Nessus [LAB-4] Cấu hình quét lỗ hổng bảo mật Vulnerability Scan trên Tenable Nessus Professional

phile

Internship/Fresher
Jan 4, 2021
91
17
8
Mục Lục
I. Cấu hình Basic Vulnerability Scan thông qua Policy Template

II. Cấu hình thông Advanced Vulnerability Scan qua Policy Template
III. Cấu hình loại Plugin ra kết quả Report

[LAB-4] Cấu hình quét lỗ hổng bảo mật Vulnerability Scan trên Tenable Nessus Professional

Lưu ý: phiên bản Tenable Nessus được sử dụng trong chuổi series này là bản Professional 10.6.4 được dựng trên Windows Server 2022

I. Cấu hình Basic Vulnerability Scan thông qua Policy Template


Thực hiện quét toàn bộ hệ thống phù hợp với mọi thiết bị. Sử dụng scan này để quét một hoặc nhiều nội dung có bật tất cả các plugin của Nessus cho biết được các lỗ hổng bảo mật có trong hệ thống. Trong bài lab này Basic Network Scan sẽ được cấu hình dựa vào Policy Template ở phần Scans > Policies > New Policy.
1705806298666.png

Tại phần VULNERABILITIES tiến hành chọn Basic Network Scan, tiếp theo tiến hành lần lượt cấu hình các thông tin ở các tab: Settings, Credentials và Plugins
1705806302255.png



Tab Settings phần BASIC cho phép cấu hình chỉ định các khía cạnh cơ bản của chính sách, bao gồm tên cũng như quyền truy cập vào Policy.
1705806322066.png
1705806318175.png
Tiếp theo phần DISCOVERY cho phép cấu hình các phương thức xác định các host và port được mở trên chúng (chi tiết tham khảo LAB-3 theo link sau)
1705806328404.png

Phần ASSESSMENT cho phép cấu hình cách quét xác định các lỗ hổng cũng như thông tin của các lỗ hổng được xác định. Điều này bao gồm việc xác định phần mềm độc hại, đánh giá tính dễ bị tổn thương của hệ thống trước các cuộc tấn công vũ phu và tính nhạy cảm của các ứng dụng web. Nếu sử dụng Basic Network Scan nên để cấu hình thành Default, khi sử dụng Advanced Scan Network sẽ điều chỉnh các thông tin này thủ công,
1705806335133.png

Phần REPORT cho phép cấu hình cách hiển thị các lỗ hổng trong kết quả Scan bao gồm:
  • Show missing patches that have been superseded: Khi được bật, sẽ bao gồm thông tin bản vá được thay thế trong báo cáo quét.
  • Hide results from plugins initiated as a dependency: Khi được bật, danh sách phụ thuộc plugin sẽ không được đưa vào báo cáo. Nếu muốn đưa danh sách phụ thuộc vào báo cáo, hãy tắt cài đặt này.
  • Allow users to edit scan results: cho phép người quản trị xóa các mục khỏi báo cáo khi được bật.
  • Display hosts that respond to ping: báo cáohost phản hồi thành công với ping.
1705806338751.png

Phần ADVANCED cho phép cấu hình các thông tin liên quan đến hiệu suất Scan khi sử dụng Basic Network Scan nên để thành cấu hình Default, quét tối đa 30 host đồng thời, tối đa 4 plugins có thể chạy đồng thời trên host và 5 giây thời gian chờ cho socket của bài kiểm tra.
1705806341852.png



Cấu hình Credential cho phép cấp quyền truy cập cục bộ để Tenable Nessus quét các host mà không cần cài đặt agent. Điều này có thể tạo điều kiện thuận lợi cho việc quét một mạng lớn để xác định mức độ phơi nhiễm cục bộ hoặc vi phạm tuân thủ. Tenable Nessus có khả năng đăng nhập vào máy chủ Linux từ xa thông qua Secure Shell (SSH); và với máy chủ Windows, Tenable Nessus sử dụng nhiều công nghệ xác thực khác nhau của Microsoft. Tenable Nessus cũng sử dụng SNMP để thực hiện các truy vấn thông tin và phiên bản tới router và switch. Việc cấu hình Credential cho phép tenable quét sâu hơn trong host (ví dụ: quét các lỗ hổng bảo mật có trên ứng dụng của host)

