Tutorial zum Schwachstellen-Scan mit Nessus 5, Teil 1 Einführung in die Funktionen von Nessus

Autor / Redakteur: Moritz Jäger / Stephan Augsten

Als Open-Source-Projekt startete der Schwachstellen- und Netzwerk-Scanner Nessus im Jahr 1998 seinen Siegszug. 2005 wurde Nessus von Tenable übernommen, optisch sowie technisch überarbeitet und für den Einsatz in Enterprise-Umgebungen fit gemacht. Wir haben uns die jüngste Version des Vulnerability Scanners angesehen.

Firmen zum Thema

Willkommen: In diesem Tutorial befassen wir uns mit dem überaus mächtigen Vulnerability Scanner Nessus 5.
Willkommen: In diesem Tutorial befassen wir uns mit dem überaus mächtigen Vulnerability Scanner Nessus 5.
(Bild: Moritz Jäger)

Die Übernahme des Nessus-Projekts durch Tenable Network Security sorgte für eine Kontroverse in der Community – und resultierte gar in einer Abspaltung des freien Open-Source-Projekts OpenVAS. Herzstück des Vulnerability Scanners sind die Plug-ins, enthalten diese doch alle relevanten Informationen zu etwaigen Schwachstellen.

Es ist kein Wunder, dass sich Tenable für die aktuellen Ausgaben der Plug-ins und den entsprechenden Feed entlohnen lässt: Es gibt drei verschiedene kommerzielle Ausführungen der Nessus-Lizenz: Nessus (Kostenpunkt 1500 US-Dollar pro Jahr), Nessus Enterprise und Nessus Enterprise Cloud (jeweils 5000 US-Dollar pro Jahr).

Für den privaten Einsatz bietet das Unternehmen Nessus Home an, hier dürfen aber maximal 16 IPs gescannt werden. Ein kommerzieller Einsatz ist nicht erlaubt, außerdem fehlen hier einige zusätzliche Features. Eine komplette Übersicht, welche Nessus-Version welche Funktionen beherrscht, ist auf der Nessus-Website hinterlegt.

Für ihr Geld erhalten Kunden einiges: Nicht nur werden Plug-ins und damit die entdeckbaren Schwachstellen regelmäßig und schnell aktualisiert. Nessus ist als Scanner angenehm schnell, verbraucht relativ wenig Ressourcen und lässt sich auf zahlreichen Betriebssystemen installieren.

Voraussetzungen für den Betrieb von Nessus

Während OpenVAS auf Linux beschränkt ist, gibt es die Nessus-Engine installationsfertig für alle gängigen Betriebssysteme. Dazu zählen Windows Vista, 7, 8 sowie Windows Server 2008 und 2012 (wahlweise 32 oder 64-Bit), Mac OS X, FreeBSD und diverse Linux-Distributionen, u.a. Debian, Red Hat/CentOS, SuSE, Ubuntu und Fedora.

Bildergalerie
Bildergalerie mit 21 Bildern

Im Alltag ist es dank der Server-Architektur von Nessus relativ egal, wo im Netzwerk der Scanner installiert ist. Der eigentliche Zugriff erfolgt via Browser, natürlich geschützt durch Nutzernamen und Passwort. Alternativ bietet Tenable für Kunden eine virtuelle Appliance für VMware-basierte Virtualisierungslösungen an, die neben Nessus auch den Passive Vulnerability Scanner und das Security Center enthalten (jedes Produkt muss separat freigeschalten werden).

Die Web-Oberfläche, inzwischen komplett auf HTML5 basierend und mit nahezu jedem Browser-fähigen Gerät kompatibel, wurde von der darunterliegenden Engine entkoppelt und wird parallel entwickelt. Die Nessus-Engine ist inzwischen bei Version 5.2.6 angekommen, die Oberfläche trägt die Versionsnummer 2.3.2. Dazu wurden die Funktionen ziemlich entschlackt und vereinfacht – im Grunde gibt es nur noch die Punkte „Scan“, „Schedule“ und „Policies“.

