Esecuzione di scansioni con Nessus o OpenVAS

Gli scanner automatici di vulnerabilità analizzano i target con migliaia di controlli e confrontano i risultati con i database CVE. Accelerano notevolmente la valutazione, ma richiedono una messa a punto per ridurre i falsi positivi.

Nessus viene eseguito come server con un'interfaccia web. Le policy definiscono cosa analizzare; i plugin (oltre 100.000) contengono i singoli controlli. I risultati sono organizzati per host, gravità e famiglia di plugin.

Una buona policy di base è Basic Network Scan o Advanced Scan. Abiliti i controlli sicuri, configuri le credenziali per la scansione autenticata e imposti l'orario della scansione per evitare di interrompere i sistemi di produzione.

Le scansioni non autenticate mostrano solo ciò che è esposto sulla rete. Le scansioni autenticate (con credenziali SSH/SMB) controllano le versioni dei pacchetti installati, le impostazioni del registro e i file di configurazione, individuando molte più vulnerabilità.

OpenVAS (ora Greenbone Community Edition) è l'alternativa open source. Utilizza l'interfaccia Greenbone Security Manager (GSM) e NVT (Network Vulnerability Tests) aggiornati regolarmente.

Crei un Target (host/intervallo), assegni una Scan Config (Full and Fast è una scelta comune), quindi avvii un Task. I risultati vengono visualizzati in tempo reale; faccia clic sulle vulnerabilità per visualizzare l'output completo del plugin e i suggerimenti per la correzione.

Gli scanner restituiscono i risultati in base alla gravità. Si concentri prima su Critical e High. Legga attentamente l'output del plugin: include le prove (banner, stringa della versione) che hanno attivato il rilevamento.

Gli scanner segnalano problemi basandosi sui numeri di versione senza confermare la sfruttabilità. Verifichi sempre manualmente i rilevamenti critici: controlli che il componente vulnerabile sia effettivamente installato e che la configurazione sia davvero vulnerabile.

Nikto è specializzato nella scansione dei server web: verifica la presenza di credenziali predefinite, file pericolosi, software obsoleto e configurazioni comuni errate. Genera molto rumore, ma è veloce.

Lo scanner attivo di ZAP esegue il crawling dell'app web e invia attivamente sonde a ogni input per individuare vulnerabilità di injection, XSS e CSRF. Lo esegua solo su applicazioni di sua proprietà o per le quali dispone dell'autorizzazione a eseguire test.

La scansione delle vulnerabilità dovrebbe essere continua, non una tantum. Integri gli scanner nelle pipeline CI/CD per le nuove distribuzioni e pianifichi scansioni autenticate settimanali dei sistemi di produzione.

Qual è il principale vantaggio di una scansione delle vulnerabilità autenticata?

Nessus e OpenVAS automatizzano l'individuazione delle vulnerabilità su larga scala. Utilizzi sempre scansioni autenticate per ottenere la massima copertura, verifichi manualmente i rilevamenti critici per eliminare i falsi positivi e integri la scansione nei processi di sicurezza continui, invece di trattarla come un'attività una tantum.