Outils d’analyse courants : Nessus, OpenVAS et Nmap

Les professionnels de la Security utilisent divers outils d’analyse pour différents objectifs : découverte d’hôtes, analyse des ports, énumération des services, détection du système d’exploitation, identification des vulnérabilités et test des applications Web. Security+ exige de connaître les outils les plus utilisés dans chaque catégorie. Comprendre ce que fait chaque outil — et ce qu’il ne peut pas faire — vous aide à sélectionner l’outil approprié pour une tâche donnée et à interpréter correctement les résultats. Les résultats obtenus avec plusieurs outils complémentaires offrent une couverture plus complète que ceux d’un seul outil.

Nmap (Network Mapper) est l’outil open source le plus utilisé pour la découverte réseau et l’audit de Security. Il peut découvrir les hôtes actifs, énumérer les ports ouverts, détecter les services en cours d’exécution et leurs versions, et identifier le système d’exploitation. Nmap utilise différentes techniques d’analyse, notamment l’analyse SYN (par défaut, rapide et relativement discrète), TCP Connect (établissement complet de la liaison, plus bruyant mais ne nécessitant pas les privilèges root), l’analyse UDP et l’analyse de version. Il est fourni avec le Nmap Scripting Engine (NSE), qui propose des centaines de scripts pour détecter les vulnérabilités, effectuer du forçage brutal et réaliser des exploitations.

Interpréter correctement les résultats de Nmap est une compétence essentielle. Chaque ligne représente un port avec son état (ouvert : un service est en écoute ; fermé : l’hôte a répondu, mais aucun service n’est en écoute ; filtré : aucune réponse ou hôte ICMP inaccessible, probablement en raison d’un pare-feu), son protocole et le service ou la version détecté. Les ports ouverts représentent une surface d’attaque potentielle. Des ports ouverts inattendus sur un hôte peuvent indiquer une compromission ou des services non autorisés. Les options -oN, -oX et -oG enregistrent les résultats dans les formats normal, XML et exploitable par grep ; l’enregistrement des résultats est essentiel pour la documentation et la comparaison des analyses au fil du temps.

Nessus (de Tenable) est le Scanner de vulnérabilités commercial le plus largement déployé. Il utilise une architecture à Plugins avec plus de 100 000 Plugins couvrant les CVE, les vérifications de configuration, les référentiels de conformité (CIS, DISA STIG) et la détection des logiciels malveillants. Nessus effectue des analyses avec Credentials en se connectant aux systèmes avec les Credentials fournies afin d’inspecter les versions des logiciels installés, les clés de registre et les fichiers de configuration, ce qui produit des résultats beaucoup plus précis que le sondage réseau sans Credentials. Nessus produit des rapports détaillés avec les scores CVSS, les descriptions des vulnérabilités et les recommandations de Remediation. La version gratuite Nessus Essentials analyse jusqu’à 16 IPs.

OpenVAS (Open Vulnerability Assessment System) est un Scanner de vulnérabilités gratuit et open source géré par Greenbone Networks. Il s’agit du fork soutenu par la communauté de l’ancien Nessus, avant sa commercialisation. OpenVAS utilise des NVT (Network Vulnerability Tests) analogues aux Plugins de Nessus. La Greenbone Community Edition (GCE) fournit une interface de gestion Web (Greenbone Security Assistant). OpenVAS est populaire dans les environnements où les coûts de licence empêchent l’utilisation d’outils commerciaux. Il offre un ensemble de fonctionnalités plus large que Nmap tout en restant gratuit, ce qui en fait un choix courant pour les petites organisations, les environnements universitaires et les laboratoires de Security.

Nikto est un Scanner de serveurs Web open source qui recherche les fichiers dangereux, les versions obsolètes des logiciels, les problèmes de configuration des serveurs et les vulnérabilités Web courantes. Il vérifie plus de 6 700 problèmes connus, notamment les méthodes HTTP non sécurisées, les en-têtes de Security manquants, les interfaces d’administration exposées, les Credentials par défaut et les vulnérabilités CGI courantes. Nikto est bruyant et n’est pas conçu pour être discret : il génère des journaux importants sur la cible. Il complète les Scanner réseau en fournissant des vérifications propres au Web que Nessus et OpenVAS ne couvrent pas toujours en profondeur. Utilisez toujours Nikto uniquement sur des systèmes pour lesquels vous êtes autorisé à effectuer des tests.

