NESSUS
O passo abaixo descreve a instalação e a configuração de scanner de
vulnerabilidades Nessus 4.4 da Tenable Network Security.
SISTEMAS OPERACIONAIS COMPATÍVEIS
O Nessus está disponível e funciona com vários sistemas operacionais e
plataformas:
CONCEITOS BÁSICOS
O Nessus é um scanner de segurança de rede completo, moderno e fácil de
usar. Atualmente, é considerado um dos principais produtos do seu gênero
em todo o setor de segurança e conta com o apoio de organizações
profissionais de segurança da informação, como o Instituto SANS.
> Varredura inteligente – Ao contrário de outros
scanners de segurança, o Nessus não gera alarmes falsos. Ou seja, o programa
não pressupõe que um determinado serviço está sendo executado em uma porta fixa.
Isto significa que, se o servidor Web for executado na porta 1234, o Nessus o
detectará e testará sua segurança da forma apropriada. O
programa verificará uma vulnerabilidade por meio de exploração sempre que
possível. Nos casos em que isso não for confiável ou afetar negativamente
o alvo, o Nessus conta com um banner de servidor para determinar a
presença da vulnerabilidade. Nesse caso, o relatório gerado indicará se
esse método foi utilizado.
> Arquitetura modular – A arquitetura cliente/servidor oferece a
flexibilidade de instalar o scanner (servidor) e conectar-se à interface
gráfica do usuário (cliente) por intermédio de qualquer computador com um
navegador, reduzindo assim os custos de gerenciamento (um servidor pode ser
acessado por vários clientes).
> Compatível com CVE – A maioria dos plugins se conecta ao CVE para
que os administradores possam recuperar mais informações sobre
vulnerabilidades publicadas. As referências ao Bugtraq (BID), OSVDB e
alertas de segurança dos fornecedores também são incorporadas
com frequência.
> Arquitetura de plugin – Os testes de segurança são gerados por meio de um
pluginexterno e agrupado em uma das 42 famílias. Dessa forma, é possível
adicionar facilmente seus próprios testes, selecionar plugins específicos
ou escolher uma família inteira sem a necessidade de leitura do código do
mecanismo do servidor Nessus, nessusd. A lista completa dos plugins
do Nessus está disponível em
http://www.nessus.org/plugins/index.php?view=all.
> NASL – O
scanner Nessus utiliza NASL (Nessus Attack Scripting Language), uma
linguagem criada especificamente para a criação de testes de segurança de
maneira fácil e rápida
> Banco de dados de vulnerabilidades de segurança atualizado – A Tenable dedica-se
a desenvolver verificações de segurança para vulnerabilidades emergentes.
Nosso banco de dados de verificações de segurança é atualizado diariamente
e todas as verificações de segurança mais recentes estão disponíveis no
link http://www.nessus.org/scripts.php
> Teste simultâneo de hosts – Dependendo da configuração do sistema de
scanner Nessus, é possível auditar um grande número de hosts ao mesmo
tempo.
> Reconhecimento inteligente do serviço – O Nessus reconhece quando
os hosts de destino não são compatíveis os números de portas atribuídos
pelo IANA. Isto significa que reconhecerá um servidor de FTP executado em
uma porta que não seja padrão (por exemplo: 31337) ou um servidor de Web
funcionando na porta 8080 em vez da porta 80.
> Vários serviços – Se dois ou mais servidores de Web forem executados
em um host (por exemplo: um na porta 80 e outro na porta 8080), o Nessus
identificará e testará todos eles.
> Compatibilidade entre plugins – Os testes de segurança realizados pelos
plugins do Nessus impedem que sejam realizadas verificações
desnecessárias. Se o servidor de FTP não permitir logins anônimos, não
serão realizadas verificações de segurança relacionadas a logins anônimos.
> Relatórios completos – Além de detectar as vulnerabilidades de segurança
existentes na rede e o nível de risco de cada uma delas (baixo, médio,
alto e grave), o Nessus oferece soluções de como atenuá-las.
