Was ist OpenVAS?

Das Open Vulnerability Assessment System (OpenVAS) ist ein Framework zum Aufspüren von Schwachstellen in Netzwerken. Es gilt als Standardwerkzeug von Penetration Testern. Gleichermaßen nutzen es auch Administratoren zur Überwachung von Netzwerken. Die Software wird kostenfrei unter der GPL-Lizenz angeboten. Sie ist unter Linux und FreeBSD lauffähig. Der Quellcode kann über die Entwicklerplattform GitHub bezogen werden.

Herkunft und Entwicklung von OpenVAS

OpenVAS hat seinen Ursprung im Schwachstellenscanner Nessus. Als dieser im Jahr 2005 nur noch kommerziell vermarktet wurde, bildete sich das OpenVAS-Projekt auf Basis der letzten freien Version von Nessus. Entwickler ist seitdem die Osnabrücker Firma Greenbone. Neben der Entwicklung von OpenVAS, bietet Greenbone mit der Software vorkonfigurierte Server an. Das gesamte Framework wurde 2017 in Greenbone Vulnerability Management (GVM) umbenannt. Seit 2019 ist OpenVAS nur noch die Bezeichnung für den eigentlichen Schwachstellen-Scanner.

Funktionsweise von OpenVAS

OpenVAS läuft in mehreren Server-Diensten auf dem ausführenden Rechner. Daher ist es möglich, das Framework auf einem leistungsfähigen Server arbeiten zu lassen und die Bedienung von einem anderen Rechner im Netz vorzunehmen. Die Software greift auf eine umfangreiche Datenbank zu, in der Merkmale und Schwachstellen von Betriebssystemen sowie Softwareprodukten hinterlegt sind. Diese werden als Feeds bezeichnet. Den größten Anteil machen die Network Vulnerability Tests (NVT) aus. Dies sind vorkonfigurierte Scans, von denen über 50.000 zugreifbar sind. Die Feeds können abonniert werden und der Bestand wird regelmäßig erneuert. Der Schwachstellentest läuft in mehreren Stufen ab. Nach einem Portscan werden erkannte Betriebssysteme und Softwareprodukte auf bekannte Lücken und Konfigurationsfehler hin untersucht. Dies betrifft beispielsweise auf dem untersuchten System laufende Dienste wie SSH oder den Webserver. Nach Abschluss des Scans wird ein Bericht erstellt. Zudem gibt es grafische Darstellungen der Resultate, wie eine Übersicht von Rechnern im gescannten Netzwerk.

Installation von OpenVAS

Vor der Installation müssen einige softwareseitige Voraussetzungen erfüllt werden. Diese betreffen beispielsweise TLS, SSH und die Bibliothek Libpcap, die erforderlich ist, um Netzwerkverkehr im bekannten Format PCAP verarbeiten zu können. Die Software muss für den Rechner, auf dem es zum Einsatz kommen soll, kompiliert werden. Eine detaillierte Anleitung und Hilfe bei der Installation werden sowohl auf Github, als auch im Community-Forum gegeben. Zudem bietet Greenbone kostenfrei virtuelle Maschinen mit der vorinstallierten Software an. Dazu, wie bereits erwähnt, kommerzielle, mit GVM vorkonfigurierte Hardware-Lösungen. Für Distributionen wie CentOS, Fedora/RHEL (Red Hat Enterprise Linux) und Ubuntu werden Installationspakete bereitgestellt. Besonders einfach lässt sich OpenVAS unter KALI-Linux installieren, da die Abhängigkeiten durch die vorinstallierte Software schon nahezu komplett erfüllt sind.

Bedienung und Ablauf eines Scans

Die Bedienoberfläche von OpenVAS kann standardmäßig über den Browser unter der IP-Adresse des ausführenden Rechners und dem Port 9392 aufgerufen werden. Bei Aufruf vom ausführenden Rechner selber, entsprechend über die Loopbackadresse 127.0.0.1.

Die Bedienoberfläche gliedert sich in die folgenden Menüpunkte:

-Dashboard: Ist die Start- und Übersichtsseite. Es werden grafische Übersichten zu vorangegangenen Scans (sog. Tasks), Topologien gescannter Netze und zur Verfügung stehende NVTs angezeigt.

-Scans: In diesem Menüpunkt kann die Scans als Tasks konfigurieren und starten. Dabei kann auf Vorlagen aus den NVTs zurückgegriffen werden. Auch eine zeitgesteuerte Ausführung ist wählbar. Weiterhin finden sich hier Resultate und Berichte vorangegangener Scans.

-Assets: Entsprechend der wörtlichen Übersetzung „Anlagen“ befinden sich dort Informationen über Routing zum gescannten Ziel, sowie festgestellte Betriebssysteme.

-SecInfo: Steht für Security Information. Hier findet man die Übersicht für die NVTs und veröffentlichte Schwachstellen. Eine Quelle ist das Emergency Response Team der Bundesverwaltung (CERT-Bund).

-Configuration: Im Bereich der Konfiguration lassen sich beispielsweise Scans konfigurieren und Formate für die Reporte festlegen.

-Extras: Hierunter befinden sich persönliche Einstellungen und der Status der Feeds.

-Administration: Dieser Menüpunkt ist unter anderem für die Benutzerverwaltung des OpenVAS-Systems gedacht. Hier können auch Gruppen und Rollen festgelegt werden.

-Help: Beinhaltet die ausführliche Hilfe.

Alternativ kann OpenVAS über die Kommandozeile bedient werden. Dies ist vorteilhaft, wenn es zur ständigen Überwachung (Monitoring) im Netz verwendet werden soll. Dann lassen sich die Ergebnisse beispielsweise über Shell-Skripte weiterverarbeiten. Zudem gibt es mit dem OpenVAS-Manager eine Client-Software zur Bedienung. Diese ist in den Repositiories einiger Linux-Distributionen enthalten.

Es können IP-Adressen einzelner Rechner oder ganze IP-Ranges (Bereiche von Adressen in einem Netzwerk) als Ziel gewählt werden. Die Scantiefe ist einstellbar. Sie reicht von einer schnellen, oberflächlichen Prüfung festgestellter Systeme und deren offenen Ports, hin zu einer intensiven Untersuchung einzelner Anwendungen. Eine Stärke von OpenVAS sind die ausführlichen Berichte. Sofern Verwundbarkeiten festgestellt werden, die auf Softwarelücken basieren,  dann erfolgt zum Beispiel eine Zuordnung zur CVE-Nummer (Common Vulnerabilities and Exposures). Hierbei handelt es sich um Nummern, die von Experten gemeldeten Sicherheitslücken („Exploits“) zur eindeutigen Unterscheidbarkeit zugeteilt werden. Dies erleichtert es dem Administrator, konkrete Maßnahmen zur Beseitigung des Sicherheitsproblems zu treffen.

Empfehlung durch das BSI

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) empfiehlt auf seiner Webpräsenz die Nutzung von OpenVAS. Es unterstützt die Entwicklung von Funktionen der Software und von NVTs. Zudem nutzt es die Software zum Einsatz bei Bundesbehörden und bietet diesen Schulungen und Support.