Diese 5 Tools können dabei helfen, die Erkennung und Behebung von Schwachstellen zu automatisieren. Sie sind kostenlos erhältlich und einige lassen sich zu Plattformen mit größerem Funktionsumfang erweitern. [...]
Auch wenn Sie grundlegende Sicherheitsmaßnahmen bei der Installation und Verwaltung Ihres Netzwerks und Ihrer Websites selbst kennen und befolgen, werden Sie niemals in der Lage sein, mit allen Schwachstellen Schritt halten und sie selbst erkennen zu können.
Vulnerability-Scanner können Ihnen bei der Automatisierung der Sicherheitsüberprüfung helfen und können eine entscheidende Rolle in Ihrer IT-Sicherheit spielen. Sie können Ihr Netzwerk und Ihre Websites auf bis zu Tausende verschiedener Sicherheitsrisiken scannen und eine nach Prioritäten geordnete Liste derjenigen erstellen, die Sie patchen sollten, die Schwachstellen beschreiben und Schritte zur Behebung der Schwachstellen angeben. Einige können sogar den Patching-Prozess automatisieren.
Obwohl Schwachstellen-Scanner und Sicherheits-Audit-Tools ein Vermögen kosten können, gibt es auch kostenlose Optionen. Einige betrachten nur bestimmte Schwachstellen oder beschränken die Anzahl der zu scannenden Hosts, aber es gibt auch solche, die ein breites IT-Sicherheitsscanning anbieten.
Nessus Essentials
Nessus Essentials, ehemals Nessus Home, von Tenable erlaubt es Ihnen, bis zu 16 IP-Adressen gleichzeitig zu scannen. Das Unternehmen bietet eine 7-tägige kostenlose Testversion der Professional-Edition an, die eine unbegrenzte Anzahl von IP-Scans durchführen kann und zusätzlich Compliance-Checks oder Content-Audits, Live-Ergebnisse und die Möglichkeit zur Nutzung der Nessus Virtual Appliance bietet.
Nessus Essentials lässt sich auf Windows, macOS und einer Vielzahl von Linux/Unix-Distributionen installieren. Auf der Web-GUI können Sie leicht erkennen, welche Scan-Typen enthalten sind – Host Discovery plus Vulnerability Scans. Sie sehen auch die aufgelisteten, aber nicht zugänglichen Scan-Typen, die in der Professional Edition verfügbar sind: Schwachstellen-Scans für mobile Geräte und Compliance-Scans.
Mit der kostenlosen Edition können Sie einen automatischen Scan planen, aber das ist keine Einschränkung bei der Professional Edition. Sie können auch E-Mail-Benachrichtigungen, Erkennungseinstellungen, Bewertungs- und Berichtsvorgaben sowie einige erweiterte Einstellungen konfigurieren. Sie können auch Plugins und die Schwachstellen oder Exploits, nach denen sie im Zusammenhang mit dem Scan suchen, überprüfen. Nachdem ein Scan gelaufen ist, können Sie auf eine Übersicht darüber zugreifen, was auf den einzelnen Hosts gefunden wurde, und Details zu Schwachstellen und möglichen Abhilfemaßnahmen abrufen.
Sie können auch Richtlinien verwenden, um benutzerdefinierte Vorlagen zu erstellen, die definieren, welche Aktionen während eines Scans durchgeführt werden. Außerdem können Sie Plugin-Regeln verwenden, um gewünschte Plugins auszublenden oder deren Schweregrad zu ändern.
Insgesamt ist Nessus Essentials solide und einfach zu bedienen, aber da es nur bis zu 16 IP-Adressen gleichzeitig scannen kann, ist seine Nützlichkeit in größeren Unternehmen fraglich.
Nexpose Community Edition
Nexpose Community Edition von Rapid7 kann Netzwerke, Betriebssysteme, Web-Anwendungen, Datenbanken und virtuelle Umgebungen scannen. Sie ist für ein Jahr gültig, danach müssen Sie eine neue Lizenz beantragen. Das Unternehmen bietet auch eine 30-tägige kostenlose Testversion seiner kommerziellen Editionen an.
