Преглед на скенера за уязвимости на Nessus

Компанията за пазарни проучвания на въздействието на технологиите Forrester оцени Tenable’s Скенер за уязвимости на Nessus като водещ мениджър на риска от уязвимост в света. Това е заглавието на Доклад за управление на риска от уязвимост на Forrester Wave за Q4 2019 . Анкета от Инсайдери за киберсигурност откри, че Несус енай-разпространеният скенер за уязвимости на приложения в света. Той е инсталиран повече от 2 милиона пъти и в момента работи за защита на 27 000 бизнеса по целия свят. То имаповече от 57 000 често срещани уязвимости и експозиции (CVE)в своя речник и има най-ниския процент на фалшиви положителни сигнали в индустрията.

С всички тези впечатляващи статистики под колана си, вероятно се чудите защо никога не сте чували за Nessus Vulnerability Scanner.

Всичко за Nessus Vulnerability Scanner

Nessus проверява както хардуера, така и софтуера за известни уязвимости. Той наблюдава работещите процеси за необичайно поведение и също така наблюдава моделите на мрежовия трафик. Nessus е нещо като защитна стена/антивирусна система, но не съвсем. Въпреки че има процедури за коригиране, той не е толкова изчерпателен в раздела за решения, колкото би била типичната система за защита на крайни точки.

Tenable, Inc започва работа през 2002 г., но Nessus е много по-стар от това. Как може един продукт да е по-стар от компанията, която го е разработила? Системата Nessus е разработена от физическо лице, Renaud Deraison, и е пусната за първи път през 1998 г. По това време Deraison е на 17 години. Той създава Nessus като проект с отворен код и ръководи разработката на софтуера на общността на непълно работно време, докато преследва кариера в ИТ през деня.

Противоречиво, Deraison създадеУстойчива мрежова сигурностза управление на търговската възможност на софтуера Nessus. Въпреки че проектът за разработка беше управляван от общността, Deraison притежаваше авторските права върху софтуера. Когато Nessus 3 беше пуснат, проектът с отворен код беше закрит, като Nessus влезе изцяло в бизнеса като патентована система. По-ранните версии все още са достъпни под GNU General Public лицензи.

Наличието на изходния код за Nessus 2 доведе до създаването на разклонения, осигуряващи конкуренти на системата Nessus. Въпреки това, с Nessus, Deraison изобретява концепцията за „отдалечени скенери за уязвимост“. Той премина от единствения скенер за уязвимости в света до водещия скенер за уязвимости. Преминаването към проприетарна собственост попречи на Nessus да бъде напълно изместен от повторно етикетирани копия на собствения си код.

Tenable е спокоен относно продължаващото съществуване на кода Nessus 2 и наличието на почти копия на пазара. Съгласно системата за лицензиране на GNU тези копия не могат да се продават в търговската мрежа, а само да се раздават. Инвестирайки в частното разработване на Nessus, Tenable гарантира, че е пред конкурентите си, както безплатни, така и платени.

Nessus 3 е значителен напредък спрямо предишните версии и любителите, които са създали разклонения на кода, нямат ресурсите да се конкурират напълно с Tenable.

Устойчива история

Tenable е създадена през 2002 г., но не излезе с платена версия на Nessus до 2005 г. Ходът да се постави комерсиална кожа на безплатен продукт с отворен код не е необичаен. Много проекти с отворен код имат платена алтернатива.

Търговската логика зад създаването на платена версия на безплатен софтуер е, че повечето проекти с отворен код не привличат корпоративни потребители. Бизнесът не се интересува от цената на софтуера – това е просто разход и може да бъде отписан срещу данъци.

Основната необходимост на бизнеса, когато обмислят придобиването на софтуер, е той да бъде надежден и поддържан. Това е мястото, където структурата на таксуване на търговска услуга, добавена върху софтуера с отворен код, печели.

