OpenVAS, l'alternative open-source à Nessus

Si vous êtes à la recherche d'un scanner de vulnérabilité, alors Nessus et OpenVAS sont deux logiciels dont vous avez probablement déjà entendu parler. Dans cet article, nous allons étudier le cas OpenVAS.

Présentation d'OpenVAS

Open Vulnerability Assessment System (ou OpenVAS) est un scanner de sécurité web open-source complet.

Il a été créé lorsque Nessus (son principal concurrent) a cessé d'être un logiciel open source et a été changé en une solution de sécurité commerciale.

Fonctionnalités

OpenVAS est un scanner de vulnérabilité, ce qui signifie que sa mission est de rechercher de manière proactive les failles de sécurité de votre système ou application, de les identifier et de prédire la force de vos mesures de cybersécurité en cas d'attaque.

Parmi ses principales fonctionnalités, on distingue :

• Scan classique d'une target
• Scan avec authentification
• Planification de scan sur le temps

Installation

Le processus d'installation est assez compliqué. Pour installer OpenVAS, vous allez devoir compiler le code source vous-même, il n'existe pas d'exécutable pour vous facilier la tâche.

Le code source d'OpenVas peut être téléchargé sur le repository Github officiel. Lien vers la dernière version stable du projet (22.4.0) : https://github.com/greenbone/openvas-scanner/releases/tag/v22.4.0.

Une fois téléchargé, vous devez compiler le code source comme ci-dessous :

  cmake .
  make install

Pour plus d'informations sur le processus d'installation, rendez-vous sur la page suivante : https://github.com/greenbone/openvas-scanner/blob/main/INSTALL.md.

Tarification

Etant donné que le projet est open-source, il est bien évidemment gratuit.

Sachez qu'il existe une version commerciale du projet, qui a été lancée par la société qui a elle-même créé la version open-source ; Greenbone Networks.

Le prix de la version commerciale n'est pas publique, il vous faudra contacter la société directement.

Facilité d'utilisation

L'installation d'OpenVAS est assez complexe, et de ce fait en décourragera plus d'un.

Si tout se passe bien, vous passerez à l'interface utilisateur d'OpenVAS qui semble trop obsolète mais qui n'est pas contre-intuitive. Elle comprend également un wizard qui vous aidera à configurer des analyses simples et avancées pour vos cibles.

En bref, si vous êtes à l'aise avec la ligne de commande Linux, vous n'aurez pas de problème avec cela. Si ce n'est pas le cas, vous devriez peut-être envisager d'autres options.

Support client

Vous l'aurez client, il est inexistant. Nous avons affaire ici à un projet open source. Vous allez devoir vous débrouiller seul. A vous de trouver la solution à votre problème en recherchant sur Google, ou bien en créant une issue sur le Github du projet : https://github.com/greenbone/openvas-scanner.

Note : la version commerciale du produit offre un support client dédié aux clients.

Conclusion

OpenVAS est un puissant scanner de vulnérabilité tout-en-un capable d'effectuer toute une variété de tests de vulnérabilité. Il est gratuit, mis à jour quotidiennement et facile à utiliser, ce qui en fait un choix idéal pour le testeur d'intrusion indépendant ou l'administrateur système d'une petite entreprise qui a besoin d'une option peu coûteuse et intuitive pour identifier les failles de sécurité potentielles.

Pour les grandes entreprises, l'entreprise derrière OpenVAS (Greenbone) propose une version payante qui inclut des options supplémentaires d'analyse des vulnérabilités axées sur l'entreprise pour une solution complète d'analyse des vulnérabilités.

Sources :

• https://www.openvas.org/
• https://github.com/greenbone/openvas-scanner