Tenable Nessus hỗ trợ nhiều lọi Credential như:
  • Cloud Services: Tenable Nessus hỗ trợ Amazon Web Services (AWS), Microsoft Azure, Rackspace và Salesforce.com.
  • Database: bao gồm MongoDB, Oracle, MySQL, DB2, PostgreSQL và SQL Server
  • Host: bao gồm thông tin đăng nhập Windows, SSH và SNMPv3
  • Miscellaneous: bao gồm VMware, Red Hat Enterprise Virtualization (RHEV), IBM iSeries, Palo Alto Networks PAN-OS và các dịch vụ thư mục (ADSI và X.509)
  • Mobile Device Management: hệ thống quản lý mobile AirWatch, Workspace ONE, Apple Profile Manager, Good MDM, MaaS360, MobileIron, VMware Workspace One,
  • Patch Management: Dell KACE K1000, HCL BigFix, Microsoft System Center Configuration Manager (SCCM), Microsoft Windows Server Update Services (WSUS), Red Hat Satellite Server, Symantec Altiris
  • Plaintext Authentication: bao gồm FTP, HTTP, POP3 và các dịch vụ khác
  • Web Authentication Credentials: thông tin truy cập các dịch vụ web
Để cấu hình Credential cho Host tiến hành thực hiện như hình bên dưới.
1705806345760.png

Đối với các host truy cập thông qua SSH tiến hành chọn phương thức xác thực, ở đây sẽ chọn password và điền thông tin username/password đăng nhập cũng như cú pháp để có quyền admin (ví dụ sudo) và password nếu có.
Lưu ý: Ngoài ra các host SSH còn có các phương thức xác thực khác được liệt kê chi tiết theo link sau
1705806349186.png

Thực hiện tương tự cho các host Windows, thực hiện như hình cung cấp thông tin truy cập SMB đến các host ngoài ra còn có các cài đặt bao gồm:
  • Never send credentials in the clear: Vì lý do bảo mật, thông tin đăng nhập Windows không được gửi ở dạng không mã hóa theo mặc định.
  • Do not use NTLMv1 authentication: Nessus không sử dụng giao thức NTLMv1 để truy cập vào các host cần được quét.
  • Start the Remote Registry service during the scan: khởi động dịch vụ Remote Registry trên các host đang được quét nếu nó không chạy. Dịch vụ này phải đang chạy để Nessus thực thi một số plugin kiểm tra cục bộ của Windows.
  • Start the Server service during the scan: Khi được bật, Nessus sẽ tạm thời kích hoạt dịch vụ Windows Server, dịch vụ này cho phép máy tính chia sẻ tệp và các thiết bị khác trên mạng. Dịch vụ này bị vô hiệu hóa sau khi quá trình quét hoàn tất.
Lưu ý: Ngoài ra các host Windows còn có các phương thức xác thực khác được liệt kê chi tiết theo link sau. Có thể thêm đồng thời nhiều host SSH và Windows, Nessus sẽ sử dụng các thông tin theo thứ tự cho đến khi có được tài khoản full quyền truy cập vào host.
1705806353349.png

Tại tab Plugins cho phép chọn các plugin sẽ tham gia vào quá trình quét, mặc định Basic Network Scan sẽ khuyến cáo các plugin như hình bên dưới.
1705806358551.png

Sau khi đã hoàn thành cấu hình Policy tiến hành tạo Scan từ Policy bằng các vào phần Scans > chọn thư mục phù hợp > New Scan.
1705806428450.png

Tiến hành chọn User Defined và chọn Policy được cấu hình ở trên.
1705806431725.png

Tiến hành điền các thông tin Scan như tên, các host sẽ scan cũng như gửi email khi hoàn thành quá trình scan.
1705806445714.png
1705806450154.png
Thực hiện chọn vào Scan vừa tạo chọn More > Launch để tiến hành chạy Scan.
1705806456147.png



Sau khi quá trình Scan hoàn tất tiến hành kiểm tra kết quả Scan tại tab Hosts sẽ thấy được thông tin IP của các host cũng như các số lỗ hổng phát hiện được theo mức độ nghiêm trọng từ dỏ đậm -> xanh dương. Để xem chi tiết các lỗ hổng trên host có thể chọn vào host lúc nào sẽ có được các thông tin chi tiết các lỗ hổng cũng như plugin phát hiện.
1705806461795.png