Чрез създаването на доставчик на услуги за таксуване, който е окончателният собственик на Nessus, Deraison гарантира възприемането на Nessus Vulnerability Scanner от бизнес общността. Софтуерът може да е безплатен, но фирмите няма да го пипат, освен ако не се поддържа напълно. Предлагането на пакет за поддръжка прави Nessus привлекателен.

И така, имаше добър доходоносец, който чакаше да бъде взет, без да премахва ангажимента да поддържа Nessus безплатен. Следващата логична стъпка по пътя към комерсиализацията беше инвестирането в екип за разработка на пълен работен ден. Разработчиците от общността са много добри в производството на софтуер за собствена употреба, но са слепи за недостатъците му и не желаят да го преработват в лицето на заявките от бизнес потребители.

Софтуерът, въпреки че е безплатен, скоро може да се превърне в риск за използване, тъй като експлойтите, открити от хакерите, не се затварят чрез разработка и тестване. Липсата на бюджет за разработка би оставила Deraison неспособен да затвори експлойти, което по ирония на съдбата го превръща в скенер за уязвимости с уязвимости.

Tenable почита духа на своя произход с отворен код, като предлага безплатна версия. Тези, които се радваха да имат безплатен Nessus без професионална поддръжка, все още го имат. Големите фирми, които са готови да плащат за качество, вече разполагат с това.

Безплатен и платен Nessus

Историята на Nessus и съществуването на безплатна версия обясняват защо софтуерът е толкова успешен, без да има много видимост. Неговите 2 милиона изтегляния се дължат до голяма степен на неговата дълготрайност и безплатната му версия. Вижте цифрите: два милиона изтегляния, но само 27 000 фирми го използват.

Ползата от всички тези безплатни потребители е, че софтуерът е изчерпателно тестван в ситуации от реалния свят. Това обяснява неговата много висока успеваемост по отношение на точността. И така, безплатната версия помага да се тества системата и също така създава познаване. Това е достъпен инструмент за безпарични студенти по мрежови технологии. Когато завършат и станат част от работната сила, те пренасят познанията си с марката Nessus в компаниите, които ги наемат. Няма да видите името Nessus на билбордове, защото Tenable не се нуждае от маркетингов бюджет – вашият стажант ще ви разкаже за него, ще го изтегли и ще го настрои за вас.

Трите версии на Nessus Vulnerability Scanner са:

• Nessus Essentials
• Nessus Professional
• устойчиво.io

Прочетете повече за всяка опция по-долу.

Nessus Essentials

Nessus Essentialsебезплатна версияна скенера. Сканирането му е ограничено до 16 IP адреса и инструментът е насочен към студенти по мрежови технологии. Уебсайтът на Tenable прави учебни листове достъпни за нови потребители на системата. Така че, дори ако сте бизнес потребител, който възнамерява да избере платената версия, можете да започнете с Essentials, за да сте сигурни, че разбирате системата, преди да я препоръчате на шефа си. Tenable не ограничава разпространението на Nessus Essentials за домашна употреба – добре е да го използвате за бизнес.

Има и потребителски форум на Nessus, където можете да вземете съвети от други потребители. Nessus може да бъде разширен чрез плъгини. Повечето от тях се таксуват, но можете да вземете безплатни добавки от общността.

Nessus Professional

Nessus Professionalе локалната версия на двете платени версии на скенера за уязвимости. Тази сделка ви осигурява пълна поддръжка, но софтуерът, който използвате, е същият като безплатните версии, но без ограничението за 16 IP адресно пространство.

Трябва да преминете към една от платените версии, за да получитепроверки за съответствие за PCI,ОНД,FDCC, иNIST и одити на съдържанието. Nessus Professional ви дава резултати на живо в таблото за управление и системните проверки могат да бъдат планирани и изпълнявани многократно. Имате избор за достъп до форумите на общността за поддръжка или можете да изпращате запитвания за поддръжка до бюрото за помощ на Tenable по имейл.

