Поиск уязвимостей сканерами уязвимостей

5 июля 2019

Настало время познакомиться с еще одним видом программного обеспечения, предназначенного для защиты от интернет-угроз. Сканеры уязвимости – это комплексные решения, которые могут представлять собой как аппаратные, так и программные средства, предназначеные для постоянного сканирования состояния корпоративной сети, на предмет действия вирусов или подозрительных процессов. Их основной задачей является оценка безопасности процессов и поиск уязвимостей и их устранение.

Vulnerability scanner или сканер уязвимости, дает администратору возможность поиска существующих в сети «дыр» или «бэкдоров», с помощью которых, хакеры и мошенники могут получить доступ к сети компании и конфиденциальным данным. Кроме этого, в состав сканеров входят средства для сканирования запущенных служб и процессоров, а также сканеры портов.

Исходя из этого, можно выделить такие функции сканеров уязвимостей:

Поиск уязвимостей и их анализ.
Проверка всех ресурсов в сети, устройства, операционная система, порты, приложения, процессы и т.д.
Создание отчетов, в которых указывается уязвимость, путь ее распространения и характер.

Как работают сканеры уязвимостей?

В основе сканера лежат два механизма. Первый механизм называется – зондирование. Это не слишком быстрый, но наиболее эффективный инструмент активного анализа. Суть его состоит в том, что он сам запускает атаки, и следит за тем, где эти атаки могут пройти. Во время зондирования, подтверждаются возможные догадки и возможности прохождения атак на определенных направлениях.

Другой механизм – сканирование. В этом случае инструмент работает быстро, но производится только поверхностный анализ сети, по самым частым и возможным «дырам» в безопасности сети. Отличие второго способа в том, что он не подтверждает наличие уязвимости, а только уведомляет администратора о ее возможности, основываясь на косвенных признаках. Например, происходит сканирование портов, определяются их заголовки и затем они сравниваются с эталонными таблицами и правилами. В случае расхождения значений, сканер уведомляет о нахождении потенциальной уязвимости, которые администратор должен проверить более надежными способами.

Основные принципы работы сканеров уязвимостей

Сбор всей информации в сети, идентификация всех служб, устройств и процессов.
Поиск потенциальных уязвимостей
Использование специализированных методов и моделирование атак, для подтверждения уязвимости (существует не во всех сетевых сканерах)

Подборка лучших сканеров уязвимостей

Nessus. Довольно давно, еще с 1998 года, компания Tenable Network Security, начала заниматься разработкой своего сканера уязвимостей, благодаря чему имеет большой опыт и далеко впереди в своей сфере. Многие годы их сканер является коммерческим ПО. Ключевой особенностью сканера Nessus, является возможность расширять функционал с помощью плагинов. Таким образом, мощные тесты, такие как тесты на проникновение или другие, не устанавливаются вместе с главным модулем, а при необходимости подключаются отдельно. Все плагины можно разделить на 42 категории. Это означает, что, например, для проведения пинтеста (теста на проникновение), не обязательно запускать полную проверку, а можно выделить только тесты из определенной категории или выбрать тесты вручную. Кроме этого, Nessus имеет свой специальный скриптовый язык, так что, администраторы могут сами писать необходимые им тесты.

Symantec Security Check. Главными функциями данного сканера является поиск червей, троянов, вирусов, а также сканирование локальной сети, для обнаружения заражений. Данный продукт устанавливается без затруднений, и имеет основной центр управления в браузере. В состав решения входят два модуля: SecurityScan и VirusDetection. Первый - занимается сканирование сети, второй - сканирует и проверяет устройство на наличие вирусов Некоторые специалисты советуют использовать решение от Symantec, для дополнительной проверки.

Xspider. Как заявляется разработчик, их решение способно выявить треть всех возможных уязвимостей, называемых «zero day». Основным преимуществом данного сканера, является возможность выявления максимального числа «дыр» в системе безопасности, до того, как их смогут обнаружить хакеры. Данный сканер не требует дополнительного программного обеспечения. После проведения анализа, он формирует полный отчет с найденными уязвимостями и возможными способами их устранения.

Rapid 7 NeXpose. Rapid 7, по статистике – самая быстрорастущая компания за последнее время. Совершенно недавно, компания купила проект Metaspoilt Fremawork, которая создала такой популярный сейчас NeXpose. Для использования коммерческой версии продукта понадобится выложить не малую сумму за лицензию, но существует и более доступная Community версия, у которой более скудный функционал. Продукт легко интегрируется с Metaspoilt. Схема работы данного решения не простая, для начала требуется запуск NeXpose, после этого консоль управления Metaspoilt, и только после этого, можно начинать сканирование, которое при всем этом, настраивается не через панель управления, а с помощью специальных команд. Особенностью является возможность запускать различные модули Metaspoilt с NeXpose.