Nessus
Siehe auch
Nessus Professional vs Nessus Expert
Mit Nessus Professional lassen sich auch Webseiten auf Schwachstellen scannen - allerdings sind tiefgehende Tests wie das Erkennen von SQL Injections, Cross-Site Scripting (XSS) oder andere typische Webanwendungsschwachstellen in Nessus Professional begrenzt.
Installation
Download der Trial-Versionen auf https://www.tenable.com/downloads/nessus:
curl --request GET \
--url 'https://www.tenable.com/downloads/api/v2/pages/nessus/files/Nessus-10.8.3-el9.x86_64.rpm' \
--output 'Nessus-10.8.3-el9.x86_64.rpm'
dnf -y localinstall Nessus-10.8.3-el9.x86_64.rpm
systemctl enable --now nessusd.service
Nach der Installation erfolgt der Zugriff per Browser auf https://nessus:8834.
Prüfung auf Compliance - am Beispiel von CIS
Die Prüfung einer Maschine auf CIS-Compliance erfolgt so:
Download der Compliance-Files von https://www.tenable.com/downloads/download-all-compliance-audit-files und auf der Nessus-Maschine in einem beliebigen Ort entpacken (z.B.
/root
).Scan einer RHEL 8-Maschine auf CIS-Compliance:
/opt/nessus/bin/nasl -t 192.168.109.249 /opt/nessus/lib/nessus/plugins/unix_compliance_check.nbin | tee /root/result.txt
.
Folgenden Dialog beantworten:
Which file contains your security policy? /root/portal_audits/Unix/CIS_CentOS_8_Server_v1.0.1_L1.audit
SSH username to connect with : root
How do you want to authenticate ? (key or password) [password] password
SSH password : ****
What level of docker support ? (host/containers/all) [host] : host
Built on 2024-09-30