Le Metasploit Framework est la plateforme de test d’intrusion la plus utilisée. Il fournit une base de données d’exploits, de charges utiles, de modules auxiliaires et d’outils post-exploitation. Les candidats à Security+ doivent comprendre ce qu’est Metasploit et comment il s’intègre à un test d’intrusion, même s’ils ne l’ont jamais utilisé. Les modules Metasploit comprennent : les exploits (code qui exploite une vulnérabilité), les payloads (shellcode exécuté après une exploitation réussie, comme Meterpreter), les modules auxiliaires (analyse, fuzzing et énumération sans exploitation) et les modules post-exploitation (élévation de privilèges, récupération de Credentials et déplacement latéral après l’accès initial).

Netcat (nc) est un utilitaire simple mais polyvalent qui lit et écrit des données via des connexions réseau utilisant TCP ou UDP. Il possède d’innombrables usages dans le domaine de la Security : établir des shells inversés depuis des hôtes compromis, transférer des fichiers entre des segments réseau, effectuer une analyse des ports, créer de simples écouteurs réseau pour les tests et récupérer des bannières afin d’identifier les versions des services. Sa simplicité et sa disponibilité sur presque tous les systèmes Linux en font un outil fréquemment utilisé aussi bien dans l’administration légitime que dans les boîtes à outils des attaquants. Il est donc également important de le comprendre du point de vue de la détection.

Recon-ng est un framework de reconnaissance Web conçu pour la collecte d’informations OSINT (renseignement de sources ouvertes). Il utilise des modules qui interrogent des sources publiques — Shodan, Bing, HaveIBeenPwned, les enregistrements DNS, LinkedIn, WHOIS et les journaux de transparence des certificats — afin de recueillir des informations sur une cible avant le début de toute analyse active. La phase de reconnaissance d’un test d’intrusion commence généralement par l’OSINT afin d’établir une vue d’ensemble de la topologie réseau de la cible, des noms des employés, des formats d’adresses e-mail, des technologies utilisées et des ressources exposées publiquement. Un bon travail d’OSINT peut révéler des chemins d’attaque qui demanderaient beaucoup plus de temps à découvrir au moyen de la seule analyse active.

Enum4linux énumère les informations provenant des hôtes Windows et des serveurs Samba (SMB Linux) au moyen de sessions nulles et de MSRPC. Il extrait les noms d’utilisateur, les appartenances aux groupes, les partages, les stratégies de mots de passe et les informations de groupe de travail. Lors des tests d’intrusion internes, enum4linux peut révéler rapidement les comptes utilisateur disponibles pour le password spraying ainsi que la structure des partages d’un environnement. Les versions modernes de Windows limitent par défaut l’accès par session nulle, mais les environnements mal configurés exposent souvent une quantité importante d’informations. Des fonctionnalités similaires sont disponibles dans samrdump.py d’Impacket et dans CrackMapExec pour l’énumération authentifiée.

Les professionnels de la Security associent les outils aux tâches à effectuer. Pour la découverte d’hôtes et l’analyse des ports : Nmap. Pour l’identification des vulnérabilités à grande échelle : Nessus (commercial) ou OpenVAS (gratuit). Pour les vulnérabilités des serveurs Web : Nikto. Pour les attaques contre les applications Web : Burp Suite. Pour l’Exploitation : Metasploit. Pour la reconnaissance OSINT : Recon-ng, theHarvester, Shodan. Pour l’analyse du trafic réseau : Wireshark, tcpdump. Pour les attaques sans fil : la suite Aircrack-ng. L’examen Security+ évalue les connaissances conceptuelles de ces outils : vous devez savoir à quoi sert chacun d’eux, même sans avoir pratiqué tous ces outils.

Vérifiez votre compréhension des concepts de CompTIA Security+ (SY0-701) abordés dans cette leçon.

Dans cette leçon, vous avez appris que Nmap constitue la base de la découverte d’hôtes, de l’analyse des ports et de la détection des versions, avec un puissant moteur de scripts offrant des fonctionnalités supplémentaires ; que Nessus et OpenVAS effectuent une analyse complète des vulnérabilités correspondant aux CVE connues, en utilisant un accès avec identifiants pour une précision maximale ; et que Metasploit fournit un framework d’exploitation permettant aux testeurs d’intrusion de confirmer que les vulnérabilités sont réellement exploitables et de démontrer leur impact concret. Nous allons maintenant étudier le cycle de vie complet d’un test d’intrusion, de la reconnaissance au rapport.