Nessus Professional се таксува чрез абонамент. Това обаче е годишна такса и няма месечен план за плащане. Можете да закупите многогодишен абонамент, за да получите отстъпка. Лицензът се предлага при абонамент за 1, 2 или 3 години. Всеки период се предлага със стандартен или предварителен план за поддръжка. Разширените опции ви позволяват да се свържете с техници за поддръжка чрез чат на живо и телефон. Можете да получите a 7-дневен безплатен пробен период на Nessus Professional .

устойчиво.io

Това е облачната версия наNessus Pro. Предлага се само с пакета за разширена поддръжка и структурата му на таксуване е малко по-различна от локалната версия. Nessus Professional като същата цена, без значение колко възли искате да сканирате във вашата мрежа. Tenable.io започва с базова цена за 65 възела, но цената се увеличава с броя на възлите, които имате над това.

Системни изисквания на Nessus

Nessus Essential и Nessus Pro работят на Windows, Windows Server, Mac OS, Free BSD Unix, Debian, SUSE, Ubuntu, RHEL, Fedora и Amazon Linux. Версията на Windows ще работи на 32-битови и 64-битови системи.

Локалните потребители имат няколко версии, от които да избират, като последната е 8.7.2.

Професионалисти:

• Предлага безплатен инструмент за оценка на уязвимостта
• Прост, лесен за научаване интерфейс
• Необходима е малко конфигурация, 450+ шаблона, които поддържат набор от устройства и типове мрежи
• Включва приоритизиране на уязвимостите

Минуси:

• Предлага ограничени инструменти и опции за коригиране
• Може да се възползва от повече интеграции в други SIEM платформи

Конкуренти и алтернативи на Nessus Vulnerability Scanner

Nessus е в странна позиция, защото заема пазарна ниша, която сам е измислил. По същество скенерите за уязвимости са част от пазара за киберсигурност, така че истинските конкуренти за този софтуер не са само системи, които директно се идентифицират като скенери за уязвимости. Например повечето модерни AV системи от следващо поколение включват оценка на риска от уязвимост и така се квалифицират като конкуренти на Nessus.

Ако не сте сигурни дали Nessus отговаря на нуждите ви, вижте демонстрационни и пробни предложения от следното:

1. Invincible (БЕЗПЛАТНА ДЕМО) Този облачно базиран скенер за уязвимости е специализиран в сканирането на уеб приложения и е добър избор за автоматизация на тестване на CI/CD конвейер. Може да се изтегли за инсталиране на Windows и Windows Server.
2. Acunetix (БЕЗПЛАТНА ДЕМО) Този скенер за уязвимости се предлага в три версии, които са подходящи за сканиране при поискване, сканиране по график, сканиране на уеб приложения, мрежово сканиране и проверка на модул DevOps. Предлага се като хостван SaaS пакет или за инсталиране на Windows, macOS или Linux.
3. ManageEngine Vulnerability Manager Plus (БЕЗПЛАТНА ПРОБНА ВЕРСИЯ) Скенер за уязвимости за операционни системи, софтуер и уебсайтове. Инсталира се на Windows и Windows Server.
4. Управление на уязвимостта на SecPod SanerNow (БЕЗПЛАТНА ПРОБНА ВЕРСИЯ)Този скенер за уязвимости има свързан мениджър на корекции, който създава автоматизация на работния процес, за да поддържа вашите системи актуални и защитени. Това е SaaS платформа.
5. Crowdstrike Falcon базирана в облак система за защита на крайната точка, управлявана от AI, която включва оценка на уязвимостта.
6. OpenVAS Водещият форк на Nessus, който все още е безплатен и неограничен.
7. Metasploit Инструмент за проверка на уязвимости на системата с отворен код в безплатни и платени версии.
8. Натрапник Скенер за уязвимости и услуга за сигурност за системи, свързани с интернет.
9. Вероятно Базиран в облак скенер за уязвимости за уебсайтове.

Въпреки че Nessus е отличен в откриването на уязвимости, не е толкова добър в запушването им. Има други, по-всеобхватни инструменти на пазара, които представляват сериозни предизвикателства пред доминацията на Nessus в неговата пазарна ниша.

