เครื่องมือรักษาความปลอดภัยโอเพ่นซอร์ส
OpenVAS/Greenbone: เครื่องสแกนช่องโหว่โอเพ่นซอร์ส
OpenVAS คือเครื่องสแกนช่องโหว่โอเพ่นซอร์สที่เป็นหัวใจสำคัญของชุด Greenbone: การสแกนระดับเครือข่ายของบริการสดผ่านฟีดการทดสอบช่องโหว่นับหมื่นครั้ง พร้อมด้วยการตรวจสอบความถูกต้อง (SSH, SMB) ที่เข้าถึงได้ลึกเกินกว่าการสแกนพอร์ตที่เคยสามารถทำได้ เป็นคำตอบฟรีสำหรับการสแกนเชิงพาณิชย์ระดับ Nessus และมีวินัยในการกำหนดเวลาการสแกนและการตรวจสอบผลบวกลวง
ประเด็นสำคัญ
- สถาปัตยกรรมเป็นแบบผู้จัดการ-สแกนเนอร์-ฟีด: สแต็ก GVM (gvmd, เครื่องสแกน openvas, redis, GSA web UI) ทำงานเป็นอุปกรณ์หรือการปรับใช้นักเทียบท่า ฟีด (ฟีดชุมชน Greenbone) ซิงค์การทดสอบช่องโหว่ของเครือข่ายอย่างต่อเนื่อง และการดูแลรักษาการซิงค์ฟีดให้แข็งแรงถือเป็นนิสัยการปฏิบัติงานแรก เนื่องจากฟีดเก่าจะสแกนโลกของปีที่แล้วอย่างเงียบๆ
- ประเภทการสแกนมีความแตกต่างทางความหมายที่แท้จริง: บริการตรวจสอบการสแกนที่ไม่ได้รับอนุญาตจากภายนอก (สิ่งที่ผู้โจมตีเห็น) ในขณะที่การสแกนข้อมูลรับรอง (ด้วยข้อมูลประจำตัว SSH/SMB) ระบุเวอร์ชันซอฟต์แวร์ที่ติดตั้งและการกำหนดค่าภายในเครื่อง ซึ่งเป็นโหมดที่ตอบคำถามการแพตช์จริง วางแผนทั้งสองตารางเวลา
- ผลลัพธ์เป็นโครงการ ไม่ใช่รายงาน: ผลบวกลวงและการค้นพบที่ซ้ำกันถือเป็นมาตรฐาน ดังนั้นการให้คะแนน (ระดับความรุนแรง ความสามารถในการหาประโยชน์ เจ้าของการแก้ไข) การจัดการข้อยกเว้น และโฟลเดอร์เฝ้าดูสำหรับการตรวจสอบยืนยันการทดสอบซ้ำจะเปลี่ยนเอาต์พุตเป็นตั๋วที่ดำเนินการได้ การสแกนรายสัปดาห์ที่ไม่ได้รับการปรับแต่งจะกลายเป็นเสียงรบกวนที่ไม่มีใครอ่าน
- การกำหนดเวลารูปร่างประสิทธิภาพ/ขนาด: การค้นพบโฮสต์ก่อนการสแกนเชิงลึก การจำกัดการทำงานพร้อมกัน และหน้าต่างการสแกนที่หลีกเลี่ยงปัญหาการสำรองข้อมูลทุกคืน โฮสต์ 500 แห่งต้องการเครื่องสแกนแบบกระจาย (เซ็นเซอร์/เครื่องใช้ GVM) โดยมีผู้จัดการรวมผลลัพธ์ไว้ที่ศูนย์กลาง ไม่ใช่กล่องเดียวที่ผ่านรอบระยะเวลาหนึ่งเดือน
- การปฏิบัติตามข้อกำหนดเป็นจริง: เอาต์พุต OpenVAS แมปกับข้อกำหนดคลาส PCI-DSS 11.3, การครอบคลุมเกณฑ์มาตรฐาน CIS ผ่านการตรวจสอบระดับ SCA และเอกสารหลักฐานที่ผู้ตรวจสอบยอมรับ หลายทีมจับคู่การค้นพบดิบของ OpenVAS กับการตรวจสอบตัวแทนระดับ SCA ของ Wazuh (บทความเฉพาะของเรา) เพื่อให้เครื่องสแกนและเจ้าหน้าที่ยืนยันข้ามกัน
- ตำแหน่งที่อยู่ในชุดเครื่องมือรักษาความปลอดภัยของเรา: OpenVAS ตอบว่า 'สิ่งที่อ่อนแอในอสังหาริมทรัพย์สดของฉัน' (เสริม Trivy สำหรับสิ่งประดิษฐ์และ Falco สำหรับพฤติกรรมรันไทม์); ในบรรดาตัวเลือกโอเพ่นซอร์ส เป็นทางเลือก Nessus ที่สมบูรณ์แบบที่สุด โดยมีข้อแม้อย่างตรงไปตรงมาว่าการตั้งค่าและการจัดการฟีดจะใช้เวลาดำเนินการจริงที่รายการ
บันทึกจากหน้างาน
การสแกนข้อมูลรับรอง OpenVAS บนพื้นที่ไคลเอนต์ 'แพตช์' พบว่าโฮสต์ 14 รายขาดการอัปเดตในไตรมาสที่แล้ว เบื้องหลังการเปลี่ยนแปลงที่หยุดนิ่งโดยไม่มีใครยกออก การสแกนที่ไม่ผ่านการรับรองความถูกต้องนั้นดูสะอาดตาตลอดทั้งปี ข้อมูลประจำตัวคือความแตกต่างระหว่างการตรวจสอบและพิธีกรรมเพื่อความสะดวกสบาย
คำถามที่พบบ่อย
OpenVAS หรือ Nessus สำหรับงานมืออาชีพ?