> Suporte total a SSL – O Nessus é capaz de testar os serviços
oferecidos por SSL, como HTTPS, SMTPS, IMAPS entre outros.
> Smart Plugins (opcional) – O Nessus determinará quais plugins devem ou não ser
aplicados ao host remoto. Por exemplo: o Nessus não verificará
vulnerabilidades de sendmail no Postfix. Esta opção é denominada
“otimização”.
> Testes não destrutivos (opcional) – Determinadas verificações
podem ser prejudiciais a alguns serviços de rede. Caso não queira correr o
risco de causar uma falha de serviço na sua rede, ative a opção “safe
checks” (verificação segura) do Nessus. Este comando fará com que o Nessus
use banners em vez de explorar falhas reais para detectar uma vulnerabilidade.
> Fórum aberto – Encontrou um erro? Dúvidas sobre o Nessus? Inicie uma discussão
em https://discussions.nessus.org/.
PRÉ-REQUISITOS
A Tenable recomenda, no mínimo, 2 GB de memória para o funcionamento
correto do Nessus. Para varreduras maiores em várias redes, recomendam-se
pelo menos 3 GB de memória, mas podem ser necessários até 4 GB.
Recomenda-se um processador Pentium 3 operando a 2 GHz ou superior.
Para usar o Mac OS X, recomenda-se um processador Intel® Dual Core de 2
GHz ou superior. O Nessus pode funcionar em uma instância do VMware, no
entanto, se o computador simulado usar a conversão de endereços de rede
(NAT) para acessar a rede, diversas verificações de vulnerabilidade do
Nessus, a enumeração de hosts e a identificação de sistemas
operacionais serão afetadas negativamente.
NESSUS UNIX
Antes de instalar o Nessus no Unix/Linux, são necessárias algumas
bibliotecas. Normalmente, acompanham a maioria dos sistemas operacionais e
dispensam uma instalação separada.
NESSUS PARA WINDOWS
As atualizações feitas pela Microsoft no Windows XP SP2 e nas versões
mais recentes (Home e Pro) podem afetar o desempenho do Nessus para
Windows. Para aumentar a velocidade e a confiabilidade das varreduras, é
recomendável que o Nessus para Windows seja instalado em um produto de
servidor da família Microsoft Windows, como o Windows Server 2003. Para
obter mais informações, consulte a seção “Solução de Problemas do Nessus
para Windows”.
OPÇÕES DE INSTALAÇÃO
Ao instalar o Nessus, muitas vezes é necessário ter conhecimentos de
roteamento, filtros e políticas de firewall. Recomenda-se que o Nessus
seja instalado de modo que a conectividade IP com as redes a serem
examinadas não seja prejudicada. A instalação em um dispositivo NAT não é
desejável, a menos que a varredura seja realizada na rede interna.Sempre que a
verificação de vulnerabilidade for direcionada a um NAT ou proxy de
aplicativos, a verificação pode ser distorcida e gerar um falso positivo
ou negativo. Além disso, se o sistema no qual o Nessus está instalado
tiver firewalls no computador, as ferramentas podem limitar a eficácia de
uma varredura remota de vulnerabilidades.Os firewalls de host
podem interferir na varredura de vulnerabilidades de rede. Dependendo da
configuração do firewall, pode impedir, gerar falsos negativos ou ocultar
as sondas de uma varredura do Nessus.
INSCRIÇÕES EM PLUGINS DE VULNERABILIDADES
Um grande número de vulnerabilidades emergentes é divulgado por
fornecedores, pesquisadores e outras fontes todos os dias. A Tenable se
esforça para testar e disponibilizar o mais rapidamente possível as
verificações de vulnerabilidades publicadas recentemente, normalmente 24
horas após a divulgação. A verificação de uma vulnerabilidade específica
é conhecida pelo scanner Nessus como um “plugin”. A lista completa de
todos os plugins do Nessus está disponível em
: http://www.nessus.org/plugins/index.php?view=all.