Нашата методология за избор на алтернатива на Nessus Vulnerability Scanner

Прегледахме пазара за скенери за уязвимости като Nessus и анализирахме инструменти въз основа на следните критерии:

• Опции за автоматично сканиране или сканиране при поискване
• Инструменти за непрекъснато тестване, които могат да се използват за разработка
• Мениджъри на уязвимости, които се свързват с или включват управление на корекции
• Връзка към глобална разузнавателна база данни
• Опции за одит на съответствието
• Безплатна пробна версия или демо услуга, която ви позволява да тествате инструмента, преди да се ангажирате да купите
• Съотношение цена/качество от цялостен и надежден инструмент, който се предлага на разумна цена

Имайки предвид тези критерии за подбор, ние идентифицирахме системи за сканиране на уязвимости, които съответстват или надвишават функционалността, предлагана от Nessus.

Invincible (БЕЗПЛАТЕН ДОСТЪП ДЕМО)

Този скенер за уязвимости е специализиран инструмент за оценка на уеб уязвимостите. Непобедим ще сканира уебсайтове за известни уязвимости и може също така да изследва модулите, които се крият зад API. Тази система се използва широко за непрекъсната тестова среда в DevOps CI/CD тръбопроводи . Предлага се и като инструмент за сканиране на уязвимости при поискване. Системата Invicti може да бъде достъпна като SaaS услуга и също така има опция за инсталиране като софтуерен пакет за Windows и Windows Server. Можете да проверите Invicti, като влезете в неговата демо система.

Професионалисти:

• Разполага с изключително интуитивно и проницателно табло за управление на администратора
• Поддържа всякакви уеб приложения, уеб услуги или API, независимо от рамката
• Предоставя рационализирани отчети с приоритетни уязвимости и стъпки за коригиране
• Елиминира фалшивите положителни резултати чрез безопасно използване на уязвимости чрез методи само за четене
• Интегрира се в dev ops лесно, осигурявайки бърза обратна връзка за предотвратяване на бъдещи грешки

Минуси:

• Бих искал да видя пробна версия, а не демонстрация

Invincible Access БЕЗПЛАТНА демонстрация

Acunetix (БЕЗПЛАТНА ДЕМОНСТРАЦИЯ)

Акунетикс е подходящ за използване в широк диапазон от сценарии, тъй като е представен в три издания, всяко от които е пригодено за различни цели. И трите версии извършват сканиране за уязвимости за списък от 7000 слабости, включително Топ 10 на OWASP. Стандартна Версия предлага само сканиране за уязвимости при поискване и е добър избор за тестери за проникване. The Премиум издание е полезен за укрепване на сигурността на системата, защото също така извършва сканиране за мрежови уязвимости със списък от 50 000 известни слабости. The Корпоративно издание е добър избор за непрекъснато тестване в сценарии на DevOps. Този инструмент е достъпен като SaaS платформа и може да бъде инсталиран на вашите собствени хостове, работещи под Windows, macOS или Linux. Проверете го, като влезете в демонстрационната система на Acunetix.

Професионалисти:

• Проектиран специално за сигурност на приложенията
• Интегрира се с голям брой други инструменти като OpenVAS
• Може да открива и предупреждава, когато се открият неправилни конфигурации
• Използва автоматизация за незабавно спиране на заплахи и ескалиране на проблеми въз основа на сериозността

Минуси:

• Бих искал да видя пробна версия за тестване

Acunetix Достъп до БЕЗПЛАТНА демонстрация

ManageEngine Vulnerability Manager Plus (БЕЗПЛАТНА ПРОБНА ВЕРСИЯ)

Скенер за уязвимости, който е в комплект с инструменти, които ще автоматизират стъпките, необходими за затваряне на слабостите, които скенерът идентифицира. Той е в състояние да изследва локалните устройства и софтуера, който те изпълняват, както и услугите, които допринасят за работата и разпространението на уебсайтове. Подобно на Nessus, Vulnerability Manager Plus има a Безплатно издание. Въпреки че това е ограничена версия на пакета, която ще управлява само до 25 устройства. Двете платени версии, професионална и Enterprise, могат да бъдат изпробвани на 30-дневни безплатни пробни версии.

