAS est le scanner de vulnérabilités open source au cœur de la suite Greenbone : analyse au niveau du réseau des services en direct à travers un flux de dizaines de milliers de tests de vulnérabilité, avec des sondes authentifiées (SSH, SMB) qui atteignent plus profondément qu'une analyse de port ne le peut jamais. Il s'agit de la réponse gratuite à l'analyse commerciale de classe Nessus, et sa discipline réside dans la planification des analyses et l'examen des faux positifs.
Points clés
- L'architecture est alimentée par un gestionnaire-scanner : la pile GVM (gvmd, openvas scanner, redis, GSA web UI) s'exécute en tant qu'appliance ou déploiement de docker ; le flux (Greenbone Community Feed) synchronise les tests de vulnérabilité du réseau en continu, et maintenir la synchronisation du flux en bonne santé est la première habitude opérationnelle, puisqu'un flux périmé analyse silencieusement le monde de l'année dernière.
- Les types d'analyse présentent de réelles différences sémantiques : les analyses non authentifiées sondent les services de l'extérieur (ce que voit un attaquant), tandis que les analyses authentifiées (avec les informations d'identification SSH/SMB) énumèrent les versions des logiciels installés et la configuration locale, qui est le mode qui répond réellement à la question de l'application des correctifs ; planifier les deux horaires.
- Les résultats sont un projet, pas un rapport : les faux positifs et les résultats en double sont standard, donc la notation (seuil de gravité, exploitabilité, propriétaire de la correction), la gestion des exceptions et un dossier de surveillance pour la vérification du nouveau test transforment la sortie en tickets exploitables ; une analyse hebdomadaire non réglée devient un bruit que personne ne lit.
- Planification des formes de performances/dimensionnement : découverte d'hôtes avant les analyses approfondies, plafonds de concurrence et fenêtres d'analyse qui évitent la crise des sauvegardes nocturnes ; un domaine de 500 hôtes veut des scanners distribués (capteurs/appareils GVM) avec le gestionnaire centralisant les résultats, et non une boîte broyant un cycle d'un mois.
- L'adéquation de la conformité est réelle : les résultats d'OpenVAS correspondent aux exigences de classe PCI-DSS 11.3, à la couverture de référence CIS via des contrôles de classe SCA et à la documentation des preuves acceptées par les auditeurs ; de nombreuses équipes associent les résultats bruts d'OpenVAS aux contrôles d'agent de classe Wazuh SCA (notre article dédié) afin que les scanners et les agents effectuent une confirmation croisée.
- Où il se situe dans notre ensemble d'outils de sécurité : OpenVAS répond à « ce qui est vulnérable dans mon domaine actif » (en complétant Trivy pour les artefacts et Falco pour le comportement d'exécution) ; Parmi les options open source, il s'agit de l'alternative Nessus la plus complète, avec la mise en garde honnête que la configuration et la gestion des flux consomment du temps d'exploitation réel à l'entrée.
Note de terrain
Une analyse accréditée OpenVAS sur un parc client « corrigé » a révélé que 14 hôtes manquaient les mises à jour du dernier trimestre derrière un gel des modifications que personne n'a levé. Les scans non authentifiés avaient semblé propres toute l’année. Les informations d'identification font la différence entre un audit et un rituel de confort.
Questions fréquentes
OpenVAS ou Nessus pour le travail professionnel ?
OpenVAS pour les domaines budgétaires et les audits internes où la posture open source est importante ; La vitesse/maturité du plugin de Nessus et le flux de support commercial sont importants pour les entreprises de test d'intrusion orientées client ; de nombreuses entreprises utilisent les deux, car OpenVAS capture bon nombre des mêmes signatures.
Pourquoi les analyses d'accréditation sont-elles meilleures jour et nuit ?
Parce que les logiciels installés (et pas seulement les services d'écoute) sont à l'origine de la plus grande surface de vulnérabilité ; avec les informations d'identification, le scanner énumère directement les versions de package et la configuration locale au lieu de déduire des bannières, ce qui supprime les faux positifs et affiche les résultats réels.
À quelle fréquence devons-nous scanner ?
Analyses accréditées hebdomadaires ou mensuelles par classe d'actifs en fonction de la vitesse des changements, ainsi que des analyses ad hoc après des changements majeurs ; une analyse programmée non authentifiée ajoute des preuves sur le périmètre externe, mais la couverture authentifiée est la véritable question du correctif.
Quelle est la liste de contrôle d'installation de la première semaine ?
Une appliance/pile déployée, la synchronisation des flux est confirmée comme saine, une analyse de découverte de l'étendue CB (quels actifs existent réellement), une première analyse d'informations d'identification sur un petit ensemble d'hôtes, puis un réglage du rapport (niveaux de gravité et politique d'exception) avant de faire évoluer l'étendue.
Comment Kinetikatech vous aide avec outils de sécurité open source
Nous l'avons résolu des centaines de fois : Les professionnels de la boîte à outils de test restent chargés : les scanners, les renifleurs, les crackers et les proxys Web expliquent la manière dont ils sont utilisés lors d'engagements réels : commandes, indicateurs, sorties et où chacun se situe dans une méthodologie. Avec Tests d'intrusion et Sécurité des serveurs Linux, vous bénéficiez du cycle complet : nous évaluons, nous déployons, nous surveillons jour et nuit et nous répondons en 30 minutes quand cela compte.