[vuln. scanning] Alternatief voor nessus*

[Verwijderd]

Hallo, mijn eerste post hier

Ik ben bezig de security op een vrij groot lan (+/- 800 pc`s) te checken en bevorderen.
hiervoor gebruik ik Nessus ( www.nessus.org )
en ik ben niet helemaal tevreden. zelfs na flink tweaken van scripts, plugins en config,
kom ik niet tot de resultaten die ik voor ogen had => fel en proactief scannen van windows-machnes die ee potentieel lek vertonen. of simpelweg machines die veel te lang achterlopen met bijwerken van patches. nessus lijkt vooral gericht op Unix machines en die wil ik alleen op open relay testen, meer niet.
dus mijn vraag: is iemand bekend met een alternatief voor Nessus, dat vooral is gericht op MS-Windows machines? en bij voorkeur een systeem dat onder linux draait.

groeten en BVD

123bug.

[Verwijderd]

Het ontbreken van patches en het vinden van (sommige) onveilige instellingen kun je met MSBA (Microsoft Baseline Security Analyzer).

[Verwijderd]

Verwijderd schreef op zaterdag 09 juli 2005 @ 04:41:
Het ontbreken van patches en het vinden van (sommige) onveilige instellingen kun je met MSBA (Microsoft Baseline Security Analyzer).

dat is idd een goede tool voor security advies.
maar ik wil vanaf het netwerk, van buitenaf in 1 keer alle machines scannen en analyseren.
volgens mij is MSBA een 'per computer-te-installeren-tooltje', of niet?

[Morax]

Als je ze van internet af wilt checken, en je gebruikt NAT word het sowieso al een lastige. Dan zal je poorten moeten forwarden voor elke PC, aangezien deze anders niet zomaar geforward worden. En als je dan nog een firewall hebt moet je daar ook nog exceptions voor aanmaken...

Edit:
Indien je met "van buiten" vanaf internet bedoelt dan

[ Voor 12% gewijzigd door Morax op 09-07-2005 04:58 ]

[Verwijderd]

Ik heb het zelf altijd als zodanig gebruikt ja, maar je kunt ook aangeven dat ie een heel netwerk moet scannen, of het daarvoor op elke pc geinstalleerd moet zijn zou ik niet met zekerheid durven te zeggen. Ik meen dat de tool alleen remote toegang tot het register op die pc nodig heeft, dan blijft natuurlijk de vraag of dat acceptabel is.

[Verwijderd]

Morax schreef op zaterdag 09 juli 2005 @ 04:50:
Edit:
Indien je met "van buiten" vanaf internet bedoelt dan

ja dat bedoel ik
ik wil snel via internet kunnen zien wat er open staat
en wat evt een security-risk is.
met nessus lukt het aardig,
maar er moet toch iets beters zijn, lijkt me.
iets dat meer is afgespitst op windows ieg.

[Verwijderd]

als je vanaf internet scant zo je slechts een paar portjes moeten kunnen scannen en ook maar naar een paar machines (bv. mail / http / ftp ). de rest moet helemaal niet te benaderen zijn en nessus is daar prima voor te gebruiken omdat die ook nog kijkt of je vulnerable bent voor bepaalde bugs

[elevator]

Dit is meer iets voor Beveiliging & Virussen
Windows Operating Systems >> Beveiliging & Virussen

Verder - de MBSA is een tool die zeker wel voor meerdere PCs werkt en eigenlijk ook een die mijn inziens het beste op jouw vraag aansluit (je hebt het over een LAN - bovendien kan ik me niet voorstellen dat jij een netwerk beheert met 800 PC's aan internet - oftewel, je hebt het niet over het scannen vanaf internet)

Persoonlijk zou ik de zachte 'eis' om het vanaf Linux te kunnen scannen los laten - door hier gebruik te maken van Windows bied je jezelf zo ontzettend veel meer mogelijkheden (zo kan je zelf met een simpel WMI scriptje al querieen op Windows machines welke hotfixes geinstalleerd zijn - dat gaat je op Linux al niet lukken)

[LegacyCode]

GFI Languard Network Security Scanner is ook een deftig tooltje, maar dit is echter een windows-programma.
Dus waarschijnlijk niet echt wat je zoekt.
Languard is in grote mate vergelijkbaar met nessus aangezien er wordt gecheckt op patches alsook op diverse vulnerabilities, portscanning zit inbegrepen.

[ Voor 5% gewijzigd door LegacyCode op 09-07-2005 09:58 ]

[Jazzy]

Ondersteunt helaas geen Nederlandstalige clients.

[bolke]

Op Linux kun je ook Saint gebruiken. Al heb ik helemaal geen ervaring hiermee. Op Linux gebruikt eigenlijk iedereen Nessus.

Op windows zijn er meerdere. De al genoemde GFI LANguard is er een van. Ook een goede is Retina van Eeye. (wel duur). Als ik op een Windows machine scans uitvoer gebruik ik meestal Retina.
ook IIS heeft iets moois. (ISS Internet Scanner)

Ik kwam nog een linkje tegen.
http://www.networkintrusion.co.uk/N_scan.htm

[ Voor 25% gewijzigd door bolke op 09-07-2005 14:57 ]

[0xDEADBEEF]

Je wilt puur op open relay hosts scannen ? Dan zou je bopm kunnen modifyen (dusdanig dat ie niet naar een ircd connect, waar het voor bedoeld is)

Deze sites bieden ook wat ondersteuning imo:
Introduction to Vulnerability Scanning
Free Vulnerability Scanner Software