Tab Vulnerabilities cho phép xem tất cả các lỗ hổng với các điểm CVSS (cao nhất là 10) đã được phát hiện trên các host đã quét và số lượng. Cũng có thể chọn vào một lỗ hổng để quan sát các host được phát hiện cũng như thông tin lỗ hổng và các khắc phục lỗ hổng.
1705806465431.png

Tab Remediations cho biết các hành động cần phải làm dựa vào điểm số Vulns càng cao thì cần được ưu tiên thực hiện để tránh trường hợp bị hacker khai thác.
1705806468020.png

Đối với trường hợp sử dụng Credential để kiểm tra các thông tin cung cấp có truy cập được host không có thể chọn Audit Trail và chọn Plugin ID 21745 và điền host cần kiểm tra nếu trả về kết quả như hình có nghĩa là các thông tin cung cấp đã truy cập được host. (ngoài ra còn có thể kiểm tra bằng Plugin ID 19506 nếu Credential check = yes thì có nghĩa truy cập host thành công)
1705806472257.png


II. Cấu hình thông Advanced Vulnerability Scan qua Policy Template

Advanced Network Scan là loại Scan được cấu hình để dò quét lỗ hổng bảo mật nhiều nhất. Có thể định cấu hình mẫu quét này để phù hợp với bất kỳ chính sách nào. Mẫu này có cài đặt mặc định giống như Basic Network Scan, nhưng nó cho phép các tùy chọn cấu hình bổ sung.
Điểm khác biệt giữa Advanced Network Scan so với Basic Network Scan là:
  • Cho phép tinh chỉnh các plugin có trong quá trình quét
  • Có một số cài đặt mặc định khác nhau
  • Cho phép audit được thêm vào nó
1706207747414.png

Để tạo Policy cho Advanced Network Scan tiến hành chọn Scans > Policies > New Policy > chọn Advanced Scans.
1705806500999.png
1705806503959.png
Tiếp theo tại tab Settings > Basic cấu hình các thông tin cơ bản như tên policy và quyền sử dụng policy.
1705806516082.png
1705806519048.png
Tại phần Dicovery > Host Discovery và Port Scanning cho phép xác định các host và các port open trên host (chi tiết xem bài LAB-3 theo link sau)
1705806525185.png
1705806528171.png
Tại phần Service Discovery sẽ bao gồm các cài đặt để cố gắng ánh xạ từng cổng mở với dịch vụ đang chạy trên cổng đó gồm các cấu hình:
  • Probe all ports to find services: Khi được bật, Nessus sẽ cố gắng ánh xạ từng cổng mở với dịch vụ đang chạy trên cổng đó.
  • Search for SSL based services: Kiểm soát cách Nessus kiểm tra các dịch vụ dựa trên SSL.
  • Search for SSL/TLS on: Chỉ định cổng nào trên host đích mà Nessus tìm kiếm dịch vụ SSL/TLS. Hỗ trợ chọn các port SSL/TSL thông dụng hoặc chọn tất cả port TCP (có thể ảnh hưởng đến hiệu suất host)
  • Search for DTLS On: Chỉ định cổng nào trên host đích mà Nessu tìm kiếm các dịch vụ DTLS. Hỗ trợ chọn None, các port DTLS thông dụng hoặc chọn tất cả port TCP (có thể ảnh hưởng đến hiệu suất host)
  • Identify certificates expiring within x days: Khi được bật, Nessus sẽ xác định các chứng chỉ SSL và TLS trong số ngày hết hạn được chỉ định.
1705806533105.png

Phần Identity cho phép bật hoặc tắt việc thu thập dữ liệu Active Directory. Bật cài đặt này để cho phép Nessus thu thập các đối tượng user, computer, và group từ Active Directory. Cài đặt này yêu cầu chỉ định tài khoản người dùng Active Directory để quét, đồng thời cũng cần bật LDAPS trên Domain Controller mà quá trình quét đang nhắm mục tiêu.
1705806536073.png

Phần ASSESSMENT > General hỗ trợ các cấu hình:
  • Avoid potential false alarms: cho phép Nessus không báo cáo bất kỳ sai sót nào bất cứ khi nào có dấu hiệu không chắc chắn về host từ xa.
  • Antivirus definition grace period (in days): cấu hình độ trễ kiểm tra phần mềm Chống vi-rút trong một số ngày đã đặt (0-7). Hướng dẫn Nessus cho phép thời gian gia hạn cụ thể trong báo cáo khi chữ ký chống vi-rút được coi là lỗi thời. Theo mặc định, Nessus coi chữ ký đã lỗi thời bất kể bản cập nhật có sẵn cách đây bao lâu (ví dụ: vài giờ trước). Có thể định cấu hình cài đặt này để cho phép tối đa 7 ngày trước khi báo cáo chúng đã lỗi thời.
1705806839443.png

