Beste gratis scanners voor netwerkkwetsbaarheid (review) in 2021

U wilt niet dat uw netwerk het doelwit wordt van kwaadwillende gebruikers die proberen uw gegevens te stelen of schade aan uw organisatie toe te brengen. Maar hoe kom je erachter dat er voor hen zo min mogelijk manieren zijn om binnen te komen?

Door ervoor te zorgen dat elke kwetsbaarheid op uw netwerk bekend, aangepakt en verholpen is of dat er een maatregel is genomen om deze te verminderen. En de eerste stap om dat te bereiken is om uw netwerk te scannen op die kwetsbaarheden.

Dit is de taak van een specifiek type softwaretool en vandaag bieden we u graag de beste gratis scanners voor netwerkkwetsbaarheid.

We beginnen de discussie van vandaag door te praten over de kwetsbaarheid van netwerken – of misschien kwetsbaarheden – in een poging uit te leggen wat ze zijn. Vervolgens bespreken we kwetsbaarheidsscanners in het algemeen. We zullen zien wie ze nodig heeft en waarom.

Aangezien een kwetsbaarheidsscanner alleen werkt als onderdeel van een proces voor kwetsbaarheidsbeheer, zullen we dit hierna bespreken. Vervolgens zullen we bestuderen hoe kwetsbaarheidsscanners doorgaans werken. Ze zijn allemaal verschillend, maar in de kern zijn er meestal meer overeenkomsten dan verschillen. En voordat we onthullen wat de beste gratis kwetsbaarheidsscanners zijn , vertellen we je waar je op moet letten.

Kwetsbaarheidsscanner: heb ik er een nodig?

Computersystemen en netwerken zijn complexer dan ooit. Het is niet ongebruikelijk dat een typische server honderden processen uitvoert. Elk van deze processen is een programma, sommige zijn grote programma's die duizenden regels code bevatten. En binnen deze code kunnen er allerlei onverwachte dingen zijn.

Een programmeur kan op een gegeven moment een backdoor-functie hebben toegevoegd om het debuggen te vergemakkelijken en deze functie heeft mogelijk per ongeluk de definitieve versie bereikt. Er kunnen enkele fouten zijn in de invoervalidatie die onder bepaalde omstandigheden onverwachte en ongewenste resultaten zullen veroorzaken.

Elk van deze is een gat en er zijn talloze mensen die niets beters te doen hebben dan deze gaten te vinden en ze te gebruiken om je systemen aan te vallen.

Kwetsbaarheden zijn wat we deze gaten noemen . En als ze onbeheerd worden achtergelaten, kunnen ze door kwaadwillende gebruikers worden gebruikt om toegang te krijgen tot uw systemen en gegevens, of erger nog, de gegevens van uw klant, of om anderszins schade aan te richten, zoals het onbruikbaar maken van uw systemen.

Kwetsbaarheden kunnen overal in uw netwerk voorkomen. Ze zijn vaak te vinden in software die op uw servers of hun besturingssystemen draait, maar ze komen ook veel voor in netwerkapparatuur zoals switches, routers en zelfs beveiligingsapparatuur zoals firewalls.

Scanners voor netwerkkwetsbaarheid / uitgelegd

Kwetsbaarheidsscanners of kwetsbaarheidsbeoordelingstools, zoals ze vaak worden genoemd, zijn softwaretools die uitsluitend tot doel hebben kwetsbaarheden in uw systemen, apparaten, apparatuur en software te identificeren. We noemen ze scanners omdat ze uw apparatuur meestal scannen om te zoeken naar specifieke kwetsbaarheden.

Maar hoe vinden ze deze kwetsbaarheden? Ze zijn er immers meestal niet in het zicht of de ontwikkelaar zou ze hebben aangepakt. Een beetje zoals virusbeschermingssoftware die databases met virusdefinities gebruikt om computervirussen te herkennen, vertrouwen de meeste kwetsbaarheidsscanners op kwetsbaarheidsdatabases en scansystemen voor specifieke kwetsbaarheden.