[Verwijderd]

elevator schreef op zaterdag 09 juli 2005 @ 08:54:


bovendien kan ik me niet voorstellen dat jij een netwerk beheert met 800 PC's aan internet - oftewel, je hebt het niet over het scannen vanaf internet

ik beheer dit netwerk ook niet, maar het is wel een LAN met maximaal 800 pc`s die ook rechtstreeks op i-net zitten. dus ze worden wel vanaf internet gescand.
en Linux is eigenlijk meer dan een zachte eis => ik heb simpelweg geen MS bak tot m`n beschikking.
maar ik vind de mogelijkheden wel interessant.

thanks voor alle tips tot zover

123bug

[Bor]

Als je puur wilt scannen welke patches missen ) en dat kan nooit 100% goed gedaan worden remote kun je kijken naar hfnetcheck en languard etc. Nessus doet dit overigens ook erg goed maar vereist gewoon wat meer input van de gebruiker. Ik denk dat de kans overigens groter is dat nessus iets vind dan dat je simpelweg gaat scannen op de aanwezigheid van versienummers etc (want hier trapt nessus niet in namelijk, die heeft een meer aggresieve vorm van scannen).

Edit: je beheert het betreffende netwerk niet? Waarom ben je wel aan het scannen op dat netwerk dan? Of lees ik nu iets verkeerd?

[ Voor 13% gewijzigd door Bor op 11-07-2005 20:42 ]

[Verwijderd]

Bor de Wollef schreef op maandag 11 juli 2005 @ 20:41:

Edit: je beheert het betreffende netwerk niet? Waarom ben je wel aan het scannen op dat netwerk dan? Of lees ik nu iets verkeerd?

het is een snel studentennetwerk. veel mensen werken hun windows machines niet bij, zodat op den duur de provider bepaalde portjes dicht gaat gooien (in geval van blaster ed bijv.)
en dat willen we niet hebben. er komt hier zoveel spam vandaan dat port 25 waarschijnlijk ook wel dicht gaat en dat is natuurlik helemaal niet nodig.
vandaar dat er gescand wordt en mensen die wat onder de leden blijken te hebben krijgen daar een advies bij.

[Verwijderd]

om er nog eens op terug te komen:
ik heb inmiddels zeer goede resultaten geboekt met Nessus.
het bleek dat ik bepaalde plugins miste/niet gebruikte om echt goed mee te scannen.
geweldige tool dus, zeker voor een gratis prog!

[chromeeh]

Verwijderd schreef op zondag 17 juli 2005 @ 00:59:
om er nog eens op terug te komen:
ik heb inmiddels zeer goede resultaten geboekt met Nessus.
het bleek dat ik bepaalde plugins miste/niet gebruikte om echt goed mee te scannen.
geweldige tool dus, zeker voor een gratis prog!

Misschien is het dan nog leuk om je resultaten / settings te posten voor iemand die eventueel tegen het zelfde aan loopt

[Verwijderd]

settings zijn vrij uitgebreid en groot.
maar een aantal stappen om snel en effectief te scannen kan ik wel even uiteenzetten:

nessus bestaat uit een server en client.
ik ben op deze manier begonnen:
als de server draait kun je met een dergelijk commando een scan starten:

#nessus -q -V -t html (xml, etc) -c <configfile> hostnaam port user passwd <targetfile> <outputfile>

zonder GUI dus.
targetfile= de iprange en of hostnamen om te scannen.
outputfile= de html xml of wat dan ook voor file waar de resultaten in komen te staan.
configfile= uitgebreide instructies hoe en waarop te scannen. als deze bij de eerste scan niet bestaat, maakt je client een op de serversettings gebaseerde config aan.
dit betekent dat alle beschikbare plugins worden ingeladen. erg goed om even 1 host te scannen, maar vreselijk traag in mijn geval. het zou me een paar dagen kosten voor 1 run.

de plugins die je gebruikt geef je zo aan in de config:

code:

begin(PLUGIN_SET)
18798 = yes
 18753 = yes
 18805 = yes
 18727 = yes
 18810 = yes
 18777 = yes
 19199 = yes
 18715 = yes
 18636 = yes
 18808 = yes
 18762 = yes
 18725 = yes
 18779 = yes
 18614 = yes
 18641 = yes
 18792 = yes
 18788 = yes
 18649 = yes
 19209 = yes
 18604 = yes
 18639 = yes
 18730 = yes
 18746 = yes
 18707 = yes
 18735 = yes
 18809 = yes
 18754 = yes
 18785 = yes
 18613 = yes
 18770 = yes
 18755 = yes
 18791 = yes
 19212 = yes
 18612 = yes
 18771 = yes
 18783 = yes
end(PLUGIN_SET)

maar dan gaat het om dik 8000 plugins en het is bijna niet te overzien welke waarvoor zijn op deze manier.
toen ontdekte ik dat er een GUI linux client is waarmee je wat verfijnder plugins op basis van beschrijving kunt selecteren.(er is ook een MS-client, maar die is niet helemaal af te stellen op de mogelijkheden van de server)
ik wilde namelijk alleen op Windows-lekjes en open mail relay scannen.
dus op deze manier een config aangemaakt en zodoende kon ik +/- 850 ipadressen scannen binnen twee uur. uiteindelijk kwamen er een stuk of 70 machines uit waar even naar gekeken moest worden.
erg nuttig dus.

je kunt ook op www.nessus.org registreren zodat je beschikking hebt over de nieuwste plugins middels de ingebouwde update-tool:

#nessus-update-plugins

Dit alles draait in mijn geval met standaard Debian Sid Packages.
Als laatste: je hebt de zogenaamde "safe_mode = on/off" optie. Die is wel handig aan te zetten.
Bij een aantal tests heb ik met deze optie off, het register van een win2000 bakkie vernield.
Voor de rest is het dus bij nader inzien vrij simpel.