Професионалисти:

• Чудесно за непрекъснато сканиране и корекция през целия жизнен цикъл на всяко устройство
• Надеждното отчитане може да помогне да се покажат подобрения след отстраняването
• Гъвкав – може да работи на Windows, Linux и Mac
• Интелигентността за заплахи в задния край се актуализира постоянно с най-новите заплахи и уязвимости
• Поддържа безплатна версия, чудесна за малки фирми

Минуси:

• Екосистемата ManageEngine е много подробна, най-подходяща за корпоративни среди

ManageEngine Vulnerability Manager Plus Изтеглете 30-дневна БЕЗПЛАТНА пробна версия

Мениджър за уязвимости SecPod SanerNow (БЕЗПЛАТНА ПРОБНА ВЕРСИЯ)

SanerNow е SaaS платформа, която обединява инструменти за сигурност и управление на ИТ активи. Пакетът включва Asset Manager, Vulnerability Manager, Patch Manager, система за откриване и реакция на крайни точки и Compliance Manager. Тази група от функции намира целия ви хардуер и създава опис на активи. След това сканира всяко устройство и събира инвентаризация на софтуера.

Мениджърът на уязвимости в пакета SanerNow сканира външно и от мрежата. Той е в състояние да забележи слабости в конфигурацията и остарели системи. Всички изисквания за корекции се предават на автоматизирания Patch Manager, който пуска актуализации за всички остарели системи. SecPod предлага 30-дневен безплатен пробен период на платформата SanerNow.

Професионалисти:

• Предлага възможности за сигурност чрез SaaS продукт, което го прави по-лесен за внедряване от локалните решения
• Включва междуплатформена поддръжка за Windows, Mac и Linux
• Може да автоматизира проследяването на активи, чудесно за MSP, които таксуват от устройството
• Предлага ITAM опции, които го правят хибридно решение за сигурност за управление на сигурността

Минуси:

• По-подходящ за MSP и по-големи мрежи

SecPod SanerNow Vulnerability Manager Стартирайте 30-дневен БЕЗПЛАТЕН пробен период

Crowdstrike Falcon

Един пример за по-всеобхватна система, която обхваща функционалността на Nessus е Crowdstrike Falcon . Тази онлайн система събира данни за уязвимости и атаки, за да знае каква слабост да търси, когато сканира система. Той обхваща както хардуерни, така и софтуерни уязвимости и включва много изчерпателни процедури за отстраняване, които далеч надхвърлят възможностите на Nessus. Въпреки че няма безплатна версия на Falcon, Crowdstrike я предлага на a 15-дневен безплатен пробен период .

Професионалисти:

• Не разчита само на регистрационни файлове за откриване на заплахи, използва сканиране на процеса, за да открие заплахи веднага
• Комбинира HIDS, защита на крайни точки и сканиране за уязвимости в една платформа
• Може да проследява и предупреждава за необичайно поведение с течение на времето, подобрява се колкото по-дълго следи мрежата
• Може да се инсталира или на място, или директно в облачна архитектура
• Леките агенти няма да забавят сървърите или устройствата на крайните потребители

Минуси:

• Ще има полза от по-дълъг 30-дневен пробен период

OpenVAS

OpenVAS е много близък конкурент на Nessus и е останал верен на своя произход. Разклонение на оригиналния код на Nessus, той остава безплатен и с отворен код. OpenVAS избягва капаните на повечето проекти с отворен код, защото се контролира и управлява професионално от Софтуер в обществен интерес . Ангажиментът на тази организация с нестопанска цел предотвратява стагнацията на усилията за разработка на софтуер за OpenVAS.

