Si vous êtes à la recherche d'un scanner de vulnérabilité, alors Nessus et OpenVAS sont deux logiciels dont vous avez probablement déjà entendu parler. Dans cet article, nous allons étudier le cas OpenVAS.
Présentation d'OpenVAS
Open Vulnerability Assessment System (ou OpenVAS) est un scanner de sécurité web open-source complet.
Il a été créé lorsque Nessus (son principal concurrent) a cessé d'être un logiciel open source et a été changé en une solution de sécurité commerciale.
Fonctionnalités
OpenVAS est un scanner de vulnérabilité, ce qui signifie que sa mission est de rechercher de manière proactive les failles de sécurité de votre système ou application, de les identifier et de prédire la force de vos mesures de cybersécurité en cas d'attaque.
Parmi ses principales fonctionnalités, on distingue :
- Scan classique d'une target
- Scan avec authentification
- Planification de scan sur le temps
Installation
Le processus d'installation est assez compliqué. Pour installer OpenVAS, vous allez devoir compiler le code source vous-même, il n'existe pas d'exécutable pour vous facilier la tâche.
Le code source d'OpenVas peut être téléchargé sur le repository Github officiel. Lien vers la dernière version stable du projet (22.4.0) : https://github.com/greenbone/openvas-scanner/releases/tag/v22.4.0.
Une fois téléchargé, vous devez compiler le code source comme ci-dessous :
cmake . make install
Pour plus d'informations sur le processus d'installation, rendez-vous sur la page suivante : https://github.com/greenbone/openvas-scanner/blob/main/INSTALL.md.
Tarification
Etant donné que le projet est open-source, il est bien évidemment gratuit.
Sachez qu'il existe une version commerciale du projet, qui a été lancée par la société qui a elle-même créé la version open-source ; Greenbone Networks.
Le prix de la version commerciale n'est pas publique, il vous faudra contacter la société directement.
Facilité d'utilisation
L'installation d'OpenVAS est assez complexe, et de ce fait en décourragera plus d'un.
Si tout se passe bien, vous passerez à l'interface utilisateur d'OpenVAS qui semble trop obsolète mais qui n'est pas contre-intuitive. Elle comprend également un wizard qui vous aidera à configurer des analyses simples et avancées pour vos cibles.
En bref, si vous êtes à l'aise avec la ligne de commande Linux, vous n'aurez pas de problème avec cela. Si ce n'est pas le cas, vous devriez peut-être envisager d'autres options.
Support client
Vous l'aurez client, il est inexistant. Nous avons affaire ici à un projet open source. Vous allez devoir vous débrouiller seul. A vous de trouver la solution à votre problème en recherchant sur Google, ou bien en créant une issue sur le Github du projet : https://github.com/greenbone/openvas-scanner.
Note : la version commerciale du produit offre un support client dédié aux clients.
Conclusion
OpenVAS est un puissant scanner de vulnérabilité tout-en-un capable d'effectuer toute une variété de tests de vulnérabilité. Il est gratuit, mis à jour quotidiennement et facile à utiliser, ce qui en fait un choix idéal pour le testeur d'intrusion indépendant ou l'administrateur système d'une petite entreprise qui a besoin d'une option peu coûteuse et intuitive pour identifier les failles de sécurité potentielles.
Pour les grandes entreprises, l'entreprise derrière OpenVAS (Greenbone) propose une version payante qui inclut des options supplémentaires d'analyse des vulnérabilités axées sur l'entreprise pour une solution complète d'analyse des vulnérabilités.
Les points forts | Les points faibles |
---|---|
Open source et gratuit | Difficulté de prise en main |
Liste des CVEs mise à jour quotidiennement | Interface utilisateur vieillissante |
Très efficace |