Архив метки: OpenVAS

Greenbone представили сканер уязвимостей Greenbone Basic для SME организаций, стоимость которого НЕ привязана к количеству сканируемых IP-адресов

Добавить комментарий

Greenbone представили сканер уязвимостей Greenbone Basic для SME организаций, стоимость которого НЕ привязана к количеству сканируемых IP-адресов

Greenbone представили сканер уязвимостей Greenbone Basic для SME организаций, стоимость которого НЕ привязана к количеству сканируемых IP-адресов. Лицензия на 1 сканер будет стоить 2450 € в год. Он будет поставляться в виде образа виртуалки. Есть сравнительная таблица и data sheet.

Отличия Greenbone Basic:

🔹 По сравнению с бесплатным Greenbone Free там БУДЕТ полноценная неурезанная база плагинов для детектирования уязвимостей, комплаенс сканирование, планировщик сканов, алерты, LDAP/ Radius аутентификация, управление HTTPS сертификатами, интеграция с NTP.

🔹 По сравнению с Greenbone Enterprise там НЕ БУДЕТ возможности иерархически соединять сканеры (сенсоры), поддержки API, тикетов на исправление уязвимостей, техподдержки от Greenbone и будущих энтерпрайзных фич.

По фичам выглядит как реальная альтернатива Nessus Professional от Tenable. Конкуренция в сегменте VM-решений базового уровня с фиксированной ценой усиливается. 👍

Что там у Greenbone и OpenVAS?

Добавить комментарий

Что там у Greenbone и OpenVAS?

Что там у Greenbone и OpenVAS? Попался на глаза относительно свежий ролик Greenbone AG "Demystifying Greenbone" (вышел 3 месяца назад). Хороший такой ликбез по OpenVAS/GVM и куда ветер дует.

Что для себя отметил:

🔸 Greenbone корректно, но настойчиво отдаляются от бренда OpenVAS. Формула теперь такая: "Greenbone - это программное обеспечение с открытым исходным кодом и богатой историей". 😉

🔸 Greenbone Community Feed это для домашних продуктов "Home Application (only)", таких как Ubuntu Linux, AVM Fritzbox, MS Office. Если хотите комплаенса и "Enterprise grade" ПО, такого как MS Exchange, Palo Alto, Cisco IoT/OT, то нужен платный Greenbone Enterprise Feed. Был удивлён, что в бесплатном фиде есть немного комплаенса - German Policy IT-Grundschutz. Видимо для демки.

🔸 Методично отказываются от NASL-ового движка OpenVAS в пользу своего нового сканера Notus. В последнем стабильном релизе пишут, что Notus потенциально заменяет логику всех NASL-скриптов для локальных проверок: "Replaces the logic of potentially all NASL-based local security checks". Правда я что-то не нашёл в коде логику проверок для Windows, возможно имеются ввиду проверки только для Linux. 🤷‍♂️ Кстати, последней релиз был в июле 2022. В прошлом году стейбл так и не выпустили, но на GitHub новые пакеты выходят довольно часто.

В целом, прикольно, что до сих пор что-то движется и даже выкладывается в open source, но позывов бежать тестить это дело как не было, так и нет. Во-первых, с куцым контентом непонятен практический смысл, т.к. сканы будут заведомо недостоверными. Но даже не в контенте дело. Контент можно и собственный нагенерить, если прям очень хочется. Сама архитектура кажется переусложнённой и с кучей легаси. Одних репозиториев с какими-то либами и утилитами 62. 🫣 Вот уж действительно порождение "сумрачного германского гения". 🙂 Всё вроде так-то по уму, параллельно и перпендикулярно, но работать с этим решительно невозможно. 😣 Но будем наблюдать дальше. 😉

Про историю Vulnerability Management-а

1 комментарий

Про историю Vulnerability Management-а. Иногда люди говорят публично что-то странное, но делают это настолько уверенно, что сам начинаешь в себе сомневаться. Вдруг они лучше знают? Ну или может ты их не так понял? Вот, например, посмотрел ролик "Traditional Vulnerability Management is Dead!" с Stefan Thelberg, CEO Holm Security. Это те ребята, которые считают, что без встроенного Антифишинга VM уже не VM.

В начале Stefan Thelberg заявляет про историю Vulnerability Assessment-а (Vulnerability Management-а) буквально следующее:

1. Оригинальная идея Vulnerability Assessment-а появилась в гайдлайнах NIST-а.
2. Прошло 20 лет и появились первые Vulnerability Assessment продукты.
3. Большая часть Vulnerability Assessment продуктов родились из опенсурсного проекта OpenVAS.
4. Один из наиболее распространенных продуктов на рынке, Nessus, это коммерческий форк OpenVAS.
5. Прошло ещё несколько лет и около 2000-го появилось несколько больших компаний: Rapid7, Tenable, Qualys.

