Un scanner de vulnérabilité Par Florian ARNOLD XPose IR3 le 24/11/2009

Présentation au sujet: "Un scanner de vulnérabilité Par Florian ARNOLD XPose IR3 le 24/11/2009"— Transcription de la présentation:

1 Un scanner de vulnérabilité Par Florian ARNOLD XPose IR3 le 24/11/2009
Nessus Un scanner de vulnérabilité Par Florian ARNOLD XPose IR3 le 24/11/2009

2 Sommaire Présentation Scan distant Scan local Gestion des rapports
ARNOLD Florian - IR3 - 24/11/2009 Présentation Scan distant Scan local Gestion des rapports Gestion des failles de sécurité Nessus : un scanner de vulnérabilité

3 Scanner de vulnérabilité
ARNOLD Florian - IR3 - 24/11/2009 Comment se caractérisent les vulnérabilités? Services réseaux vulnérables Accès aux données sensibles Fautes de configuration (Ex : relais SMTP ouvert) Patchs de sécurité non appliqués Mots de passe par défaut Dénis de service contre la pile TCP/IP Notion de « vulnerability Assessment » : Identifier / Classifier des failles de sécurité Permet de résoudre les problèmes de sécurité Utilisé par les scanners de vulnérabilité Nessus : un scanner de vulnérabilité

4 Nessus, c’est quoi? Produit de Tenable Network Security depuis 1998
ARNOLD Florian - IR3 - 24/11/2009 Produit de Tenable Network Security depuis 1998 Sous licence propriétaire depuis 2005 Compatible Microsoft / Unix Existe en GPL => OpenVAS Scanner de vulnérabilité Logiciel client / serveur Mécanisme de plugins Nessus : un scanner de vulnérabilité Audit des failles de sécurité

5 Pré-requis Installation du serveur Nessus
ARNOLD Florian - IR3 - 24/11/2009 Installation du serveur Nessus Installation du client Nessus Mises à jour des vulnérabilités Création d’un utilisateur Nessus sudo apt-get install nessusd sudo apt-get install nessus Nessus : un scanner de vulnérabilité sudo nessus-update-plugins sudo nessus-adduser login

6 Nessusd : le serveur nessusd [-vcphdDLCR] [ -S <ip[,ip,...]> ]
ARNOLD Florian - IR3 - 24/11/2009 nessusd [-vcphdDLCR] [ -S <ip[,ip,...]> ] S <ip[,ip,...]> : send packets with a source IP of <ip[,ip...]> v : shows version number h : shows this help p <number> : use port number <number> # 1241 by default c <filename> : alternate configuration file to use (default : /etc/nessus/nessusd.conf) D : runs in daemon mode d : dumps the nessusd compilation options q : quiet (do not issue any message to stdout) Nessus : un scanner de vulnérabilité

7 Nessus : le client Exemple de « targets-file » :
ARNOLD Florian - IR3 - 24/11/2009 Exemple de « targets-file » : nessus [–c <.rcfile>] -q <host> <port> <user> <pass> <targets-file> <result-file> host : nessusd host port : nessusd host port user : nessus login pass : nessus password targets : file containing the list of targets result : name of the file where nessus will store the results .rcfile : client configuration side (~/.nessusrc by default) Nessus : un scanner de vulnérabilité srvnessus /24

8 Schéma de fonctionnement Nessus
ARNOLD Florian - IR3 - 24/11/2009 Demande de scan pour les réseaux : /24 Nessus : un scanner de vulnérabilité

9 Séquence des opérations
ARNOLD Florian - IR3 - 24/11/2009 Détection des machines vivantes Scan des ports Récupération d’information : Type et version des divers services (scan distant) Liste des package installés (scan local) Attaque simple (peu agressives) Dénis de service (contre les logiciels visés) Dénis de service contre la machine ARP ping TCP ping ICMP ping Nessus : un scanner de vulnérabilité 9

10 Scan distant Avantages : Inconvénients :
ARNOLD Florian - IR3 - 24/11/2009 Avantages : Test de connexion aux ports [ ] (par défaut) Scanner de port « maison » Tester la version des services Scan en parallèle (Gain de temps et de perf) Plusieurs instances de nessus[d] possibles Inconvénients : Faux positifs possibles Peut surcharger le réseau inutilement Ex. : HTTP 1.1, OpenSSL/0.8.7a, … Nessus : un scanner de vulnérabilité Ex. : Saturation de la table de translation d’un firewall

11 Scan distant Mono serveur Multi serveur ARNOLD Florian - IR3 -
24/11/2009 Mono serveur Multi serveur Nessus : un scanner de vulnérabilité

