W artykule „Skanowanie podatności — zrób to sam” opisywałem parę lat temu skaner GVM (wcześniej OpenVAS), jako przydatne i bezpłatne narzędzie do skanowania bezpieczeństwa infrastruktury. Od tego czasu zaszły jednak pewne istotne zmiany w polityce udostępniania darmowych feedów (baz podatności i testów). Postanowiłem więc w praktyce zweryfikować to, o czym oficjalnie mówią materiały producenta – firmy Greenbone.
Wykonałem niedawno kilka testów, skanując typowe środowisko niewielkiej firmy, zawierające rozwiązania popularnych dostawców, m.in. VMware, Cisco, Ubiquiti. Porównanie wyników wersji społecznościowej i płatnej pokazało, że darmowy GVM, zgodnie z zapowiedziami producenta, nie wykrywa już części podatności, w tym tych najbardziej krytycznych. Trudno zatem traktować go jako wystarczające, samodzielne narzędzie do oceny bezpieczeństwa środowiska.
Dwa tygodnie opóźnienia to już niestety historia
W tekście sprzed paru lat napisałem, że bezpłatna baza testów podatności jest udostępniana z dwutygodniowym opóźnieniem względem wersji komercyjnej. Przy skanowaniu wykonywanym np. raz na kwartał było to rozsądnym kompromisem. Niestety Greenbone zmienił zasady zaprzestając dodawania do darmowego feedu nowych testów przeznaczonych dla części rozwiązań biznesowych. Jest to bardzo istotna zmiana polityki producenta, bo w jej konsekwencji, jeśli dany test trafia wyłącznie do płatnego feedu, nie pojawia się już w darmowych, nawet po odczekaniu dwóch tygodni.
Otwarty kod to jeszcze nie komplet testów
Musimy pamiętać, że dostępność otwartego kodu skanera oraz zakres dostarczanej do niego bazy testów to dwie, różne kwestie. Możemy mieć darmowy, działający skaner, poprawnie wykonywać aktualizacje i nadal nie dysponować testem potrzebnym do wykrycia konkretnej podatności.
Z dokumentacji Greenbone wynika też ważne rozróżnienie: informacje o podatnościach CVE i testy podatności, czyli VT, są oddzielnymi składnikami feedów. Sama obecność opisu podatności w bazie nie oznacza jeszcze, że skaner potrafi sprawdzić jej występowanie w naszym środowisku. Potrzebuje do tego odpowiedniego testu.
Producent dość jasno przedstawia obecny podział w porównaniu Community Feed i Enterprise Feed. Wśród przykładów produktów uwzględnianych w obu wymienia m.in. MS Office czy Ubuntu Linux. Natomiast już Cisco, Microsoft Exchange, HPE czy Palo Alto pojawiają się jako przykłady rozszerzonego zakresu dostępnego wyłącznie w Enterprise Feed.
Nie wynika z tego jednak, że darmowy GVM nie wykryje absolutnie niczego na urządzeniu Cisco albo w dowolnym produkcie Microsoftu. Zakres zależy od konkretnego produktu i testu, a część problemów może zostać wykryta przez testy ogólne lub dostępne wcześniej. Nie zmienia to faktu, że w firmie korzystającej z takich rozwiązań musimy liczyć się z istotnymi brakami.
Co pokazały testy
Przyjrzyjmy się wynikom testów, które wykonałem skanując kilka popularnych urządzeń najpierw za pomocą darmowego, społecznościowego feedu, a następnie za pomocą komercyjnego (enterprise feed).
Urządzenie Cisco, feed darmowy – 0 podatności krytycznych lub wysokich:
To samo urządzenie Cisco, enterprise feed – 2 podatności krytyczne:
Urządzenie Ubiquiti, feed darmowy – 1 podatność krytyczna, 0 wysokich:
To samo urządzenie Ubiquiti, enterprise feed – 6 podatności krytycznych i 2 wysokie:
Serwer VMware ESX, feed darmowy – 0 podatności wysokich lub krytycznych:
Ten sam serwer VMware ESX, enterprise feed – jedna podatność wysoka:
Z powyższych testów wynika bardzo istotna obserwacja – w przypadku 3 tylko urządzeń darmowy feed nie wykrył aż 10 podatności na wysokim lub krytycznym poziomie. Co równie istotne, były to np. podatności klasy RCE, pozwalające na zdalne wykonanie kodu lub zdalny, nieuwierzytelniony dostęp administracyjny. A co najgorsze, część z nich była raportowana jako aktywnie wykorzystywane przez grupy APT.
Mniejsza liczba wpisów w raporcie z darmowego narzędzia wprowadza więc złudne poczucie bezpieczeństwa. Nie oznacza bowiem mniejszej liczby problemów do rozwiązania. Część z nich po prostu nie została zaraportowana. Co za tym idzie, nie możemy już zakładać, że darmowa wersja sprawdzi się równie dobrze co płatna, a jedyną różnicą będzie 14-dniowe opóźnienie w wynikach.
Co zatem używać zamiast darmowego GVM-a?
Wygląda na to, że obecnie brakuje darmowego narzędzia, któremu można w pełni zaufać jako skanerowi podatności dla typowej infrastruktury firmowej. Wersji społecznościowej GVM możemy używać już tylko ze świadomością jej ograniczeń. Szczególnie gdy na podstawie raportu mamy ocenić, w jakim stanie jest bezpieczeństwo naszego środowiska.
Istnieją jeszcze dwa inne narzędzia open source, o których warto wspomnieć:
- Nuclei – skaner pozwalający wykonywać sprawdzenia oparte na szablonach, z całkiem pokaźną i aktywnie rozwijaną bazą testów
- Wazuh – potrafiący zestawiać inwentaryzację oprogramowania zebraną przez agentów z informacjami o podatnościach (CVE). (O Wazuhu pisałem m.in. w artykule: „Wazuh, fail2ban i analiza nietypowych logów”)
Żadne z powyższych nie oferuje jednak pokrycia podatności porównywalnego do komercyjnych skanerów. Można z nich budować użyteczny zestaw narzędzi, ale wymaga to zrozumienia czego właściwie szukamy oraz jakie obszary pozostają poza badaniem. Wiąże się z tym niestety duży nakład pracy. Niewykluczone więc, iż w pewnym momencie i tak stwierdzimy, że może jednak warto zapłacić za jedno dobre narzędzie, które usprawni cały proces.
To może warto jednak zapłacić za komercyjnego GVM-a?
Zrozumiałe jest, że Greenbone chce zarabiać na swojej pracy. Utrzymanie bazy testów, śledzenie nowych podatności i sprawdzanie działania detekcji kosztuje. Z drugiej strony nasz czas, integracja i konfiguracja wielu narzędzi darmowych, które i tak nie zapewnią pełnego pokrycia to również koszt. A GVM w płatnym wydaniu nadal stanowi sensowną alternatywę cenową dla największego konkurenta – Nessusa.
Rozważając zakup skanera podatności, warto zatem sprawdzić ofertę Greenbone. W wielu scenariuszach będzie ona konkurencyjna. Trudno tutaj dokonać prostego porównania, bo producenci stosują dość zawiłą politykę sprzedaży. Gdybyście więc potrzebowali wsparcia w tym zakresie, odsyłam Was do oficjalnego dystrybutora firmy Greenbone w Polsce.