Deze kwetsbaarheidsdatabases kunnen afkomstig zijn van bekende testlaboratoria voor beveiliging die zich toeleggen op het vinden van kwetsbaarheden in software en hardware, of het kunnen eigen databases zijn.

Het detectieniveau dat u krijgt, is net zo goed als de kwetsbaarheidsdatabase die uw tool gebruikt.

Netwerkscanners – Hoe detectie werkt

Het snelle en gemakkelijke antwoord op deze vraag is eenvoudig: u wel! Nee echt, iedereen heeft ze nodig. Net zoals niemand bij zijn volle verstand zou denken aan het runnen van een computer zonder enige virusbescherming, zou geen enkele netwerkbeheerder op zijn minst een systeem voor het detecteren van kwetsbaarheden moeten hebben.

Natuurlijk is dit mogelijk iets dat theoretisch handmatig zou kunnen worden gedaan, maar praktisch is dit een onmogelijke klus. Het zou enorm veel tijd en mankracht vergen. Sommige organisaties zijn toegewijd aan het vinden van kwetsbaarheden en hebben vaak honderden, zo niet duizenden mensen in dienst.

Feit is dat als je meerdere computersystemen of apparaten beheert, je waarschijnlijk een kwetsbaarheidsscanner nodig hebt. Het naleven van regelgevende normen zoals SOX of PCI-DSS zal u vaak verplichten dit te doen. En zelfs als ze het niet nodig hebben, is naleving gemakkelijker aan te tonen als u kunt aantonen dat u uw netwerk scant op kwetsbaarheden.

Waarnaar te zoeken

Laten we eens kijken naar enkele van de belangrijkste dingen waarmee u rekening moet houden bij het evalueren van scanners voor netwerkkwetsbaarheid.

Eerst en vooral is het aantal apparaten dat de tool kan scannen. Deze moet zo goed mogelijk aansluiten bij uw omgeving. Als uw omgeving bijvoorbeeld veel Linux-servers heeft, moet u een tool kiezen die deze scant. Uw scanner moet ook zo nauwkeurig mogelijk zijn in uw omgeving om u niet te verdrinken in nutteloze meldingen en valse positieven.

Een andere belangrijke factor om te overwegen is de kwetsbaarheidsdatabase van de tool.

• Wordt het regelmatig bijgewerkt?
• Is het lokaal of in de cloud opgeslagen?
• Moet u extra kosten betalen om de kwetsbaarheidsdatabase bij te werken?

Dit zijn allemaal dingen die u wilt weten voordat u uw gereedschap kiest.

Niet alle scanners zijn gelijk gemaakt, sommige zullen een meer opdringerige scanmethode gebruiken dan andere en zullen mogelijk de systeemprestaties beïnvloeden. Dit is geen slechte zaak, aangezien de meest opdringerige scanners vaak de beste scanners zijn, maar als ze de systeemprestaties beïnvloeden, wil je dit weten en de scans dienovereenkomstig plannen. En over planning gesproken, dit is een ander belangrijk aspect van scanners voor netwerkkwetsbaarheid. Heeft de tool die u overweegt zelfs geplande scans? Sommige tools moeten handmatig worden gestart.

Het laatste belangrijke aspect van scanners voor netwerkkwetsbaarheid is hun waarschuwing en rapportage.

• Wat gebeurt er als ze een kwetsbaarheid detecteren?
• Is de melding duidelijk en begrijpelijk?
• Biedt de tool enig inzicht in het oplossen van gevonden kwetsbaarheden?

Sommige tools hebben zelfs een geautomatiseerd herstel van sommige kwetsbaarheden. Andere integreren met patchbeheersoftware.

Wat de rapportage betreft, dit is vaak een kwestie van persoonlijke voorkeur, maar u moet er wel voor zorgen dat de informatie die u in de rapporten verwacht te vinden, er ook is. Sommige tools hebben alleen vooraf gedefinieerde rapporten, met andere kun je ze aanpassen en met andere kun je helemaal nieuwe rapporten maken.

