Nessus- oder OpenVAS-Scans durchführen

Automatisierte Schwachstellen-Scanner prüfen Ziele mit Tausenden von Prüfungen und gleichen die Ergebnisse mit CVE-Datenbanken ab. Sie beschleunigen die Bewertung erheblich, müssen jedoch angepasst werden, um Fehlalarme zu reduzieren.

Nessus läuft als Server mit einer Weboberfläche. Richtlinien legen fest, was gescannt wird; Plugins mit mehr als 100.000 Einzelprüfungen enthalten die jeweiligen Checks. Die Ergebnisse werden nach Host, Schweregrad und Plugin-Familie organisiert.

Eine gute grundlegende Richtlinie ist Basic Network Scan oder Advanced Scan. Aktivieren Sie sichere Prüfungen, konfigurieren Sie Zugangsdaten für authentifizierte Scans und legen Sie die Scan-Zeit so fest, dass Produktionssysteme nicht beeinträchtigt werden.

Nicht authentifizierte Scans sehen nur, was im Netzwerk offengelegt ist. Authentifizierte Scans mit SSH-/SMB-Zugangsdaten prüfen installierte Paketversionen, Registrierungseinstellungen und Konfigurationsdateien und finden dadurch deutlich mehr Schwachstellen.

OpenVAS, inzwischen Greenbone Community Edition, ist die Open-Source-Alternative. Es verwendet die Oberfläche Greenbone Security Manager (GSM) und regelmäßig aktualisierte NVTs (Network Vulnerability Tests).

Erstellen Sie ein Target (Host oder Bereich), weisen Sie eine Scan Config zu, häufig Full and Fast, und starten Sie anschließend eine Task. Die Ergebnisse erscheinen in Echtzeit. Klicken Sie auf Schwachstellen, um die vollständige Plugin-Ausgabe und Empfehlungen zur Behebung anzuzeigen.

Scanner geben Ergebnisse nach Schweregrad aus. Konzentrieren Sie sich zuerst auf kritische und hohe Schweregrade. Lesen Sie die Plugin-Ausgabe sorgfältig – sie enthält die Belege, etwa Banner oder Versionszeichenfolgen, die den Fund ausgelöst haben.

Scanner melden Probleme anhand von Versionsnummern, ohne die tatsächliche Ausnutzbarkeit zu bestätigen. Überprüfen Sie kritische Funde immer manuell: Prüfen Sie, ob die anfällige Komponente tatsächlich installiert ist und die Konfiguration wirklich eine Schwachstelle aufweist.

Nikto ist auf das Scannen von Webservern spezialisiert. Es prüft auf Standardzugangsdaten, gefährliche Dateien, veraltete Software und häufige Fehlkonfigurationen. Das Tool ist laut, aber schnell.

Der aktive Scanner von ZAP durchsucht die Webanwendung und prüft jedes Eingabefeld aktiv auf Injection-, XSS- und CSRF-Schwachstellen. Führen Sie ihn nur gegen Anwendungen aus, die Ihnen gehören oder für deren Prüfung Sie eine Genehmigung haben.

Schwachstellen-Scans sollten kontinuierlich und nicht nur einmalig durchgeführt werden. Integrieren Sie Scanner für neue Deployments in CI/CD-Pipelines und planen Sie wöchentliche authentifizierte Scans der Produktionssysteme.

Was ist der entscheidende Vorteil eines authentifizierten Schwachstellen-Scans?

Nessus und OpenVAS automatisieren die Erkennung von Schwachstellen in großem Maßstab. Verwenden Sie stets authentifizierte Scans für eine möglichst umfassende Abdeckung, überprüfen Sie kritische Funde manuell, um Fehlalarme auszuschließen, und integrieren Sie Scans in kontinuierliche Sicherheitsprozesse, statt sie als einmalige Aktivität zu behandeln.