Nexpose lässt sich auf Windows, Linux oder virtuellen Maschinen installieren und bietet eine webbasierte GUI. Über das Web-Portal können Sie Sites erstellen, um die zu scannenden IPs oder URLs zu definieren, die Scan-Präferenzen und den Scan-Zeitplan auszuwählen und alle notwendigen Anmeldeinformationen für die gescannten Assets bereitzustellen.
Sobald eine Site gescannt wurde, sehen Sie eine Liste der Assets und Schwachstellen. Sie zeigt Details zu den Assets, einschließlich Betriebssystem- und Software-Informationen sowie Details zu den Schwachstellen und deren Behebung. Optional können Sie Richtlinien festlegen, um Ihre gewünschten Compliance-Standards zu definieren und zu verfolgen. Sie können auch Berichte zu einer Vielzahl von Aspekten generieren und exportieren.
Nexpose Community Edition ist ein solider Schwachstellen-Scanner mit vollem Funktionsumfang, der einfach zu installieren ist.
OpenVAS
Das Open Vulnerability Assessment System (OpenVAS) ist eine Linux-basierte Netzwerksicherheits-Scanner-Plattform, wobei die meisten Komponenten unter der GNU General Public License (GNU GPL) lizenziert sind. Sie nennen das völlig kostenlose Angebot die Greenbone Source Edition (GSE) und ihr kommerzielles Angebot den Greenbone Security Manager (GSM), der mit einer kostenlosen 14-tägigen Testversion ausgeliefert wird.
Die Hauptkomponente von OpenVAS ist der Sicherheitsscanner, der nur unter Linux läuft, aber auch auf einer virtuellen Maschine unter Windows ausgeführt werden kann. Er erledigt die eigentliche Arbeit des Scannens und erhält ein tägliches Update der Netzwerk-Schwachstellen-Tests, von denen es mehr als 85.000 gibt. Es gibt leichte Unterschiede in den Scanner-Funktionen, aber es gibt mehr Unterschiede zwischen den angebotenen Feeds für jede Edition.
OpenVAS Manager steuert den Scanner und stellt die Intelligenz zur Verfügung. Der OpenVAS Administrator bietet eine Kommandozeilen-Schnittstelle und kann als Full-Service-Daemon agieren, der die Benutzerverwaltung und das Feed-Management übernimmt.
Es gibt eine Reihe von Clients, die als GUI oder CLI dienen. Der Greenbone Security Assistant (GSA) bietet eine webbasierte GUI. Der Greenbone Security Desktop (GSD) ist ein Qt-basierter Desktop-Client, der auf verschiedenen Betriebssystemen, einschließlich Linux und Windows, läuft. Und das OpenVAS CLI bietet eine Befehlszeilenschnittstelle.
OpenVAS ist nicht der am einfachsten und schnellsten zu installierende und zu verwendende Scanner, aber er ist einer der funktionsreichsten und umfassendsten IT-Sicherheitsscanner, die Sie kostenlos finden können. Er scannt nach Tausenden von Schwachstellen, unterstützt gleichzeitige Scan-Aufgaben und geplante Scans. Außerdem bietet er eine Verwaltung von Hinweisen und Fehlalarmen zu den Scanergebnissen. Allerdings benötigt es zumindest für die Hauptkomponente Linux.
Qualys Community Edition
Mit der Qualys Community Edition können Sie bis zu 16 Assets mit dem Qualys Cloud Agent überwachen, bis zu 16 interne und drei externe IPs mit dem Vulnerability Management scannen und eine einzelne URL mit Web Application Scanning scannen. Sie greifen zunächst über das Webportal darauf zu und laden dann die Software für virtuelle Maschinen herunter, wenn Sie Scans in Ihrem internen Netzwerk durchführen. Qualys bietet auch eine 30-tägige kostenlose Testversion seiner kommerziellen Edition an.
