Narzędzia bezpieczeństwa typu open source
OpenVAS/Greenbone: Skaner podatności na ataki typu open source
OpenVAS to skaner podatności typu open source stanowiący serce pakietu Greenbone: skanowanie działających usług na poziomie sieci w oparciu o dziesiątki tysięcy testów podatności na ataki, z uwierzytelnionymi sondami (SSH, SMB), które sięgają głębiej niż kiedykolwiek może to zrobić skanowanie portów. Jest to darmowa odpowiedź na komercyjne skanowanie klasy Nessus, a jej dyscyplina polega na planowaniu skanowania i fałszywie pozytywnej ocenie.
Kluczowe punkty
- Architektura jest zasilana przez menedżera-skanera: stos GVM (gvmd, skaner openvas, redis, interfejs sieciowy GSA) działa jako wdrożenie urządzenia lub dokera; kanał (Greenbone Community Feed) synchronizuje w sposób ciągły testy podatności sieci, a utrzymywanie dobrej synchronizacji kanału jest pierwszym nawykiem operacyjnym, ponieważ nieaktualny kanał po cichu skanuje zeszłoroczny świat.
- Typy skanowania różnią się znacznie pod względem semantycznym: skany nieuwierzytelnione sondują usługi z zewnątrz (co widzi atakujący), podczas gdy skany uwierzytelnione (z poświadczeniami SSH/SMB) wyliczają zainstalowane wersje oprogramowania i konfigurację lokalną, czyli tryb, który faktycznie odpowiada na pytanie dotyczące łatania; zaplanuj oba harmonogramy.
- Wyniki to projekt, a nie raport: fałszywe alarmy i zduplikowane wyniki są standardem, więc ocenianie (minimalny poziom ważności, możliwość wykorzystania, właściciel środków zaradczych), obsługa wyjątków i folder obserwacyjny do weryfikacji ponownego testu zamieniają dane wyjściowe w możliwe do podjęcia działania; niedostrojone cotygodniowe skanowanie staje się szumem, którego nikt nie czyta.
- Planowanie kształtów wydajności/rozmiaru: wykrywanie hostów przed głębokim skanowaniem, ograniczenia współbieżności i okna skanowania, które pozwalają uniknąć nocnych awarii tworzenia kopii zapasowych; osiedle na 500 hostów potrzebuje rozproszonych skanerów (czujników/urządzeń GVM), a menedżer centralizuje wyniki, a nie jedną skrzynkę przetwarzającą przez miesięczny cykl.
- Zgodność z przepisami jest realna: dane wyjściowe OpenVAS odpowiadają wymaganiom klasy PCI-DSS 11.3, pokrycie wzorców CIS poprzez kontrole klasy SCA oraz dokumentacja dowodowa akceptowana przez audytorów; wiele zespołów łączy surowe wyniki OpenVAS z kontrolami agentów klasy Wazuh SCA (nasz dedykowany artykuł), aby skanery i agenci mogli się wzajemnie potwierdzać.
- Gdzie znajduje się w naszym zestawie narzędzi bezpieczeństwa: OpenVAS odpowiada na „tego, co jest podatne na ataki w mojej posiadłości na żywo” (uzupełniając Trivy w zakresie artefaktów i Falco w zakresie zachowania w czasie wykonywania); wśród opcji open source jest to najbardziej kompletna alternatywa dla Nessusa, ze szczerym zastrzeżeniem, że konfiguracja i zarządzanie plikami danych pochłaniają prawdziwy czas operacyjny na początku.
Notatka z praktyki
Skanowanie z uwierzytelnieniem OpenVAS na „połatanej” platformie klienckiej wykazało, że na 14 hostach brakuje aktualizacji z ostatniego kwartału, co wynika z zamrożenia zmian, którego nikt nie naprawił. Nieuwierzytelnione skany przez cały rok wyglądały na czyste. Poświadczenia stanowią różnicę między audytem a rytuałem zapewniającym wygodę.
Częste pytania
OpenVAS czy Nessus do pracy zawodowej?
OpenVAS dla osiedli budżetowych i audytów wewnętrznych, gdzie liczy się postawa open source; Szybkość/dojrzałość wtyczek Nessusa i wsparcie komercyjne mają znaczenie dla firm pentestujących mających kontakt z klientem; wiele strojów obsługuje oba, ponieważ OpenVAS przechwytuje wiele tych samych sygnatur.
Dlaczego uwierzytelnione skanowanie w dzień i w nocy jest lepsze?
Ponieważ zainstalowane oprogramowanie (nie tylko usługi nasłuchiwania) ujawnia większość luk w zabezpieczeniach; dzięki poświadczeniom skaner bezpośrednio wylicza wersje pakietów i lokalną konfigurację, zamiast wyciągać wnioski z banerów, co eliminuje fałszywe alarmy i zbiera rzeczywiste wyniki.
Jak często powinniśmy skanować?
Poświadczone skanowanie co tydzień lub co miesiąc dla każdej klasy aktywów w zależności od szybkości zmian, a także skanowanie ad hoc po większych zmianach; zaplanowane nieuwierzytelnione skanowanie dodaje dowody z zewnątrz, ale prawdziwym problemem jest zasięg uwierzytelniony.
Jaka jest lista kontrolna konfiguracji w pierwszym tygodniu?
Wdrożono jedno urządzenie/stos, synchronizacja źródła danych potwierdziła, że jest zdrowa, skanowanie wykrywające zakres CB (jakie zasoby faktycznie istnieją), pierwsze uwierzytelnione skanowanie w odniesieniu do małego zestawu hostów, następnie raportowanie dostrojenia (minimalne poziomy ważności i zasady wyjątków) przed skalowaniem zakresu.
Jak Kinetikatech pomaga w narzędzia bezpieczeństwa typu open source
Szczerze mówiąc, większość zespołów trafia do nas po samodzielnych próbach: Specjaliści zajmujący się zestawem narzędzi testowych faktycznie są naładowani: skanery, sniffery, crackery i serwery proxy WWW wyjaśniły, w jaki sposób są używane w rzeczywistych zadaniach — polecenia, flagi, dane wyjściowe i miejsce każdego z nich w metodologii. Nasza usługa Testy penetracyjne i Bezpieczeństwo serwerów Linux istnieje po to, aby nie musieli Państwo poznawać narzędzia bezpieczeństwa typu open source na własnych błędach — zajmujemy się konfiguracją, monitoringiem i niespodziankami o 3 w nocy.