Професионалисти:

• Прозрачен инструмент с отворен код
• Има голяма специализирана общност
• Напълно безплатно

Минуси:

• Няма опция за платена поддръжка
• Предприятията вероятно ще се нуждаят от опитен персонал, за да извлекат напълно стойност от платформата
• Има стръмна крива на обучение в сравнение с подобни инструменти

Metasploit

Metasploit е друг проект с отворен код, който стана комерсиален, когато беше поет отБързо7. Това е много популярен инструмент за тестване на проникване и се използва широко в индустрията за киберсигурност. Подобно на Nessus, той остана верен на корените си, като поддържаше безплатна версия, поддържана от общността. Всъщност има две безплатни версии: Metasploit Framework Edition , която е помощна програма за команден ред и е пакетирана със Zenmap и Metasploit Community Edition, която има приличен уеб базиран интерфейс, моделиран на платената версия, но с ограничени възможности. Rapid7 произвежда две платени версии на системата, наречени Metasploit Express и Metasploit Pro.

Професионалисти:

• Една от най-популярните рамки за сигурност, които се използват днес
• Има повече от най-големите общности – чудесно за непрекъсната поддръжка и актуални допълнения
• Предлага се за безплатна и търговска употреба
• Силно адаптивен с много приложения с отворен код

Минуси:

• Metasploit се грижи за по-технически потребители, което увеличава кривата на обучение за начинаещи в пространството за сигурност

Натрапник

Натрапник и Вероятно са фокусирани върху защитата на уебсайтове и други мрежи, свързани с интернет. Intruder е приветстван за своята лекота на използване и отлично излагане на уязвимости. Той е базиран на облак и не изисква настройка. Сканирането работи непрекъснато, създавайки обратна връзка на живо в онлайн конзолата, както и предлагайки анализ на исторически данни. Графиките, показани в таблото за управление, са прости, стилни и привлекателни. Има три плана за услуги за Intruder и нито един от тях не е безплатен. Въпреки това можете да получите 30-дневен безплатен пробен период .

Професионалисти:

• Може да извършва автоматично сканиране за уязвимости по график
• Може да сканира всички нови устройства за уязвимости и препоръчва пачове за остарели машини
• Отличен потребителски интерфейс – страхотен спрямо прозрения на високо ниво и подробни разбивки
• Предлага задвижван от човека тест за проникване като услуга

Минуси:

• Това е усъвършенствана платформа за сигурност, която може да отнеме време за пълно проучване
• Няма безплатно ниво

Вероятно

Probely е друг облачен скенер за уязвимости, който е специално насочен към оценка на уеб услуги. Тази абонаментна услуга, базирана на облак, има четири плана за услуги, включително безплатна версия. Можете също така да получите 14-дневен безплатен пробен период .

Професионалисти:

• Страхотен интерфейс и табло
• Лесни за разбиране ключови показатели на високо ниво
• Интегрира се със CMS системи като WordPress

Минуси:

• По-удобен за потребителя, професионалистите по сигурността може да искат повече функции и опции за персонализиране
• Може да се възползва от по-дълъг пробен период

Въпреки че Nessus беше оригиналният скенер за уязвимости, той не е единственият наличен. Разгледайте съперниците и решете кой е най-добрият за вас.

Често задавани въпроси за скенера за уязвимости на Nessus

Какво е сканиране за уязвимост на Nessus?

Nessus е най-широко използваният скенер за уязвимости в света. Той търси повече от 57 000 възможни слабости в сигурността от външна гледна точка. Тези слабости са известни като „експлойти“ и могат да дадат на хакерите път към системата.

Безплатен ли е още Nessus?

Има безплатно издание на Nessus, което се нарича Nessus Essentials. Това е ограничено до сканиране на 16 IP адреса.

Защо Nessus е най-добрият скенер за уязвимости?

Nessus е оригиналният скенер за уязвимости и въпреки че е клониран и копиран много, той все още е водещият скенер за уязвимости в света с повече от два милиона потребители. Вероятно обаче една от основните причини за широката потребителска база е, че все още има налична безплатна версия.