A Tenable distribui os plugins de vulnerabilidades mais recente em dois
modos do Nessus: ProfessionalFeed e HomeFeed.
Os plugins são baixados diretamente da Tenable por meio de um
processo automatizado do Nessus. O Nessus verifica as assinaturas digitais
de todos os plugins baixados para garantir a integridade dos arquivos. Nas
instalações do Nessus sem acesso à Internet, pode ser usado um processo de
atualização offline para garantir que o scanner permaneça atualizado.Com o
Nessus 4, o usuário deve se registrar para obter um feed de plugin
e atualizá-los antes de iniciar o Nessus e a interface de varredura do
Nessus se torne disponível.
QUAL É O FEED CORRETO?
As instruções específicas para configurar o Nessus para receber um
HomeFeed ou um ProfessionalFeed serão apresentadas mais adiante neste
documento. Para saber qual é o feed do Nessus adequado para o seu
ambiente, considere os seguintes aspectos:
HomeFeed
Se o Nessus for instalado para uso doméstico e não profissional, o
usuário deve se inscrever no HomeFeed. Novos plugins para as
vulnerabilidades de segurança mais recentes são liberados imediatamente
para os usuários do HomeFeed. O uso do HomeFeeds é gratuito, mas há uma
licença separada do HomeFeed cujos termos e condições os usuários
devem aceitar. Para se inscrever no HomeFeed, acesse
http://www.nessus.org/register/ e registre a sua cópia do Nessus para usar
o HomeFeed. Use o código de ativação que receberá no processo de registro
ao configurar o Nessus para fazer atualizações. Os usuários do
HomeFeed não têm acesso ao Tenable Support Portal, às verificações de
conformidade ou às políticas de auditoria de conteúdo.
ProfessionalFeed
Se o Nessus for usado para fins profissionais (por exemplo:
consultoria), seja em um ambiente público ou privado, o usuário deve
adquirir um ProfessionalFeed. Novos plugins para as vulnerabilidades de
segurança mais recentes são liberados imediatamente para os usuários do
ProfessionalFeed. Os clientes do SecurityCenter são automaticamente
inscritos no ProfessionalFeed e não precisam adquirir outro feed, a menos
que tenham um scanner Nessus que não seja gerenciado pelo SecurityCenter.A
Tenable presta suporte comercial aos clientes do ProfessionalFeed e
usuários do Nessus 4 através do Tenable Support Portal ou por e-mail. O
ProfessionalFeed também contém um conjunto de verificações de
conformidade de host para Unix e Windows, que permitem realizar auditorias
de conformidade, como SOX, FISMA ou FDCC. É possível adquirir um
ProfessionalFeed na Loja Online da Tenable (https://store.tenable.com/) ou por
meio de uma ordem de compra enviada aos Parceiros Autorizados do
ProfessionalFeed. O usuário receberá um código de ativação da Tenable. Esse
código será usado para configurar a cópia do Nessus para atualizações.Se o
Nessus for usado junto com o SecurityCenter da Tenable, o SecurityCenter
terá acesso ao ProfessionalFeed e atualizará automaticamente os scanners.
Alguns dispositivos de rede que realizam a inspeção dinâmica
(stateful inspection), como firewalls, balanceadores de carga e sistemas
de Copyright detecção/prevenção de intrusões, podem reagir negativamente quando
uma varredura for realizada através deles. O Nessus possui várias opções
de configuração que podem ajudar a reduzir o impacto da varredura por meio
desses dispositivos, no entanto, a melhor maneira de prevenir os problemas
inerentes à varredura com esses dispositivos de rede é realizar uma
varredura credenciada.
INSTALAÇÃO
Baixe a última versão do Nessus em http://www.nessus.org/download/ ou
por meio doTenable. Todos os comandos devem ser executados como usuário
root do sistema. Em geral, as contas comuns de usuários não possuem os
privilégios necessários para instalar este software.