Scan-Funktionen und -Richtlinien im Überblick

Im Bereich „Policies“ werden alle Scan-Richtlinien hinterlegt. Hier lässt sich genau definieren, was Nessus überprüfen soll und ob der Scanner auf verschiedene Bereiche genauer eingehen soll. Diese erstellten Richtlinien lassen sich anschließend bei den Scans auswählen und den jeweiligen Scan-Bereichen zuweisen. Der Vorteil: Je nach Größe des Unternehmens können unterschiedliche Experten unterschiedliche Aufgaben erledigen – der Netzwerk-Admin kann beispielsweise Scans durchführen, während der Sicherheitsspezialist die eigentlichen Richtlinien definiert.

In eine ähnliche Kerbe schlägt die neue Multiscanner-Funktion. Mit ihr lassen sich mehrere Nessus-Server-Instanzen – auch über verschiedene Netzwerk-Segmente – von einem zentralen Web-Interface aus steuern. Allerdings lässt sich ein Scan nicht automatisch über alle angeschlossenen Nessus-Installationen ausführen, was etwa bei einem Notfall-Scan à la „Welche meiner Server sind von Heartbleed betroffen“ praktisch gewesen wäre.

Der normale Scan-Ablauf sieht meist so aus: Zunächst wird die entsprechende Policy definiert. Diese sollte einen möglichst eingängigen Namen erhalten. In der Beschreibung lässt sich genauer erklären, nach welchen Dingen sie sucht. Anschließend lassen sich neue Scans erstellen, die die eben erstellte oder eine andere gespeicherte Richtlinie nutzen.

Ebenfalls wichtig: Die Ziele des Scans. Als Ziel lassen sich IP-Adressen angeben, IP-Ranges definieren oder Domains eintragen. Alternativ lässt sich eine Datei hochladen, die die jeweiligen Zieladressen enthält. Anschließend startet der Scan, läuft im Hintergrund und lässt sich auf Wunsch pausieren. Sobald er abgeschlossen ist – und auch während des Scans – zeigt ein Klick auf den jeweiligen Scan-Eintrag die überprüfen Hosts und die gefundenen Schwachstellen.

Bildergalerie
Bildergalerie mit 21 Bildern

Ein Klick auf einen Host „zoomt“ in das Ergebnis hinein und gibt mehr Informationen preis. Zu jeder gefundenen Schwachstelle liefert Nessus eine eigene Übersichtsseite, die neben Details und Risikoeinschätzung auch Links zu weiteren Quellen listet. Praktisch: In der Host-Ansicht zeigt ein Klick auf „Remediations“, wie Unternehmen die Schwachstellen beheben kann und wie sich das prozentual auf die Sicherheit des Unternehmens auswirkt.

Umfassende Reporting-Funktionen

Nessus bietet zu jedem Scan die Möglichkeit, Berichte zu erstellen. Als Formate stehen neben dem neuen Nessus-eigenen Format auch PDF, HTML, CSV oder Nessus DB zur Auswahl. Bei PDF- und HTML-Berichten lassen sich die verschiedenen zu generierenden Kapitel auswählen, so ist etwa eine kurze Zusammenfassung für die Chefetage machbar. Der Nachteil: Wie die komplette Software sind auch die Berichte nur auf Englisch verfügbar.

Neben dem neuen Interface und den verschlankten Optionen ist wahrscheinlich der (geringe) Ressourcenverbrauch ein großes Argument für Nessus. Sowohl die VM des Scanners wie auch verschiedene Betriebssysteme (von Linux über Windows XP und Windows 7 zu Windows 8, letztere mit einer eigenen Instanz von Nessus) liefen virtualisiert auf dem Arbeitsrechner des Testers – ohne dass dieser merklich gebremst wurde.

Dieser Artikel ist der Auftakt zu einer Serie rund um Nessus. In der Bildergalerie finden Interessierte alle möglichen Hintergrundinfos zur Ersteinrichtung und zu den Eigenheiten des Vulnerability Scanners. In den folgenden Ausgaben gehen wir unter anderem tiefer auf die Scan-Funktionen und die möglichen Berichte ein.

(ID:42822857)