Strumenti di sicurezza open source
OpenVAS/Greenbone: lo scanner di vulnerabilità open source
OpenVAS è lo scanner di vulnerabilità open source al centro della suite Greenbone: scansione a livello di rete di servizi live attraverso un feed di decine di migliaia di test di vulnerabilità, con sonde autenticate (SSH, SMB) che raggiungono più in profondità di quanto possa mai fare una scansione delle porte. È la risposta gratuita alla scansione commerciale di classe Nessus e la sua disciplina risiede nella pianificazione della scansione e nella revisione dei falsi positivi.
Punti chiave
- L'architettura è manager-scanner-feed: lo stack GVM (gvmd, openvas scanner, redis, GSA web UI) funziona come un'appliance o una distribuzione docker; il feed (Greenbone Community Feed) sincronizza continuamente i test di vulnerabilità della rete e mantenere sana la sincronizzazione del feed è la prima abitudine operativa, poiché un feed stantio scansiona silenziosamente il mondo dell'anno scorso.
- I tipi di scansione presentano reali differenze semantiche: le scansioni non autenticate sondano i servizi dall'esterno (ciò che vede un utente malintenzionato), mentre le scansioni con credenziali (con credenziali SSH/SMB) enumerano le versioni del software installato e la configurazione locale, che è la modalità che effettivamente risponde alla domanda di patch; pianificare entrambi i programmi.
- I risultati sono un progetto, non un rapporto: falsi positivi e risultati duplicati sono standard, quindi la classificazione (livello di gravità, sfruttabilità, proprietario della riparazione), la gestione delle eccezioni e una cartella di controllo per la verifica del nuovo test trasformano l'output in ticket utilizzabili; una scansione settimanale non sintonizzata diventa rumore che nessuno legge.
- Pianificazione delle forme di prestazioni/dimensionamento: rilevamento dell'host prima delle scansioni approfondite, limiti di concorrenza e finestre di scansione che evitano il crunch notturno del backup; un'azienda di 500 host desidera scanner distribuiti (sensori/apparecchiature GVM) con il manager che centralizza i risultati, non una scatola che macina attraverso un ciclo di un mese.
- L'idoneità alla conformità è reale: l'output di OpenVAS corrisponde ai requisiti di classe PCI-DSS 11.3, copertura dei benchmark CIS tramite controlli di classe SCA e documentazione di prova accettata dai revisori; molti team abbinano i risultati grezzi di OpenVAS ai controlli degli agenti di classe Wazuh SCA (il nostro articolo dedicato) in modo che scanner e agenti eseguano una conferma incrociata.
- Dove si trova nel nostro set di strumenti di sicurezza: OpenVAS risponde a "cosa è vulnerabile nel mio patrimonio immobiliare" (integrando Trivy per gli artefatti e Falco per il comportamento in fase di esecuzione); tra le opzioni open source è l'alternativa a Nessus più completa, con l'onesto avvertimento che la configurazione e la gestione del feed consumano tempo operativo reale all'ingresso.
Nota dal campo
Una scansione delle credenziali OpenVAS su un client con "patch" ha rilevato che 14 host mancavano degli aggiornamenti dell'ultimo trimestre a causa di un blocco delle modifiche che nessuno ha revocato. Le scansioni non autenticate erano apparse pulite per tutto l'anno. Le credenziali sono la differenza tra un audit e un rituale di conforto.
Domande frequenti
OpenVAS o Nessus per il lavoro professionale?
OpenVAS per patrimoni di bilancio e audit interni in cui la postura open source è importante; La velocità/maturità del plugin di Nessus e il supporto commerciale alimentano la questione per le aziende pentesting rivolte ai clienti; molti outfit eseguono entrambi, poiché OpenVAS rileva molte delle stesse firme.
Perché le scansioni delle credenziali sono migliori giorno e notte?
Perché il software installato (non solo i servizi di ascolto) guida la maggior parte delle vulnerabilità superficiali; con le credenziali lo scanner enumera direttamente le versioni dei pacchetti e la configurazione locale invece di fare deduzioni dai banner, il che elimina i falsi positivi e rileva i risultati reali.
Quanto spesso dovremmo eseguire la scansione?
Scansioni delle credenziali da settimanali a mensili per classe di asset a seconda della velocità del cambiamento, oltre a scansioni ad hoc dopo cambiamenti importanti; una scansione pianificata non autenticata aggiunge prove del perimetro esterno, ma la vera questione della patch è la copertura delle credenziali.
Qual è la checklist di configurazione della prima settimana?
Un'appliance/stack distribuito, sincronizzazione dei feed confermata, scansione di individuazione dell'ambito CB (quali risorse esistono effettivamente), una prima scansione delle credenziali su un piccolo set di host, quindi ottimizzazione del report (livelli di gravità e policy di eccezione) prima di ridimensionare l'ambito.
Come Kinetikatech aiuta con strumenti di sicurezza open source
Lo abbiamo già risolto centinaia di volte: I professionisti degli strumenti di test continuano a caricarli: scanner, sniffer, cracker e proxy web hanno spiegato il modo in cui vengono utilizzati negli impegni reali: comandi, flag, output e dove ciascuno di essi si trova in una metodologia. Con Penetration test e Sicurezza server Linux, ottiene il ciclo completo: valutiamo, implementiamo, vigiliamo 24 ore su 24 e rispondiamo in 30 minuti quando conta.