[Gestion de patch – Partie 2] Les tests de vulnérabilités locales avec Nessus

Par Rédaction, secuobs.com
Le 24/03/2008

---

Résumé : Depuis 2004, l’outil Nessus propose, en complément de ses « audits » distants classiques, des scans locaux (host-based scans) permettant de mettre en évidence les défauts de mises à jour tels que des correctifs de sécurité Windows non applioqués, MS Office. - Lire l'article



NDLR : ce document a été rédigé en 2006, certaines versions ainsi que certaines configurations des logiciels utilisés selon ces versions peuvent être différentes de celles qui sont mentionnées ; merci de vous reporter vers les sites officiels des projets en question en cas de problème.


Nessus ( version 2.x - lien ) de la société Tenable Network Security permet également de mettre en évidence les défauts de mises à jour pour d'autres logiciels tiers recensés (Winamp, Winzip, Winrar, et autres) mais aussi de remonter les problèmes de configuration, et de gestion des comptes/mots de passe, etc.

Pour ce faire, Nessus doit être configuré avec les credentials (accès à un compte local) appropriés. Diverses distributions Linux sont supportées via un accès SSH, ainsi que Windows avec des authentifications Netbios (SMB) ou Kerberos.

Plusieurs constructeurs de routeurs et switches sont également pris en charge via le protocole SNMP (Simple Network Management Protocol).

Sous Windows, un compte ayant les droits « Adminstrateur » est requis pour accéder à l’intégralité du système de fichier et ainsi effectuer les tests locaux. Il peut s’agir d’un administrateur local ou d’un administrateur de domaine.

L’audit (machine seule ou ensemble de machines) peut ensuite être lancé normalement. En fonction du nombre de machines auditées et des plugins Nessus activés, la durée sera significativement différente. Les tests locaux sont eux effectués très rapidement.

Les local checks s’intègrent dans le rapport global Nessus classique, avec les détails concernant :

- les fichiers locaux,

- la base de registre,

- les comptes et accès, etc.


Les mises à jour très fréquentes des plugins permettent d’obtenir avec précision les problèmes pouvant avoir des répercutions directes ou indirectes sur la sécurité des machines scannées.

Les contre-mesures à adopter sont claires et très complètes dans le rapport, exportables sous de nombreux formats : LaTex, HTML, PDF, etc…

Des compléments d’informations sont disponibles aux adresses citées dans le rapport via des bases de données externes (Bugtraq grâce au BID - Bugtraq ID, base Nessus, ou encore OSVDB : Open Source Vulnerability Database).

De nombreux logiciels connus sont recensés dans les plugins des local checks, par exemple Winzip, WinRar, Flash,… Ils seront ainsi testés passivement en analysant leurs versions (obtenues avec l’accès au système de fichiers distant).

Les services disponibles sur les machines distantes susceptibles de se révéler dangereux - un service inutile est un facteur de risque supplémentaire : il peut contenir des failles – sont présentés dans le rapport Nessus.

Une installation par défaut de Microsoft Windows active de nombreux services, souvent inutiles sur des postes clients classiques.

Il est alors judicieux de les désactiver pour minimiser les risques d’intrusion (sans aborder les performances !). Les images créées lors de déploiements de masse (renouvellement de parc, etc.) peuvent contenir un minimum de services : les démarches à mettre en œuvre sont détaillées sur la page suivante ( lien ).

Des études ont révélé que le principal défaut de sécurité dans de larges infrastructures se situait en général autour de la politique et de la gestion de comptes et mots de passe.

Nessus, au travers de ses tests distants, intègre des tentatives d’authentification par défaut (mot de passe identique au login, etc.).

Avec l’accès au système de fichier, réalisable grâce aux credentials fournis, Nessus effectue des tests sur la base SAM (Security Access Manager) locale.

Vous pouvez également tester les vulnérabilités distantes et locales de votre ordinateur et/ou de votre passerelle à l'aide d'Exoscan, notre scanner en ligne gratuit de vulnérabilités distantes et locales ( lien ) qui est basé sur la branche 2.x Open Source de Nessus.


Autres ressouces dans ce dossier :

[Gestion de patch – Partie 1] Introduction – lien

[Gestion de patch – Partie 3] Développement de scripts NASL pour Nessus – lien

[Gestion de patch – Partie 4] Microsoft Baseline Security Analyser et Shavlik – lien

[Gestion de patch – Partie 5] Conclusion et webographie – lien