12 Scan local Avantages : Inconvénients :
ARNOLD Florian - IR3 - 24/11/2009 Avantages : Répond au problème de faux positif Test de vulnérabilité des logiciels locaux Ex : version de « dll » obsolète Rend un scan optimal Authentifications importantes Utilisation de techniques de Hackers Ex : attaque par dictionnaire sur « /etc/shadow » Inconvénients : Peut figer des applications locales Nécessite le redémarrage de ces applications Nessus : un scanner de vulnérabilité Ex : ferme de calcul bancaire Natixis tombé à cause du scan local

13 Scan local Différents accès possibles (~/.nessusrc) : Pour Unix :
ARNOLD Florian - IR3 - 24/11/2009 Différents accès possibles (~/.nessusrc) : Pour Unix : SSH (login+password) SSH (clé privée + publique => cryptage asymétrique) Kerberos (cryptage symétrique) Pour Microsoft : NTLM & NTLMv2 (par défaut) Kerberos Nessus : un scanner de vulnérabilité

14 Gestion des rapports ARNOLD Florian - IR3 - 24/11/2009 Possibilités de générer des HTML, XML, NBE, TXT, TEX, NSR Fichiers NBE (Nessus Back End Report) par défaut Séparateur : ‘|’ timestamps|||scan_start|Wed Oct 21 18:05: | timestamps|| |host_start|Wed Oct 21 18:05: | results| | |general/tcp|10180|Security Note|<description> results| | |general/icmp|10114|Security Warning|<description> results| | |general/udp|10287|Security Note|<description> results| | |general/tcp|19506|Security Note|<description> results| | |general/tcp|9999|Security Hole|<description> timestamps|| |host_end|Wed Oct 21 18:07: | timestamps|||scan_end|Wed Oct 21 18:07: | Nessus : un scanner de vulnérabilité

15 Utilisation des rapports
ARNOLD Florian - IR3 - 24/11/2009 Nessus : un scanner de vulnérabilité

16 SCAP: Security Content Automation Protocol
Sites de référence ARNOLD Florian - IR3 - 24/11/2009 Security Focus : CVE : National Vulnerability Database : Nessus : un scanner de vulnérabilité SCAP: Security Content Automation Protocol DRAFT NIST SP

17 NASL : c’est quoi? Nessus Attack Scripting Language
ARNOLD Florian - IR3 - 24/11/2009 Nessus Attack Scripting Language Interpréteur maison orienté sécurité Utilisé par Nessus pour tester les vulnérabilités Permet d’écrire ses propres tests de vulnérabilité Partage des scripts / Indépendant de l’OS Environ scripts NASL présents aujourd’hui Nessus : un scanner de vulnérabilité

18 NASL : fonctionnement Test de scripts NASL :
ARNOLD Florian - IR3 - 24/11/2009 Test de scripts NASL : nasl [-vhsDL] [-p] [ -t target ] [-T trace_file] [-SX] script_file ... -h : shows this help screen -p : parse only - do not execute the script -D : run the 'description part' only -L : 'lint' the script (extended checks) -t target : Execute the scripts against the target(s) host -T file : Trace actions into the file (or '-' for stderr) -s : 'safe checks‘ enabled -v : shows the version number -X : Run the script in 'authenticated' mode Nessus : un scanner de vulnérabilité nasl –t target_host my_script.nasl

19 Structure de scripts NASL
ARNOLD Florian - IR3 - 24/11/2009 # # Nasl script to be used with nessusd if(description) { script_name(language1:<name>, [...]) script_description(language1:<desc>, [...]) script_family(language1:<family>, [...]) script_cve_id(CVE-ID1[, CVE-ID2, ..., CVE-IDN]); script_bugtraq_id(ID1[, ID2, ..., IDN]); script_dependencies(filename1 [,filename2, ..., filenameN]); … exit(0); } # Script code here. # 'attack' section. Nessus : un scanner de vulnérabilité

20 APPE & STOR command => buffer overflow
Exemple de script NASL ARNOLD Florian - IR3 - 24/11/2009 if(description){ script_id(15628); script_cve_id("CVE ", "CVE "); script_bugtraq_id(11508); … exit(0); } # Check starts here include("ftp_func.inc"); port = get_kb_item("Services/ftp"); if ( ! port ) port = 21; if ( ! get_port_state(port) ) exit(0); banner = get_ftp_banner(port:port); if ( ! banner ) exit(0); if ( egrep(pattern:"^220 Welcome to Code-Crafters - Ability Server ([0-1]\..*|2\.([0-2]|3[0-4]))[^0-9]", string:banner) ) security_hole(port); ability_ftp_overflow.nasl APPE & STOR command => buffer overflow Nessus : un scanner de vulnérabilité

21 Merci de votre attention
ARNOLD Florian - IR3 - 24/11/2009 Merci de votre attention QUESTIONS ? Nessus : un scanner de vulnérabilité