Tutorial zum Schwachstellen-Scan mit Nessus 5, Teil 3 Schwachstellen-Scans mit Nessus durchführen und auswerten

Im dritten Teil des Workshops zum Schwachstellen-Scanner Nessus 5 geht es an die eigentlichen Scan-Vorgänge. Dabei befassen wir uns natürlich auch mit der Auswertung der Ergebnisse. Außerdem zeigt dieser Beitrag, wie sich mithilfe von Nessus Berichte bzw. Reportings für Vorgesetzte generieren lassen.

Anbieter zum Thema

Fujitsu Technology Solutions GmbH

TXOne Networks

Specops Software GmbH

In den ersten beiden Artikeln haben wir die Neuerungen von Nessus 5 vorgestellt und die entsprechenden Richtlinien für neue Scans erstellt. Dieser Beitrag rückt den eigentlichen Scan-Vorgang in den Fokus – wie in den Vorgängerartikeln erwähnt sind die Erstellung der Scan-Richtlinien und der eigentliche Scan getrennt.

Das Schöne an Nessus und anderen Schwachstellenscannern ist, dass man sich langsam herantasten und nach und nach immer akkurater vorgehen kann. Ein grober Initial-Scan, etwa basierend auf der Richtlinie „Host Discovery“, verschafft beispielsweise einen Überblick zu allen im Netzwerk aktiven Endpunkten.

Dieser Scan sollte regelmäßig wiederholt und das Ergebnis mit vorherigen Erhebungen abgeglichen werden. So stellt man sicher, dass zum einen sämtliche aktiven Hosts entdeckt werden und dass zum anderen auch neue Geräte in die Übersicht aufgenommen werden. Um die Vorgänge zu vereinfachen, lassen sich bei Nessus die Scans zeitlich terminieren und in regelmäßigen Intervallen wiederholen.

Sobald die Anzahl der Endpunkte bekannt ist, lassen sie sich mit zusätzlichen Scans und anderen Richtlinien abklopfen. So könnte der Administrator etwa gezielt nach Malware suchen, eine aktive Heartbleed-Schwachstelle finden oder Web-Applikationen unter die Lupe nehmen.

Scans einfach erstellen und durchführen

Das Aufsetzen eines Scans ist unkompliziert: Neben dem Namen und der Beschreibung muss eine zuvor definierte Richtlinie ausgewählt und der Ordner festgelegt werden, in dem die Scan-Ergebnisse gespeichert werden. Der Bereich „Scanner“ legt fest, welcher Nessus-Server für den Scan genutzt wird.

Bildergalerie

Bildergalerie mit 13 Bildern

Zur Auswahl stehen alle am System angemeldeten Scanner zur Verfügung, so dass man etwa unterschiedliche Netzwerksegmente von einem Ort aus überprüfen kann. Leider ist immer nur eine Überprüfung möglich, einen Scan vom Typ „Nutze diese Richtlinie mit allen angeschlossenen Scannern“ erlaubt die aktuelle Version noch nicht.

Die Scans laufen im Normalfall schnell ab, dennoch können sie sich in größeren Umgebungen oder bei Richtlinien, die jeden Host detailliert überprüfen, entsprechend hinziehen. Nach jedem Scan wird das Ergebnis übersichtlich präsentiert, zudem wird ein Bericht auf Wunsch (und wenn ein SMTP-Server hinterlegt ist) automatisch an die beim Scan in den Einstellungen angegebenen E-Mail-Adressen verschickt.

Tutorial zum Schwachstellen-Scan mit Nessus 5, Teil 1

Einführung in die Funktionen von Nessus

Scan-Ergebnisse auswerten

Die eigentliche Arbeit des Sicherheitsteams beginnt, wenn die Scans abgeschlossen sind und die Ergebnisse vorliegen. Nessus zeigt alle gefundenen Schwachstellen und Informationen, gelistet nach ihrer Schwere. Neben „Info“ kategorisiert Nessus die Schwachstellen als „Low“, „Medium“, „High“ und „Critical“.

Je höher die Einstufung, desto gefährlicher ist die gefundene Lücke – allerdings ist hier es wichtig, den Kontext zu verstehen. Sprich, eine als Mittel eingestufte Sicherheitslücke kann im falschen Kontext gefährlicher sein als eine kritische Lücke, wenn das entsprechende System isoliert ist. Administratoren können (und sollten) die Einstufung daher überprüfen und entsprechend anpassen.

Zu jedem Scan liefert Nessus 5 einen Punkt namens „Remediations“. Dieser wird automatisch erstellt und zeigt an, welche Aktionen auf welchen Endpunkten für eine Verbesserung der Sicherheit sorgen (diese wird in Prozentpunkten angegeben). Dabei handelt es sich um automatisierte Vorschläge, die aber nichts desto trotz einen guten Ansatzpunkt bieten. Im Bereich „Notes“ liefert Nessus zudem Meldungen und Vorschläge, die nichts mit konkreten Schwachstellen zu tun haben, die aber dennoch helfen.

Berichte erstellen

Nessus erstellt fast automatisch Berichte zu den jeweiligen Scans. Das hilft nicht nur bei der Dokumentation sondern auch bei der Argumentation für mehr Budget oder für spezielle Zusatzausgaben. Es gibt insgesamt fünf verschieden Formate, zwei davon sind Nessus-eigen (damit lassen sich die Ergebnisse in anderen Nessus-Installationen anzeigen).

Hinzu kommen die Formate PDF, HTML und CSV, wobei vor allem die Formate HTML und PDF interessant sind: Vor dem Export lassen sich die einzelnen Kapitel auswählen und anordnen. Anschließend exportiert Nessus die Übersicht und erstellt anhand von Textbausteinen den Bericht.

Der Nachteil: Bislang gibt es die Bausteine nur in englischer Sprache, entsprechend sind auch die Berichte auf Englisch. Als Workaround kann man den HTML-Export wählen, wichtige Bereiche direkt in HTML übersetzen und anschließend neu abspeichern. Das ist nicht ideal, spart aber zumindest etwas Zeit bei der Aufbereitung.

Tutorial zum Schwachstellen-Scan mit Nessus 5, Teil 2

Richtlinien für Nessus 5 erstellen

(ID:42850614)