OpenVAS สำหรับทรัพย์สินราคาประหยัดและการตรวจสอบภายในที่ท่าทางของโอเพ่นซอร์สมีความสำคัญ ความเร็ว/วุฒิภาวะของปลั๊กอินของ Nessus และฟีดการสนับสนุนเชิงพาณิชย์มีความสำคัญสำหรับธุรกิจทดสอบที่ต้องพบปะกับลูกค้า หลายชุดใช้ทั้งสองอย่าง เนื่องจาก OpenVAS จับลายเซ็นที่เหมือนกันจำนวนมาก
เหตุใดการสแกนข้อมูลรับรองทั้งกลางวันและกลางคืนจึงดีกว่า
เนื่องจากซอฟต์แวร์ที่ติดตั้ง (ไม่ใช่แค่บริการการฟัง) ทำให้เกิดช่องโหว่ส่วนใหญ่ ด้วยข้อมูลประจำตัว เครื่องสแกนจะระบุเวอร์ชันของแพ็คเกจและการกำหนดค่าในเครื่องโดยตรง แทนที่จะอนุมานจากแบนเนอร์ ซึ่งจะทำให้ผลบวกลวงลดลงและผลการค้นพบจริงเพิ่มขึ้น
เราควรสแกนบ่อยแค่ไหน?
การสแกนข้อมูลรับรองรายสัปดาห์ต่อเดือนต่อประเภทสินทรัพย์ ขึ้นอยู่กับความเร็วการเปลี่ยนแปลง รวมถึงการสแกนเฉพาะกิจหลังจากการเปลี่ยนแปลงที่สำคัญ การสแกนที่ไม่ได้รับการรับรองความถูกต้องตามกำหนดเวลาจะเพิ่มหลักฐานนอกขอบเขต แต่การครอบคลุมข้อมูลรับรองเป็นคำถามที่แท้จริง
รายการตรวจสอบการตั้งค่าสัปดาห์แรกคืออะไร?
มีการปรับใช้อุปกรณ์/สแต็กหนึ่งรายการ การซิงค์ฟีดได้รับการยืนยันว่ามีประสิทธิภาพดี การสแกนการค้นพบขอบเขต CB (มีสินทรัพย์ใดบ้างที่มีอยู่จริง) การสแกนข้อมูลรับรองครั้งแรกกับชุดโฮสต์ขนาดเล็ก จากนั้นจึงปรับแต่งรายงาน (ระดับความรุนแรงและนโยบายข้อยกเว้น) ก่อนที่จะปรับขนาดขอบเขต
Kinetikatech ช่วยเรื่อง เครื่องมือรักษาความปลอดภัยโอเพ่นซอร์ส ได้อย่างไร
คุณไม่ควรต้องกลายเป็นผู้เชี่ยวชาญเรื่อง เครื่องมือรักษาความปลอดภัยโอเพ่นซอร์ส: ผู้เชี่ยวชาญด้านกล่องเครื่องมือทดสอบมักโหลดอยู่เสมอ: เครื่องสแกน เครื่องดมกลิ่น แครกเกอร์ และเว็บพรอกซี อธิบายวิธีการใช้งานเครื่องมือเหล่านี้ในภารกิจจริง เช่น คำสั่ง แฟล็ก เอาท์พุต และตำแหน่งที่แต่ละเครื่องมืออยู่ในระเบียบวิธี นั่นคือหน้าที่ของ การทดสอบการเจาะระบบและความปลอดภัยเซิร์ฟเวอร์ Linux พอดี ตั้งค่า เสริมความปลอดภัย เฝ้าระวัง และมีคนรับโทรตลอดวันทุกวัน