Законно ли применение сканера безопасности
Обновлено: 15.05.2024
В настоящем документе представлены результаты сравнения сетевых сканеров безопасности в ходе проведения тестов на проникновение в отношении узлов сетевого периметра.
1. Введение
В настоящем документе представлены результаты сравнения сетевых сканеров безопасности в ходе проведения тестов на проникновение в отношении узлов сетевого периметра. При этом оценивались:
- Количество найденных уязвимостей
- Число ложных срабатываний (False Positives)
- Число пропусков (False Negatives)
- Причины пропусков
- Полнота базы проверок (в контексте данной задачи)
- Качество механизмов инвентаризации и определения версий ПО
- Точность работы сканера (в контексте данной задачи)
2. Краткая характеристика участников сравнения
На вопрос об используемых сканерах безопасности в своих организациях, подавляющее большинство респондентов ответило, что они используют хотя бы один сканер безопасности (70%). При этом в организациях, практикующих регулярное применение сканеров безопасности для анализа защищенности своих информационных систем, предпочитают использовать более одного продукта данного класса. 49 % респондентов ответило, что в их организациях используется два и более сканера безопасности (Рис. 1).
1 . Распределение организаций опрошенных респондентов по числу используемых сканеров безопасности
2 . Причины использования более одного сканера безопасности в организациях опрошенных респондентов
Отвечая на вопрос, для каких целей используются специализированные сканеры безопасности, большинство респондентов ответило, что они используются в качестве дополнительных инструментов анализа защищенности Web-приложений (68%). На втором месте, оказались специализированные сканеры безопасности СУБД (30%), а на третьем (2%) утилиты собственной разработки для решения специфического круга задач по анализу защищенности информационных систем (Рис. 3).
3 . Цели применения специализированных сканеров безопасности в организациях опрошенных респондентов
Результат опроса респондентов (рис. 4) о конечных продуктах, имеющих отношение к сканерам безопасности, показал, что большинство организаций предпочитают использовать продукт Positive Technologies XSpider (31%) и Nessus Security Scanner (17%).
Рис. 4. Используемые сканеры безопасности в организациях опрошенных респондентов
Для участия в тестовых испытаниях были отобраны сканеры, представленные в таблице 1.
Таблица 1. Сетевые сканеры безопасности, использованные в ходе сравнения
Название
Версия
Ссылка
Nessus
MaxPatrol
Internet Scanner
Retina Network Security Scanner
Shadow Security Scanner (SSS)
NetClarity Auditor
Итак, первый тест сфокусирован на задаче оценки защищённости систем на устойчивость к взлому.
3. Подведение итогов
Аналогичным образом были посчитаны результаты по остальным узлам. После подсчёта итогов получилась следующая таблица (табл. 2).
Таблица 2. Итоговые результаты по всем объектам сканирования
Показатель
Shadow Security Scanner
Идентификация сервисов и приложений, баллы
108
Найдено уязвимостей, всего
163
Из них ложных срабатываний
(false positives)
3
Найдено правильно
(из 225 возможных)
155
Пропуски
(false negatives)
70
Из них по причине отсутствия в базе
59
Из них вызванные необходимостью аутентификации
0
0
0
По другим причинам
1
3.1 Идентификация сервисов и приложений
По результатам определения сервисов и приложений баллы были просто просуммированы, при этом за ошибочное определение сервиса или приложения вычитался один балл (рис. 5).
Рис. 5. Результаты идентификации сервисов и приложений
Наибольшее количество баллов (108) набрал сканер MaxPatrol, чуть меньше (98) – сканер Nessus. Действительно, в этих двух сканерах процедура идентификации сервисов и приложений реализована очень качественно. Данный результат можно назвать вполне ожидаемым.
Следующий результат – у сканеров Internet Scanner и NetClarity. Здесь можно упомянуть, что, например, Internet Scanner ориентируется на использование стандартных портов для приложений, этим во многом и объясняется его невысокий результат. Наконец, наихудшие показатели у сканера NetClarity. Хотя он неплохо справляется с идентификацией сервисов (всё-таки он основан на ядре Nessus 2.x), его общий низкий результат можно объяснить тем, что он идентифицировал не все открытые порты.
