¡Damas y caballeros, bienvenidos! En esta entrada explicaré como buscar vulnerabilidades en equipos o páginas webs usando el software Nessus.
¿Qué es Nessus?
Es un software de la empresa Tenable el cual por medio de una interfaz web es capaz de escanear cualquier equipos de nuestra red, no solo en búsqueda de vulnerabilidades, si no también:
- Escanear páginas webs, blogs, que podamos estar desarrollando o ya estén publicados.
- Determinar si los equipos de nuestra red tienen puertos abiertos y el riesgo que supone.
- Se actualiza constantemente con distintas bases de datos de seguridad de internet donde se reportan las mimas como el National Institute of Standards and Technology.
- Pruebas de ataque de fuerza bruta para saber cómo reaccionaría nuestro equipo en caso de ser objetivo de algún ciberdelincuente o robot.
- Programar escaneo y que los resultados sean generados por medio de un informe y sean enviados por email.
La version gratuita (Nessus Essentials) del programa permite el análisis de hasta 16 equipos y requiere un código de licenciamiento el cual nos proveerán por email una vez nos registremos en este enlace, abramos su dirección web por primera vez.
Proceso de instalación y puesta en marcha de Nessus
El programa es multiplataforma (incluso está optimizado para Raspberry Pi), pero en este caso lo he desplegado en una máquina virtual usando la distribución de Linux Kali Linux.
Una vez registrados, en el email nos dará no solo el numero de activación, si no también el enlace directo donde se encuentran todas las versiones disponibles para su descarga.
Instalación de Nessus:
La instalación es bastante sencilla en el caso de Linux ya que una vez vayamos al directorio donde se encuentra el fichero ejecutamos lo siguiente (al menos para Kali Linux / Debian):
dpkg -i Nessus-10.1.1-debian6 amd64-deb
Recuerda que si estamos instalando otra version el comando va a variar, por tal motivo una vez estemos dentro de la terminal en el directorio correcto podremos con la tecla TAB completar el nombre del fichero de instalación.
Inicio del servicio Nessus:
systemctl start nessusd.service
Activación del servicio Nessus para que se inicie en cada reinicio o apagado de la máquina:
systemctl enable nessusd.service
Verificación de que el servicio está correctamente iniciado:
systemctl status nessusd.service
Configuración inicial de Nessus
Abriremos en un navegador web y colocaremos la dirección IP con el puerto 8834 siguiendo el asistente inicial de configuración terminal de comandos:
Escribiremos aquí la licencia que recibimos por email:
Después de escribir el usuario y contraseña con el que accederemos via web, el sistema tardará unos minutos en inicializar:
Buscar vulnerabilidades en equipos con Nessus
Una vez ya estamos en su interfaz web, y completemos el asistente de configuración podemos proceder a realizar una revision de nuestra red en busca de vulnerabilidades o incluso haciendo un inventario de aquellos que tenemos en nuestra red con la opción ‘New Scan’ y seleccionando uno de las plantillas:
En el apartado ‘Targets’ debemos colocar la IP de los equipos o dirección web (si es una pagina web). Si por ejemplo queremos escanear una red entera, es tan sencillo como poner 192.168.1.0/24.
Personalmente he separado los análisis por tipos de dispositivos, no solamente por recomendaciones del fabricante, si no que en caso de remediación, las acciones suelen proceder de manera distinta.
¿Qué hacer con los resultados de vulnerabilidades que arroje Nessus?
Lo primero, que no cunda el pánico! 🙂 estos deben ser analizados en base a la severidad que presentan. En caso que las mismas vengan de un servidor y estén relacionadas por algún programa, se debe consultar al fabricante del mismo como remediarlos.
Sin embargo existen otras vulnerabilidades que realmente dependen completamente de nosotros administradores de sistemas y debemos considerar y remediar de forma independiente. En este ejemplo la conexión del almacenamiento iSCSI no contiene ningún tipo de seguridad:
Existen otros escenarios en los cuales si bien son clasificadas a nivel «Medium» no representan un problema grave de seguridad no solo por el afectado componente en si, si no también por el tipo de acceso que se tenga al dispositivo.
En casos como este certificado, no intento decir que no tomemos acción inmediata en cuanto a remediación, sin embargo a mediano plazo es importante remediarlo para incrementar la seguridad en nuestros equipos y la red. Específicamente se debe reemplazar SSL por al menos TLS 1.2.
Curiosidades finales
- Si la instalación se realiza el windows, el puerto 8834 es necesario abrirlo en el firewall.
- La interfaz se encuentra solo en inglés
- En muchos escenarios, los resultados pueden generar falsos positivos. Sin embargo para una mayor precision en el escaneo, es siempre mejor instalar un pequeño agente (programa que corre en segundo plano dentro del sistema operativo) llamado nessusd.