Beste scanners voor netwerkkwetsbaarheid

Nu we weten waarnaar we moeten zoeken in kwetsbaarheidsscanners, laten we eens kijken naar enkele van de beste of meest interessante pakketten die we konden vinden. Op één na zijn ze allemaal gratis en voor de betaalde is een gratis proefversie beschikbaar.

1. SolarWinds Network Configuration Manager ( GRATIS PROEF )

Onze eerste vermelding in een interessant stukje software van SolarWinds genaamd de Network Configuration Manager . Dit is echter geen gratis tool en ook geen scanner voor netwerkkwetsbaarheid. Dus je vraagt ​​​​je misschien af ​​​​wat het in deze lijst doet.

Er is één primaire reden voor de opname ervan : de tool pakt een specifiek type kwetsbaarheid aan dat niet veel andere tools doen, en dat het de verkeerde configuratie van netwerkapparatuur is.

• GRATIS PROEF: SolarWinds Network Configuration Manager
• Officiële download: https://www.solarwinds.com/network-configuration-manager

Het primaire doel van deze tool als kwetsbaarheidsscanner is het valideren van netwerkapparatuur op configuratiefouten en weglatingen. Het zal ook periodiek de apparaatconfiguraties controleren op wijzigingen.

Dit kan handig zijn omdat sommige aanvallen worden gestart door een apparaatconfiguratie zodanig te wijzigen dat toegang tot andere systemen wordt vergemakkelijkt. De Network Configuration Manager kan u ook helpen met netwerkcompliance met zijn geautomatiseerde netwerkconfiguratietools die gestandaardiseerde configuraties kunnen implementeren, out-of-process wijzigingen kunnen detecteren, configuraties kunnen controleren en zelfs schendingen kunnen corrigeren.

De software integreert met de National Vulnerability Database en heeft toegang tot de meest actuele CVE's om kwetsbaarheden in uw Cisco-apparaten te identificeren. Het werkt met elk Cisco-apparaat met ASA, IOS of Nexus OS. Twee handige tools, Network Insights for ASA en Network Insights for Nexus, zijn zelfs rechtstreeks in het product ingebouwd.

De prijzen voor de SolarWinds Network Configuration Manager beginnen bij $2 895 en variëren afhankelijk van het aantal nodes. Als u deze tool eens wilt proberen, kunt u een gratis proefversie van 30 dagen downloaden van SolarWinds.

2. Microsoft Baseline Security Analyzer (MBSA)

Onze tweede vermelding is een oudere tool van Microsoft, de Baseline Security Analyzer of MBSA. Deze tool is een minder dan ideale optie voor grotere organisaties, maar het kan goed zijn voor kleine bedrijven met slechts een paar servers.

Verwacht echter niet dat deze tool, gezien zijn Microsoft-oorsprong, naar iets anders dan Microsoft-producten kijkt. Het scant het basis-Windows-besturingssysteem en enkele services zoals de Windows Firewall, SQL-server, IIS en Microsoft Office-toepassingen.

De tool scant niet op specifieke kwetsbaarheden zoals echte kwetsbaarheidsscanners doen, maar zoekt naar ontbrekende patches, servicepacks en beveiligingsupdates en scant systemen op administratieve problemen. Met de rapportage-engine van de MBSA krijgt u een lijst met ontbrekende updates en verkeerde configuraties

MBSA is een oude tool van Microsoft. Zo oud dat het niet volledig compatibel is met Windows 10. Versie 2.3 zal werken met de nieuwste versie van Windows, maar er zullen wat aanpassingen nodig zijn om valse positieven op te ruimen en controles op te lossen die niet kunnen worden voltooid. MBSA zal bijvoorbeeld ten onrechte melden dat Windows Update niet is ingeschakeld op de nieuwste Windows-versie. Een ander nadeel is dat MBSA geen niet-Microsoft-kwetsbaarheden of complexe kwetsbaarheden detecteert. Toch is deze tool eenvoudig te gebruiken en doet zijn werk goed, en het zou de perfecte tool kunnen zijn voor een kleinere organisatie met alleen Windows-computers.

3. Open Vulnerability Assessment System (OpenVAS)

Het Open Vulnerability Assessment System, of OpenVAS, is een raamwerk van vele diensten en tools die samen een uitgebreid en krachtig scan- en beheersysteem voor kwetsbaarheden bieden.

Het raamwerk achter OpenVAS maakt deel uit van de kwetsbaarheidsbeheeroplossing van Greenbone Networks van waaruit al zo'n tien jaar ontwikkelingen worden bijgedragen aan de gemeenschap. Het systeem is volledig gratis en de meeste componenten zijn open-source, hoewel sommige eigendom zijn. De OpenVAS-scanner wordt geleverd met meer dan vijftigduizend netwerkkwetsbaarheidstests die regelmatig worden bijgewerkt.

OpenVAS heeft twee hoofdcomponenten, de OpenVAS-scanner, die verantwoordelijk is voor het daadwerkelijke scannen van doelcomputers en de OpenVAS-manager, die de scanner bestuurt, resultaten consolideert en opslaat in een centrale SQL-database, samen met de systeemconfiguratie. Andere componenten zijn onder meer browsergebaseerde gebruikersinterfaces en gebruikersinterfaces via de opdrachtregel.

Een extra onderdeel van het systeem is de database Network Vulnerability Tests. Deze database wordt bijgewerkt vanuit de Greenborne Community Feed of de Greenborne Security Feed. De laatste is een betaalde abonnementsserver, terwijl de communityfeed gratis is.

4. Retina-netwerkgemeenschap

Thre Retina Network Community is de gratis versie van de Retina Network Security Scanner van AboveTrust, een van de bekendste kwetsbaarheidsscanners.

Het is een uitgebreide kwetsbaarheidsscanner met veel functies. De tool kan een gratis kwetsbaarheidsbeoordeling uitvoeren van ontbrekende patches, zero-day kwetsbaarheden en niet-beveiligde configuraties. Gebruikersprofielen afgestemd op functiefuncties vereenvoudigen de bediening van het systeem. De intuïtieve gebruikersinterface in metrostijl zorgt voor een gestroomlijnde werking van het systeem.

Retina Network Community gebruikt de database van de Retina-scanner, een uitgebreide database met netwerkkwetsbaarheden, configuratieproblemen en ontbrekende patches. Het wordt automatisch bijgewerkt en omvat een breed scala aan besturingssystemen, apparaten, toepassingen en virtuele omgevingen. Over virtuele omgevingen gesproken, het product ondersteunt VMware-omgevingen volledig en omvat online en offline scannen van virtuele afbeeldingen, scannen van virtuele applicaties en integratie met vCenter.

De belangrijkste beperking van de Retina Network Community is dat deze beperkt is tot het scannen van 256 IP-adressen. Hoewel dit niet veel is, zal het voor meerdere kleinere organisaties meer dan genoeg zijn. Als uw omgeving groter is, kunt u kiezen voor de Retina Network Security Scanner, beschikbaar in Standard en Unlimited edities. Beide edities hebben een uitgebreide functieset vergeleken met de Retina Network Community-scanner.

5. Nexpose Community-editie

Nexpose van Rapid7 is een andere bekende kwetsbaarheidsscanner, hoewel misschien minder dan Retina. De Nexpose Community Edition is een beperkte versie van Rapid7's uitgebreide kwetsbaarheidsscanner.

De beperkingen zijn belangrijk. Eerst en vooral kunt u het product alleen gebruiken om maximaal 32 IP-adressen te scannen. Dit maakt het alleen een goede optie voor de kleinste netwerken. Bovendien kan het product slechts één jaar worden gebruikt. Naast deze beperkingen is dit een uitstekend product.

Nexpose kan draaien op fysieke machines met Windows of Linux. Het is ook beschikbaar als een VM-apparaat. De uitgebreide scanmogelijkheden van het product kunnen netwerken, besturingssystemen, webapplicaties, databases en virtuele omgevingen aan. Nexpose gebruikt wat het Adaptive Security noemt, dat automatisch nieuwe apparaten en nieuwe kwetsbaarheden kan detecteren en beoordelen zodra ze toegang krijgen tot uw netwerk. Dit wordt gecombineerd met dynamische verbindingen met VMware en AWS en integratie met het Sonar-onderzoeksproject om echte live monitoring te bieden. Nexpose biedt geïntegreerde beleidsscans om te helpen bij het voldoen aan populaire standaarden zoals CIS en NIST. De intuïtieve herstelrapporten van de tool geven stapsgewijze instructies over herstelacties om de naleving snel te verbeteren.

6. SecureCheq

Onze laatste vermelding is een product van Tripwire, een andere bekende naam in IT-beveiliging. De SecureCheq- software wordt geadverteerd als een gratis Microsoft Windows-configuratiebeveiligingscontrole voor desktops en servers.

De tool voert lokale scans uit op Windows-computers en identificeert onveilige geavanceerde Windows-instellingen zoals gedefinieerd door CIS-, ISO- of COBIT-normen. Het zal zoeken naar ongeveer twee dozijn veelvoorkomende configuratiefouten met betrekking tot beveiliging.

Dit is een eenvoudig hulpmiddel dat gemakkelijk te gebruiken is. U voert het gewoon uit op de lokale computer en het zal alle gecontroleerde instellingen weergeven met een pass- of fail-status. Als u op een van de vermelde instellingen klikt, wordt een samenvatting van de kwetsbaarheid weergegeven met verwijzingen naar hoe u deze kunt oplossen. Het rapport kan worden afgedrukt of opgeslagen als een OVAL XML-bestand.

Hoewel SecureCheq scant op enkele geavanceerde configuratie-instellingen, mist het veel van de meer algemene kwetsbaarheden en bedreigingen. Je kunt het het beste gebruiken in combinatie met een meer basale tool zoals de hierboven besproken Microsoft Baseline Security Analyzer.

Beheer van kwetsbaarheden

Het is één ding om kwetsbaarheden te detecteren met behulp van een soort softwaretool, maar het is een beetje nutteloos tenzij het deel uitmaakt van een holistisch proces voor het beheer van kwetsbaarheden. Net zoals Intrusion Detection-systemen geen Intrusion Prevention Systems zijn. Scanners voor netwerkkwetsbaarheid – of in ieder geval de overgrote meerderheid van hen – zullen alleen kwetsbaarheden detecteren en naar u verwijzen.

Het is aan jou om een ​​proces te hebben om te reageren op deze gedetecteerde kwetsbaarheden. Het eerste dat moet worden gedaan, is ze te beoordelen.

Het idee hier is om ervoor te zorgen dat gedetecteerde kwetsbaarheden echt zijn. Makers van kwetsbaarheidsscanners geven er vaak de voorkeur aan om voorzichtig te zijn en veel van hun tools zullen een bepaald aantal valse positieven rapporteren.

De volgende stap in het proces voor kwetsbaarheidsbeheer is om te beslissen hoe u echte kwetsbaarheden wilt aanpakken en oplossen. Als ze worden gevonden in een stuk software dat uw organisatie nauwelijks of helemaal niet gebruikt, is het misschien de beste manier om het te verwijderen en te vervangen door andere software die vergelijkbare functionaliteit biedt.

In veel gevallen is het oplossen van kwetsbaarheden net zo eenvoudig als het toepassen van een patch van de software-uitgever of het upgraden naar de nieuwste versie. Soms kunnen ze ook worden opgelost door een of meer configuratie-instellingen te wijzigen.