То, что VA/VM родился из каких-то публикаций NIST-а не проверишь особо, организация в 1901 году основана, вполне вероятно что-то и было в 80х. Но заявление, что сначала был OpenVAS, а потом Nessus это очень странно. Первая версия The Nessus Project вышла в 1998 как GPL проект. Первая версия XSpider (тогда Spider) также появилась в 1998, а в 2000 он стал публично доступным. Компания Qualys была основана в 1999, Rapid7 в 2000, Tenable в 2002, Positive Technologies в 2002. Проект OpenVAS (GNessUs) появился не раньше 2005-го как форк последней опенсурсной версии Nessus-а, т.к. сам Nessus с 2005 года стал проприетарным продуктом Tenable.

Вот и думай теперь, то ли Stefan Thelberg говорит о том, о чем понятия не имеет. То ли он как-то странно называет OpenVAS-ом оригинальный Nessus 1998-го года. Но даже говорить, что другие VM продукты родились из Nessus-а или OpenVAS-а более чем странно, как минимум потому что другие продукты (Qualys, Rapid7 Nexpose, XSpider/MaxPatrol) не используют и не использовали NASL-скрипты, которые составляют основу Nessus. Может, конечно, у самих Holm Security движок это OpenVAS и они всех по себе меряют, не знаю. 😏

Немного про остальной ролик. Само обоснование почему традиционный VM уже не живой это отличный пример борьбы с "соломенным чучелом". Определяют "традиционный VM" так, как удобно. Что он, дескать, не поддерживает новые технологии (облака, IoT, SCADA). Добавляют свой спорный тезис, что обучение пользователей через Антифишинг это тоже обязательная часть VM. И дальше получившееся удобное "соломенное чучело" атакуют. Хотя чего бы "традиционному VM-у" не поддерживать все типы активов, которые в организации есть - непонятно. Да и какой-то проблемы прикрутить к VM-у Антифишинг, если так уж хочется, тоже нет.

Плавно свожу OpenVAS.ru с орбиты

2 комментария

Плавно свожу OpenVAS.ru с орбиты

Плавно свожу OpenVAS.ru с орбиты. Пришло время очередного продления домена и в этот раз я решил его не продлевать. В прошлом году я выкладывал пост "Возрождаем OpenVAS Russia?". Это было ещё до старта канала, поэтому продублирую частично:

"В 2015 году я крепко увлекся OpenVAS-ом. Создал официальную русскоязычную User Group, зарегистрировал сайт openvas.ru, поддерживал скрипт для автоматизации сборки из исходников и управлению сканером и неофициальный виртуальный апплаенс, писал обучающие посты.

Запала у меня хватило где-то до 2017-2018. После этого немцы из Greenbone сильно переделали архитектуру, у меня разъехалась билдилка. Ну и вообще стало как-то непонятно зачем мучаться с опенсурсом, если можно сконцентрироваться на работе с западными коммерческими решениями, которые и детектирует лучше, и работать с ними приятнее.

Не добавляло энтузиазма и активность Greenbone по ребрендингу OpenVAS, чтобы он больше способствовал их бизнесу. Теперь собственно OpenVAS это один маленький проектик непосредственно относящийся к старому Nessus-у. Все остальное это сплошной ехал Greenbone через Greenbone."

Основной GVM/OpenVAS вроде и живой, и открытый, последняя стабильная версия вышла в прошлом году и скоро должна выйти очередная. Есть даже официальная документация как ставить из исходников в Debian/Ubuntu, Fedora, CentOS. С другой стороны, практическая полезность продукта стремительно снижается.

1. Сканер уязвимостей это прежде всего база детектов, в данном случае Greenbone Community Feed. И изначально этот фид был неплох. НО Greenbone сознательно вырезали из него всё, что касается корпоративного софта, например MS Exchange. "This distinction is regarded an adequate balance between community needs and commercial needs". Я время от времени делаю сравнение с Tenable Nessus, последний раз год назад, разница ощутимая, хотя и не в одни ворота. Иногда встречаю тезис "куцая у него база, но это все равно лучше, чем ничего". Возможно, но все равно перед тем как использовать инструмент нужно оценить его ограничения и понимать что ты с помощью него хочешь продетектировать.