Qualys unterstützt eine Vielzahl von Scan-Typen: TCP/UDP-Ports, Passwort-Brute-Forcing und Schwachstellenerkennung für versteckte Malware, fehlende Patches, SSL-Probleme und andere netzwerkbezogene Schwachstellen. Sie können auch Authentifizierungsdetails angeben, damit es sich bei Hosts anmelden kann, um die Erkennungsmöglichkeiten zu erweitern.
Die Web-GUI bietet eine Schritt-für-Schritt-Liste, wie ein Scan durchgeführt wird. Dazu gehört die Eingabe der zu scannenden IP-Adressen, das Herunterladen eines virtuellen Scanners oder das Einrichten eines physischen Scanners, wenn das lokale Netzwerk gescannt werden soll, und das Konfigurieren der Scan-Einstellungen. Sobald ein Scan abgeschlossen ist, können Sie viele verschiedene Arten von Berichten anzeigen, wie z. B. eine Gesamt-Scorecard, Patches, High Severity, Payment Card Industry (PCI) und Executive Reports.
Da Qualys das Scannen auf 16 Assets und IPs beschränkt, ist es für größere Unternehmen nicht sehr nützlich. Für diese sollten Sie eine andere Lösung für den alltäglichen Gebrauch in Betracht ziehen und Qualys regelmäßig für kleinere Netzwerke oder Segmente einsetzen.
ManageEngine Vulnerability Manager
ManageEngine Vulnerability Manager bietet eine kostenlose Edition, die voll funktionsfähig ist und bis zu 25 Windows- oder macOS-Computer scannen kann. Im Gegensatz zu den meisten anderen hier aufgeführten Scannern ist dieser hauptsächlich für das Scannen und Überwachen von Computern konzipiert, obwohl auch einige Scans für Webserver angeboten werden. Sie bieten auch eine 30-tägige kostenlose Testversion ihrer kostenpflichtigen Editionen an, sowie ein weiteres Produkt (Desktop Central), das Ihnen eine noch allgemeinere Computerüberwachung bietet, die mit diesem Schwachstellen-Scanner integriert werden kann.
Der Server-Teil des ManageEngine Vulnerability Managers ist nur auf Windows-Rechnern installierbar, aber die Web-GUI kann auch anderswo genutzt werden. Im Gegensatz zu den anderen Scannern müssen Sie bei diesem die Endpunkt-Agenten-Software zu den Systemen hinzufügen, die Sie scannen möchten, und er ist für Windows-, macOS- und Linux-Systeme verfügbar.
Sobald Sie die Endpunkt-Agenten eingerichtet haben, sehen Sie die erkannten Objekte, kategorisiert nach Software und Zero-Day-Schwachstellen, System- und Server-Fehlkonfigurationen, Software mit hohem Risiko und Port-Audits. Für jedes Element gibt es ausführliche Erklärungen und mögliche Abhilfemaßnahmen. Sie können auch Patches verwalten und verteilen sowie grundlegende Computerspezifikationen und -statistiken einsehen, wie z. B. das installierte Betriebssystem, die IP-Adresse und die letzten Neustartzeiten.
Der ManageEngine Vulnerability Manager erwies sich als gute Langzeitlösung zur Überwachung von Schwachstellen, zumindest für Computersysteme. Da die Software-Agenten installiert werden müssen, ist er wahrscheinlich nicht geeignet, wenn Sie einen einmaligen Scan durchführen wollen.
Neben der kostenlosen Version bietet ManageEngine auch eine 30-tägige kostenlose Testversion der kostenpflichtigen Editionen an, sowie ein weiteres Produkt (Desktop Central), das eine noch allgemeinere Computerüberwachung bietet und mit dem Vulnerability Scanner integriert werden kann.
*Eric Geier ist ein freiberuflicher Tech-Autor. Er ist auch der Gründer von NoWiresSecurity, einem Cloud-basierten Wi-Fi-Sicherheitsdienst, Wi-Fi Surveyors, einem Anbieter von RF-Standortvermessungen, und On Spot Techs, einem Anbieter von allgemeinen IT-Dienstleistungen.
Be the first to comment