Debian 5 (32 e 64 bits)
Exemplo de resultado
Ativando o Nessus
Você também pode usar esse vídeo para facilitar a ativação:
http://www.forum-invaders.com.br/vb/showthread.php/39284-Registrando-e-configurando-o-Nessus-no-Backtrack-5
nele segue o passo a passo.
Linux e Solaris:
# /opt/nessus/bin/nessus-fetch --register <Activation Code>
Your activation code has been registered properly – thank you.
Now fetching the newest plugin set from plugins.nessus.org.
# cat /opt/nessus/lib/nessus/plugins/plugin_feed_info.inc
PLUGIN_SET = "200912160934";
O arquivo plugin_feed_info.inc, localizado no diretório
/opt/nessus/lib/nessus/plugins/, verificará qual conjunto de plugins e
tipo de feed você possui. Leia o arquivo para ajudá-lo a garantir que os
últimos plugins estejam disponíveis.
COMO INICIAR O DAEMON DO NESSUS
O Nessus não será iniciado até que o scanner seja registrado e os
plugins sejam baixados. Os usuários do SecurityCenter que digitaram o
comando a seguir não precisarão fornecer um código de registro ou baixar
plugins.
# nessus-fetch --security-centerCopyright © 2002-2011 Tenable Network
Security, Inc. 27
Inicie o serviço Nessus como root com o seguinte comando:
Debian # /etc/init.d/nessusd start
Depois de iniciar o serviço nessusd, os usuários do SecurityCenter
concluirão a instalação e configuração iniciais do seu scanner Nessus 4.
Se o SecurityCenter não for usado para se conectar ao nessusd, prossiga
com as seguintes instruções para instalar o código de ativação do plugin.
COMO PARAR O DAEMON DO NESSUS
Caso seja necessário parar o serviço nessusd por qualquer motivo, o
comando a seguir interromperá o Nessus e todas as varreduras em andamento:
# killall nessusd
Em vez disso, recomendamos que os scripts de desligamento gradual sejam
usados:
Debian # /etc/init.d/nessusd stop
OPÇÕES DE LINHA DE COMANDO DO NESSUSD
Além de executar o servidor nessusd, várias outras opções de linha de
comando podem ser usadas quando necessário. A tabela a seguir contém
informações sobre esses vários comandos opcionais.
Opção e Descrição:
-a <address> Ao
iniciar o servidor nessusd, esta opção é usada para instruir o
servidor que “escute” apenas as conexões no endereço <address> que
sejam um IP e não um nome de computador. Esta opção é útil ao executar o
nessusd em um gateway e se o usuário não desejar que usuários externos se
conectem ao nessusd.-S <ip[,ip2,...]> Ao iniciar o servidor nessusd,
este comando força o IP de origem das conexões estabelecidas pelo Nessus
durante a varredura de <ip>. Esta opção só será útil se o usuário
tiver um computador com vários homes e endereços IP públicos que podem ser
usados em vez do IP padrão. Para que esta configuração funcione, o host
que executa o nessusd deve ter várias placas de rede com esses endereços
IP definidos.
-p <port-number> Ao iniciar o servidor nessusd, esta opção instrui o
servidor que “escute” conexões do cliente na porta <port-number> em
vez de escutar na porta 1241, que é a porta padrão.
-D Ao
iniciar o servidor nessusd, esta opção fará com que o servidor funcione em
segundo plano (no modo daemon).
-v
Exibe o número da versão e desconecta.
-l Exibe as
informações sobre a licença do feed do plugin e desconecta.
-h Mostra
o resumo dos comandos e desconecta.
--ipv4-only Escuta
apenas o soquete IPv4.
--ipv6-only Escuta
apenas o soquete IPv6.
-q Funciona
no modo “silencioso” ao suprimir todas as mensagens enviadas a stdout.
-R Força
o reprocessamento dos plugins.
-t Verifica
a data e hora de cada plugin na inicialização.
