Инструменты безопасности с открытым исходным кодом
OpenVAS/Greenbone: сканер уязвимостей с открытым исходным кодом
OpenVAS — это сканер уязвимостей с открытым исходным кодом, лежащий в основе пакета Greenbone: сканирование действующих сервисов на сетевом уровне с помощью десятков тысяч тестов на уязвимости с помощью аутентифицированных зондов (SSH, SMB), которые достигают большей глубины, чем когда-либо может сканирование портов. Это бесплатный ответ на коммерческое сканирование класса Nessus, и его суть заключается в планировании сканирования и проверке ложноположительных результатов.
Главное
- Архитектура представляет собой канал менеджера-сканера: стек GVM (gvmd, сканер openvas, redis, веб-интерфейс GSA) запускается как развертывание устройства или докера; канал (канал сообщества Greenbone) постоянно синхронизирует тесты сетевых уязвимостей, и поддержание работоспособности синхронизации каналов является первой рабочей привычкой, поскольку устаревший канал молча сканирует прошлогодний мир.
- Типы сканирования имеют реальные семантические различия: сканирование без аутентификации проверяет службы извне (то, что видит злоумышленник), тогда как сканирование с учетными данными (с учетными данными SSH/SMB) перечисляет установленные версии программного обеспечения и локальную конфигурацию, что является режимом, который фактически отвечает на вопрос об исправлении; планируйте оба графика.
- Результаты представляют собой проект, а не отчет: ложные срабатывания и повторяющиеся результаты входят в стандартную комплектацию, поэтому классификация (минимальная степень серьезности, возможность использования, владелец исправления), обработка исключений и папка наблюдения для повторной проверки превращают выходные данные в заявки, требующие принятия мер; ненастроенное еженедельное сканирование становится шумом, который никто не читает.
- Планирование производительности/размера: обнаружение хостов перед глубоким сканированием, ограничения одновременного использования и окна сканирования, позволяющие избежать ночного хруста резервного копирования; компании с 500 хостами нужны распределенные сканеры (датчики/устройства GVM), где менеджер централизует результаты, а не один ящик, обрабатывающий месячный цикл.
- Соответствие требованиям вполне реально: выходные данные OpenVAS соответствуют требованиям класса PCI-DSS 11.3, охват тестов CIS с помощью проверок класса SCA и доказательная документация, которую принимают аудиторы; многие команды объединяют необработанные результаты OpenVAS с проверками агентов класса Wazuh SCA (наша специальная статья), поэтому сканеры и агенты перекрестно подтверждают.
- Где он находится в нашем наборе инструментов безопасности: OpenVAS отвечает на вопрос «что уязвимо в моем жилом комплексе» (дополняя Trivy по артефактам и Falco по поведению во время выполнения); среди вариантов с открытым исходным кодом это наиболее полная альтернатива Nessus, с честной оговоркой, что настройка и управление подачей данных отнимают реальное время операций на входе.
Заметка из практики
Сканирование с использованием учетных данных OpenVAS в «исправленном» клиентском комплексе обнаружило, что на 14 хостах отсутствуют обновления за последний квартал из-за заморозки изменений, которую никто не отменял. Непроверенные сканы весь год выглядели чистыми. Сертификаты — это разница между аудитом и ритуалом комфорта.
Частые вопросы
OpenVAS или Nessus для профессиональной работы?
OpenVAS для бюджетных ассигнований и внутреннего аудита, где важна позиция открытого исходного кода; Скорость/зрелость плагинов Nessus и коммерческая поддержка имеют значение для компаний, занимающихся пентестированием клиентов; многие организации используют оба варианта, поскольку OpenVAS улавливает множество одинаковых сигнатур.
Почему сканирование с удостоверением личности лучше проводить днем и ночью?
Потому что установленное программное обеспечение (а не только службы прослушивания) создает большую часть уязвимостей; с учетными данными сканер перечисляет версии пакетов и локальную конфигурацию напрямую, а не делает выводы из баннеров, что исключает ложные срабатывания и повышает достоверность результатов.
Как часто нам следует сканировать?
Сертифицированное сканирование еженедельно или ежемесячно для каждого класса активов в зависимости от скорости изменений, а также специальные сканирования после серьезных изменений; запланированное сканирование без аутентификации добавляет доказательства внешнего периметра, но реальный вопрос исправления — это гарантированное покрытие.
Каков контрольный список настройки на первую неделю?
Развернуто одно устройство/стек, синхронизация каналов подтверждена работоспособностью, сканирование обнаружения области CB (какие активы действительно существуют), первое сканирование с учетными данными на небольшом наборе хостов, затем настройка отчета (минимальные уровни серьезности и политика исключений) перед масштабированием области.
Как мы берём на себя инструменты безопасности с открытым исходным кодом
Это то, чем мы занимаемся каждый день: Профессионалы по инструментам тестирования на самом деле продолжают работать: сканеры, снифферы, взломщики и веб-прокси объясняют, как они используются в реальных заданиях — команды, флаги, выходные данные и место каждого из них в методологии. Наша услуга Тесты на проникновение и Безопасность серверов Linux закрывает задачу целиком — оценка, внедрение, круглосуточный мониторинг и экстренная реакция в течение 30 минут.