Realizando Varreduras de Vulnerabilidade com Nessus

Quando Usar

• Realizando avaliação inicial de vulnerabilidades durante a fase de reconhecimento de um teste de invasão
• Realizando varreduras periódicas de vulnerabilidade para manter a conformidade com os padrões PCI-DSS (requisito 11.2), HIPAA ou SOC 2
• Validando que os esforços de remediação abordaram com sucesso vulnerabilidades identificadas anteriormente
• Estabelecendo uma linha de base de vulnerabilidades conhecidas antes da exploração manual direcionada
• Auditando a conformidade de patches e a deriva de configuração em frotas de servidores e estações de trabalho

Não use como substituto para testes de invasão manuais, contra sistemas sem autorização por escrito, ou contra sistemas frágeis (dispositivos médicos, SCADA legados) onde a varredura pode causar interrupção do serviço.

Pré-requisitos

• Tenable Nessus Professional ou Nessus Expert com atualizações de plugins atuais (plugins devem ter menos de 24 horas)
• Conectividade de rede para todos os hosts de destino em todas as portas (sem restrições de firewall entre o scanner e os alvos)
• Credenciais administrativas para varredura autenticada (administrador de domínio ou administrador local para Windows, root/sudo para Linux, strings de comunidade SNMP para dispositivos de rede)
• Intervalos de IP de destino e nomes de host documentados no acordo de escopo
• Aprovação de gerenciamento de mudanças para varredura durante janelas autorizadas

Fluxo de Trabalho

Etapa 1: Configuração da Varredura

Configure a política de varredura do Nessus com base nos requisitos do engajamento:

• Seleção do tipo de varredura: Escolha "Advanced Scan" (Varredura Avançada) para controle total sobre as famílias de plugins, ou "Credentialed Patch Audit" (Auditoria de Patches com Credenciais) para conformidade de patches. Evite "Basic Network Scan" (Varredura Básica de Rede) para testes de invasão, pois usa um conjunto limitado de plugins.
• Configurações de descoberta: Configure a varredura de portas para escanear todas as 65.535 portas TCP e as 1.000 principais portas UDP. Defina a descoberta de hosts para usar ARP (local), TCP SYN e ICMP para cobertura máxima.
• Autenticação: Adicione credenciais do Windows (conta de domínio com privilégios de administrador local), credenciais SSH (preferência por chave em vez de senha), credenciais SNMP (v3 com authPriv preferencial) e credenciais de banco de dados para verificações específicas de banco de dados.
• Configuração de plugins: Habilite todas as famílias de plugins relevantes para o ambiente de destino. Para testes de invasão, certifique-se de que os plugins de "Denial of Service" (Negação de Serviço) estejam desabilitados, a menos que explicitamente autorizados. Habilite a varredura CGI para servidores web.
• Configurações de desempenho: Defina o número máximo de hosts simultâneos por scanner (padrão 30, reduza para redes sensíveis), o número máximo de verificações simultâneas por host (4-5 para produção, maior para ambientes de teste) e valores de timeout de rede apropriados para a rede de destino.

Etapa 2: Execução e Monitoramento da Varredura

Inicie a varredura e monitore por problemas:

• Inicie a varredura durante a janela de teste autorizada
• Monitore o progresso da varredura através da interface web do Nessus, verificando hosts que estão expirando, falhas de autenticação ou plugins causando erros
• Observe falhas de credenciais indicadas por resultados de "Authentication Failure" (Falha de Autenticação); isso significa que a varredura autenticada voltou para o modo não autenticado, produzindo resultados incompletos
• Se hosts específicos estiverem travando ou se tornando não responsivos, pause a varredura, exclua esses hosts e relate o problema ao cliente
• Para redes grandes (1.000+ hosts), considere dividir as varreduras em sub-redes menores para gerenciar a carga e permitir a reinicialização

Etapa 3: Análise e Validação de Resultados

Analise os resultados da varredura para separar verdadeiros positivos de falsos positivos:

• Ordenar por gravidade: Comece com descobertas Críticas e Altas; elas representam as vulnerabilidades mais exploráveis e impactantes
• Validar autenticação: Verifique se o plugin 19506 (Nessus Scan Information) mostra "Credentialed checks: yes" (Verificações com credenciais: sim) para cada host. Resultados não autenticados perdem vulnerabilidades locais.
• Eliminar ruído informativo: Filtre descobertas informacionais, a menos que revelem informações úteis para testes manuais (banners de serviço, detalhes de certificado SSL, portas abertas)
• Cruzar referências de CVEs: Para cada descoberta Crítica/Alta, verifique o CVE no National Vulnerability Database. Verifique se a vulnerabilidade possui um exploit público (Exploit-DB, módulo Metasploit).
• Identificação de falsos positivos: Falsos positivos comuns incluem detecção baseada em versão onde patches retroativos tornam o software aparente vulnerável (comum em RHEL/CentOS). Verifique rpm -q --changelog <package> no alvo para confirmar.

…