-K Define
uma senha mestra para o scanner.
Se uma senha mestra for definida, o Nessus irá criptografar todas as
políticas e credenciais contidas neles com a chave fornecida pelo usuário
(mais segura que a chave padrão). Se uma senha for definida, a interface
de Web solicitará a senha durante a inicialização. ATENÇÃO: Se a senha
mestra for definida e perdida, o administrador e o suporte da Tenable não
poderão recuperá-la.
CONEXÃO COM O CLIENTE
Depois que a instalação for concluída e os plugins atualizados e
processados, o servidor Nessus estará pronto para que um cliente se
conecte a ele. A Tenable permite o acesso ao servidor Nessus por meio de
um servidor Web original (normalmente porta 8834), da linha de comando ou
da interface do SecurityCenter (abordada na seção “Trabalhando com
SecurityCenter”).
ATUALIZAÇÃO DOS PLUGINS
O comando a seguir é usado para atualizar o scanner Nessus com os
plugins mais recentes:
Linux e Solaris:
# /opt/nessus/sbin/nessus-update-plugins
Com que frequência devo atualizar os plugins?
Em geral, atualizar os plugins do Nessus uma vez ao dia é suficiente
para a maioria das organizações. Caso seja necessário obter os plugins
mais recentes e o usuário pretende realizar atualizações contínuas ao
longo do dia, basta atualizar uma vez a cada quatro horas,
pois praticamente não há nenhum benefício em atualizar com mais
frequência.
Atualização automática dos plugins
Desde a versão 3.0, o Nessus localiza os plugins mais recentes de
maneira automática e regular. Isto é feito com a opção auto_update
localizada no arquivo nessusd.conf. A opção padrão é “yes” (sim). A opção
auto_update_delay determina quantas vezes o Nessus atualizará seus
plugins, em horas, cujo valor padrão é 24. O valor mínimo de quatro
horas pode ser usado. A atualização de plugins ocorre no número de horas
após o início do nessusd e prossegue a cada N horas após a última
atualização.Para que esta opção funcione corretamente, é preciso verificar
se o feed do código de ativação do plugin do scanner foi registrado
corretamente. Use o seguinte comando para fazer a verificação:
Linux e Solaris:
As atualizações automáticas de plugins só ocorrerão se:
Observe que o registro offline de um feed de plugin não permitirá que o
Nessus localize os plugins mais recentes automaticamente.Programação de
atualizações de plugins com o cronSe a sua organização tiver algum motivo
técnico ou logístico para não permitir que o Nessus atualize os plugins
automaticamente, pode-se também configurar uma tarefa cron para esta
finalidade.Para configurar o sistema para atualizar os plugins todas as noites
por meio do cron, execute as etapas a seguir:
A configuração acima acionará o comando nessus-update-plugins todos os
dias às 03h28. Uma vez que o nessus-update-plugins reinicia o nessusd
automaticamente sem interromper as varreduras em andamento, não é preciso
realizar nenhuma ação.Ao configurar
proxy=myproxy.example.com
Para a diretiva “proxy”, pode-se usar um nome de host DNS ou um endereço
IP. Apenas um proxy pode ser especificado no arquivo nessus-fetch.rc. Além
disso, uma diretivauser_agent pode ser especificada, se necessário, que
instrui o Nessus a usar um user agent http personalizado.
Essa pesquisa foi realizada para
fins didáticos e os créditos deste laboratório vão para o Analista de Suporte -
Diego Souza
Fonte: http://news.pubecomunic.com/ciencia-e-tecnologia/item/942-lab-nessus#ixzz1rAZRQgfU
Copyright - Pub & Comunic News - A Informação onde você estiver!
Fonte: http://news.pubecomunic.com/ciencia-e-tecnologia/item/942-lab-nessus#ixzz1rAZRQgfU
Copyright - Pub & Comunic News - A Informação onde você estiver!
Nenhum comentário:
Postar um comentário