2. Сам движок для запуска NASL скриптов. Да, NASL это история. Да, на нем было написано множество проверок. Но насколько эти проверки актуальны сейчас? Кто-нибудь это исследовал? 🙂 Кажется для Local Security Checks это далеко не оптимальное решение, когда на каждую уязвимость генерится отдельный скрипт. Кажется даже OVAL выглядит логичнее и предпочтительнее для этого, не говоря уже об API-шках для детекта и обвязках вокруг них, типа моего Scanvus. Remote Checks сейчас успешно реализуются на скриптах для Nuclei или Nmap, а ещё проще написать проверку просто на python и не сковывать себя какими-то ограничениями специализированного языка. Причем сами вендоры, которые сидят на NASL, от него потихоньку отказываются. Tenable засовывают всё значимое в .nbin, а Greenbone делают свой Notus Scanner для проверок по версиям.

В общем, OpenVAS получается чемоданом без ручки. И бросить жалко, и польза от него стремительно перестает быть очевидной. Поэтому сайт openvas.ru, для которого не было обновлений с 2017 года, я прикрываю. Выкаченную копию его прикладываю (использовал httrack). OpenVAS Russia теперь полностью живет на https://vk.com/openvas.russia. Кому хочется поучаствовать или порулить комьюнити - всегда welcome!

Итак, вы решили начать разработку своего Vulnerability Management решения

2 комментария

Итак, вы решили начать разработку своего Vulnerability Management решения. Часть 3. На чем можно срезать углы?

Подводные камни подсветили, специализаций коснулись. В этой завершающей части посмотрим как можно быстро слепить VM-решение из того, что есть в паблике:

1. Весьма соблазнительно взять опенсурсный сканер и, несколько доработав его, начать продавать как коммерческий продукт или сервис. Например, взять OpenVAS/GVM, Nuclei, Nmap. Однако следует понимать, что вместе с наработками придется брать в нагрузку и немалое легаси. И возможно реализовать какую-то конкретную функциональность с нуля было бы проще, чем поддерживать форк проекта с историей. Кроме того за успешным опенсурсным сканером, как правило, стоит коммерческая компания, которая этот проект уже монетизирует и конкурентам не рада. Стоит ожидать, что вам будут вставлять палки в колеса, например через хитрое лицензирование (Nmap) или ограничение бесплатного публичного фида с детектами (OpenVAS/GVM). И тут уж как впишитесь.
2. Часто для того, чтобы по-быстрому добавить детектирование уязвимостей реализуют такую схему: детектирование CPE идентификатора установленного софта и поиск уязвимостей в базе NVD. Просто, быстро, универсально. Но далеко не всегда достоверно, т.к. ошибки могут быть и при детектировании CPE, и описании уязвимой конфигурации в NVD. Да и не всё всегда определяется версиями софта, свою роль могут играть патчи и их перекрытия. Продемонстрировать как такая схема работает можно на примере Nmap + Vulners plugin. Nmap тут отвечает за детект CPE, а Vulners за поиск по NVD.
3. Отдельная большая тема это SCAP/OVAL. Если кратко, то это набор открытых спецификаций для описания уязвимостей/мисконфигураций и того как их по этому описанию детектировать. Есть много бесплатного публичного контента: репозиторий CIS, DISA STIGs, профили PCI DSS от OpenSCAP, Windows уязвимости в коненте от ФСТЭК/АЛТЭКС-СОФТ, вендорский контент для Ubuntu, Debian, RHEL. Есть как минимум один опенсурсный SCAP/OVAL сканер, который все ещё развивается, это OpenSCAP от RedHat. Есть старые заброшенные проекты ovaldi и jovaldi. C открытыми SCAP/OVAL сканерами под Windows все традиционно тяжко, OpenSCAP в этом направлении шел, но не так давно под Windows его перестали поддерживать. Следует отметить, что продвигается эта тема в первую очередь американцами для контроля безопасности их государственной инфры (для военных и федеральных агентств в основном). Чуть менее чем все вакансии по SCAP/OVAL открываются в США и требуют американское гражданство и clearance, что намекает. 😉 Также они навязывают VM-вендорам поддерживать SCAP/OVAL, что те и делают, кто-то более формально, кто-то менее. В общем, есть соблазн в это дело крепко влезть, чтобы реюзнуть наработки. И есть как минимум одна success story у кого это получилось - RedCheck от АЛТЭКС-СОФТ. Также можно привести в пример индийскую компанию Secpod. Из минусов - спецификации там не особо простые и удобные, делать всё строго по ним достаточно тяжко, особенно реализовывать нестандартные проверки для нестандартных систем.

На этом мини-цикл про разработку VM я заканчиваю, но тему сканероделания конечно не оставляю. Дальше как раз планирую в очередной раз погружаться в SCAP/OVAL, следующий плановый эпизод будет про детектирование уязвимостей с помощью OpenSCAP.