Phần Brute Force cho phép cấu hình các thông tin sau:
  • Only use credentials provided by the user: Ngăn Nessus có thể kiểm tra các tài khoản mặc định và mật khẩu mặc định đã biết. Do nếu kiểm tra bị fail nhiều lần có thể khóa tài khoản.
1705806545125.png

Phần Windows cho phép các hình các thông tin sau:
  • SAM Registry: Nessus liệt kê người dùng thông qua sổ đăng ký Security Account Manager (SAM)
  • ADSI Query: Nessus liệt kê người dùng thông qua ADSI. Để sử dụng ADSI, phải cấu hình thông tin xác thực trong Credentials > Miscellaneous > ADSI.
  • WMI Query: Nessus liệt kê người dùng thông qua WMI
  • RID Brute Forcing: Nessus liệt kê người dùng thông qua việc ép buộc bạo lực relative identifier (RID). Việc bật cài đặt này sẽ bật Enumerate Domain Users và Enumerate Local User.
1705806555316.png

Phần REPORT cho phép cấu hình cách hiển thị các lỗ hổng trong kết quả Scan tương tự Basic Network Scan.
1705806559166.png

Phần ADVANCED cho phép cấu hình các thông tin liên quan đến hiệu suất quét như: số lượng host scan đồng thời, số lượng plugin đồng thời sử dụng trên host, thông tin logs,...như hình bên dưới.
1705806598547.png
1705806601857.png
Tab Credentials cho phép điền thông tin truy cập các host tương tự như Basic Network Scan.
1705806607803.png

Tại tab Plugins cho phép chọn các plugin sẽ tham gia vào quá trình quét, mặc định Advanced Network Scan sẽ khuyến cáo các plugin như hình bên dưới.
1705806612163.png

Sau khi tạo Scan và quét xong sẽ được kết quả như hình bên dưới.
1705827706481.png


III. Cấu hình loại Plugin ra kết quả Report

Trong một vài trường hợp muốn loại bỏ hoặc thay đổi Severity plugin trong kết quả Scan, như hình bên dưới muốn loại bỏ các plugin này ra kết quả Scan.
1705806682072.png

Để thực hiện tiến hành vào phần Scans > Plugin Rules > New Rule.
1705806686589.png

Tiến hành cấu hình các thông tin sau:
  • Host: các host áp dụng loại bỏ plugin này ra kết quả scan, để trống là áp dụng cho tất cả host
  • Plugin ID: ID của Plugin muốn loại ra kết quả Scan
  • Expiration Date: thời gian áp dụng loại bỏ Plugin
  • Severity: chỉnh lại giá trị trong kết quả scan, để Hide this result có nghĩa là không hiển thị plugin
1705806689163.png

Tiếp tục cấu hình cho các plugin khác như hình bên dưới.
1705806692277.png

Thực hiện Scan lại và kiểm tra sẽ thấy các Plugin cấu hình sẽ không hiển thị trong kết quả scan như hình bên dưới.
1705806704265.png
 

Attachments

  • 1705806305433.png
    1705806305433.png
    68.5 KB · Views: 0
  • 1705806541088.png
    1705806541088.png
    105.8 KB · Views: 0
  • 1705806548962.png
    1705806548962.png
    84.4 KB · Views: 0
  • 1705806585365.png
    1705806585365.png
    117.1 KB · Views: 0
Last edited:

About us

  • Securityzone.vn là một trang web chuyên về an ninh mạng và công nghệ thông tin. Trang web này cung cấp các bài viết, tin tức, video, diễn đàn và các dịch vụ liên quan đến lĩnh vực này. Securityzone.vn là một trong những cộng đồng IT lớn và uy tín tại Việt Nam, thu hút nhiều người quan tâm và tham gia. Securityzone.vn cũng là nơi để các chuyên gia, nhà nghiên cứu, sinh viên và người yêu thích an ninh mạng có thể trao đổi, học hỏi và chia sẻ kiến thức, kinh nghiệm và giải pháp về các vấn đề bảo mật trong thời đại số.

Quick Navigation

User Menu