3.2 Идентификация уязвимостей
На рис. 6 представлено общее число найденных всеми сканерами уязвимостей и число ложных срабатываний. Наибольшее число уязвимостей было найдено сканером MaxPatrol. Вторым (правда, уже со значительным отрывом) опять оказался Nessus.
Лидером по количеству ложных срабатываний оказался сканер Shadow Security Scanner. В принципе, это объяснимо, выше были приведены примеры ошибок, связанные как раз с его проверками.
Рис. 6. Найденные уязвимости и ложные срабатывания
Всего на всех 16 узлах всеми сканерами было найдено (и впоследствии подверждено ручной проверкой) 225 уязвимостей. Результаты распределились так, как на рис. 7. Наибольшее число уязвимостей – 155 из 225 возможных – было выявлено сканером MaxPatrol. Вторым оказался сканер Nessus (его результат практически в два раза хуже). Следующим идёт сканер Internet Scanner, затем NetClarity.
В ходе сравнения были проанализированы причины пропусков уязвимостей и были отделены те, которые были сделаны по причине отсутствия проверок в базе. На следующей диаграмме (рис. 8) представлены причины пропусков уязвимостей сканерами.
Рис. 7. Найденные уязвимости и пропуски
Рис. 8. Причины пропусков уязвимостей
Теперь несколько показателей, получившихся в результате подсчётов.
На рис. 39 представлено отношение числа ложных срабатываний к общему числу найденных уязвимостей, этот показатель в определённом смысле можно назвать точностью работы сканера. Ведь пользователь, прежде всего, имеет дело с перечнем найденных сканером уязвимостей, из которого необходимо выделить найденные правильно.
Рис. 9. Точность работы сканеров
Из этой диаграммы видно, что наивысшая точность (95%) достигнута сканером MaxPatrol. Хотя число ложных срабатываний у него не самое низкое, такой показатель точности достигнут за счёт большого количества найденных уязвимостей. Следующим по точности определения идёт Internet Scanner. Он показал самое низкое число ложных срабатываний. Самый низкий результат у сканера SSS, что неудивительно при таком большом количестве ложных срабатываний, которое было замечено в ходе сравнения.
Рис. 10. Полнота базы
Из этой диаграммы видно, что база сканера MaxPatrol наиболее адекватна поставленной задаче.
4. Заключение
4.1 Комментарии к результатам лидеров: MaxPatrol и Nessus
Первое место по всем критериям данного сравнения достаётся сканеру MaxPatrol, на втором месте – сканер Nessus, результаты остальных сканеров существенно ниже.
В-четвёртых, описание проверок оставляет желать лучшего. Но здесь следует понимать, что MaxPatrol находится в неравных условиях с другими сканерами: качественный перевод на русский язык всех описаний – очень трудоёмкая задача.
5. Ограничения данного сравнения
В ходе сравнения были изучены возможности сканеров в контексте только одной задачи – тестирование узлов сетевого периметра на устойчивость к взлому. Например, если проводить автомобильную аналогию, мы увидели, как разные автомобили ведут себя, допустим, на скользкой дороге. Однако есть и другие задачи, решение которых этими же сканерами может выглядеть совершенно иначе. В ближайшее время планируется сделать сравнение сканеров в ходе решения таких задач, как:
- Проведение аудита систем с использованием учётной записи
- Оценка соответствия требованиям стандарта PCI DSS
- Сканирование Windows-систем
Кроме того, планируется сделать сравнение сканеров и по формальным критериям.
В нашем телеграм канале мы рассказываем о главных новостях из мира IT, актуальных угрозах и событиях, которые оказывают влияние на обороноспособность стран, бизнес глобальных корпораций и безопасность пользователей по всему миру. Узнай первым как выжить в цифровом кошмаре!
Читайте также: