Meilleurs scanners de vulnérabilités réseau gratuits (examen) en 2020
Vous ne voulez pas que votre réseau soit ciblé par des utilisateurs malveillants qui tentent de voler vos données ou de nuire à votre organisation. Mais comment pouvez-vous vous assurer qu’il y a le moins de chemins possible pour eux?
S’assurer que chaque vulnérabilité de votre réseau est connue, traitée et corrigée, ou que des mesures sont prises pour les atténuer. Et la première étape pour y parvenir est d’analyser votre réseau à la recherche de ces vulnérabilités.
C’est le travail d’un type spécifique d’outil logiciel et aujourd’hui, nous sommes heureux de vous proposer les meilleurs scanners de vulnérabilités réseau gratuits.
> Commençons> Ensuite, nous discuterons des scanners de vulnérabilité en général. Nous verrons qui en a besoin et pourquoi.
Étant donné qu’un scanner de vulnérabilité ne fonctionne que dans le cadre d’un processus de gestion des vulnérabilités, c’est ce dont nous parlerons ensuite. Ensuite, nous étudierons le fonctionnement normal des scanners de vulnérabilité. Ils sont tous différents, mais au fond, il y a généralement plus de similitudes que de différences. Et avant de révéler quels sont les meilleurs scanners de vulnérabilités gratuits , nous vous dirons ce qu’il faut y rechercher.
Scanner de vulnérabilité: en ai-je besoin?
Les systèmes et réseaux informatiques sont plus complexes que jamais. Il n’est pas rare qu’un serveur typique exécute des centaines de processus. Chacun de ces processus est un programme, certains d’entre eux sont de gros programmes contenant des milliers de lignes de code. Et dans ce code, il pourrait y avoir toutes sortes de choses inattendues.
Un programmeur peut, à un moment donné, avoir ajouté une fonctionnalité de porte dérobée pour faciliter le débogage, et cette fonctionnalité peut l’avoir fait par erreur dans la version finale. Il peut y avoir des erreurs dans la validation d’entrée qui entraîneront des résultats inattendus et indésirables dans certaines circonstances spécifiques.
Chacun de ces trous est un trou et il y a beaucoup de gens qui n’ont rien de mieux à faire que de trouver ces trous et de les utiliser pour attaquer leurs systèmes.
Les vulnérabilités sont ce que nous appelons ces trous . Et s’ils sont laissés sans surveillance, ils peuvent être utilisés par des utilisateurs malveillants pour accéder à vos systèmes et données, ou pire encore, à vos données client, ou pour causer des dommages, tels que rendre vos systèmes inutilisables.
Les vulnérabilités peuvent être partout sur votre réseau. Ils se trouvent souvent dans les logiciels qui s’exécutent sur vos serveurs ou leurs systèmes d’exploitation, mais ils sont également courants dans les équipements réseau tels que les commutateurs, les routeurs et même les dispositifs de sécurité tels que les pare-feu.
Scanners de vulnérabilité réseau / expliqués
Les scanners de vulnérabilité ou les outils d’évaluation des vulnérabilités, comme on les appelle souvent, sont des outils logiciels dont le seul but est d’identifier les vulnérabilités de vos systèmes, appareils, équipements et logiciels. Nous les appelons scanners, car ils analysent généralement votre ordinateur à la recherche de vulnérabilités spécifiques.
Mais comment trouvent-ils ces vulnérabilités? Après tout, ils sont généralement hors de vue ou le développeur les aurait ciblés. À l’instar des logiciels de protection antivirus qui utilisent des bases de données de définitions de virus pour reconnaître les virus informatiques, la plupart des scanners de vulnérabilité s’appuient sur des bases de données de vulnérabilité et des systèmes d’analyse pour détecter des vulnérabilités spécifiques.
Ces bases de données de vulnérabilités peuvent provenir de laboratoires de tests de sécurité bien connus dédiés à la recherche de vulnérabilités dans les logiciels et le matériel, ou il peut s’agir de bases de données propriétaires.
Le niveau de détection que vous obtenez est aussi bon que la base de données de vulnérabilité utilisée par votre outil.
Scanners réseau – Fonctionnement de la découverte
La réponse rapide et facile à cette question est simple: Oui! Pas vraiment, tout le monde en a besoin. Tout comme aucune personne sensée ne penserait à faire fonctionner un ordinateur sans protection antivirus, aucun administrateur réseau ne devrait être dépourvu d’au moins un système de détection de vulnérabilité.
Bien sûr, c’est peut-être quelque chose qui pourrait théoriquement être fait manuellement, mais en pratique, c’est un travail impossible. Cela exigerait énormément de temps et de ressources humaines. Certaines organisations se consacrent à la recherche de vulnérabilités, employant souvent des centaines, voire des milliers de personnes.
Le fait est que si vous gérez plusieurs systèmes ou périphériques informatiques, vous avez probablement besoin d’un scanner de vulnérabilité. Le respect des normes réglementaires telles que SOX ou PCI-DSS vous obligera souvent à le faire. Et même s’ils ne l’exigent pas, la conformité sera plus facile à démontrer si vous pouvez montrer que vous analysez votre réseau à la recherche de vulnérabilités.
Ce qu’il faut chercher
Jetons un coup d’œil à certains des éléments les plus importants à prendre en compte lors de l’évaluation des scanners de vulnérabilité réseau.
Tout d’abord, la gamme d’appareils que l’outil peut analyser. Cela doit correspondre le plus possible à votre environnement. Si, par exemple, votre environnement comporte de nombreux serveurs Linux, vous devez choisir un outil qui les analysera. Votre scanner doit également être aussi précis que possible dans votre environnement afin de ne pas vous noyer dans des notifications inutiles et des faux positifs.
Un autre facteur important à prendre en compte est la base de données de vulnérabilité de l’outil.
- Est-il mis à jour régulièrement?
- Est-il stocké localement ou dans le cloud?
- Devez-vous payer des frais supplémentaires pour mettre à jour la base de données de vulnérabilités?
Ce sont toutes les choses que vous voudrez savoir avant de choisir votre outil.
Tous les scanners ne sont pas créés égaux, certains utiliseront une méthode d’analyse plus intrusive que d’autres et affecteront potentiellement les performances du système. Ce n’est pas une mauvaise chose, car les plus intrusifs sont généralement les meilleurs scanners, mais s’ils affectent les performances du système, vous voudrez connaître et planifier les analyses en conséquence. Et en parlant de programmation, c’est un autre aspect important des scanners de vulnérabilité de réseau. L’outil que vous envisagez a-t-il même programmé des analyses? Certains outils doivent être démarrés manuellement.
Le dernier aspect important des scanners de vulnérabilité de réseau est leur alerte et rapport.
- Que se passe-t-il lorsqu’ils détectent une vulnérabilité?
- La notification est-elle claire et facile à comprendre?
- L’outil fournit-il des informations sur la façon de corriger les vulnérabilités trouvées?
Certains outils ont même des correctifs automatiques pour certaines vulnérabilités. D’autres s’intègrent au logiciel de gestion des correctifs.
En ce qui concerne les rapports, c’est généralement une question de préférence personnelle, mais vous devez vous assurer que les informations que vous vous attendez à trouver dans les rapports sont bien là. Certains outils n’ont que des rapports prédéfinis, certains vous permettront de les modifier et d’autres vous permettront d’en créer de nouveaux à partir de zéro.
Meilleurs scanners de vulnérabilité réseau
Maintenant que nous savons ce qu’il faut rechercher dans les scanners de vulnérabilités, jetons un coup d’œil à certains des packages les meilleurs ou les plus intéressants que nous puissions trouver. Tous sauf un sont gratuits et le payant a un essai gratuit disponible.
1. SolarWinds Network Configuration Manager ( ESSAI GRATUIT )
Notre première entrée sur un logiciel intéressant de SolarWinds appelé Network Configuration Manager . Cependant, ce n’est pas un outil gratuit ou un scanner de vulnérabilité réseau. Vous vous demandez peut-être ce que vous faites sur cette liste.
Il y a une raison principale à son inclusion : l’outil répond à un type spécifique de vulnérabilité que de nombreux autres outils ne font pas et qui est la mauvaise configuration de l’équipement réseau.
>> ESSAI GRATUIT: SolarWinds Network Configuration Manager
L’objectif principal de cet outil en tant qu’analyseur de vulnérabilité est de valider l’équipement réseau pour les erreurs et les omissions de configuration. Il vérifiera également périodiquement les paramètres de l’appareil pour les changements.
Cela peut être utile car certaines attaques sont initiées en modifiant la configuration d’un appareil afin que l’accès à d’autres systèmes puisse être facilité. Network Configuration Manager peut également vous aider à assurer la conformité du réseau avec ses outils de configuration réseau automatisés qui peuvent implémenter des configurations standardisées, détecter les changements hors processus, auditer les configurations et même corriger les violations.
Le logiciel s’intègre à la base de données nationale des vulnérabilités et a accès aux CVE les plus récents pour identifier les vulnérabilités sur vos appareils Cisco. Il fonctionnera avec n’importe quel appareil Cisco exécutant ASA, IOS ou Nexus OS. En fait, deux outils utiles, Network Insights for ASA et Network Insights for Nexus, sont intégrés directement au produit.
Le prix de SolarWinds Network Configuration Manager commence à 2 895 $ et varie en fonction du nombre de nœuds. Si vous souhaitez essayer cet outil, vous pouvez télécharger une version d’essai gratuite de 30 jours de SolarWinds.
2. Analyseur de sécurité Microsoft Baseline (MBSA)
Notre deuxième entrée est un ancien outil Microsoft appelé Baseline Security Analyzer ou MBSA. Cet outil est une option loin d’être idéale pour les grandes organisations, mais il peut convenir aux petites entreprises ne disposant que de quelques serveurs.
> Sans> Il analysera le système d’exploitation Windows de base, ainsi que certains services tels que le pare-feu Windows, le serveur SQL, IIS et les applications Microsoft Office.
L’outil ne recherche pas les vulnérabilités spécifiques comme le font les vrais scanners de vulnérabilités, mais il recherchera les correctifs, les service packs et les mises à jour de sécurité manquants, ainsi que les systèmes d’analyse pour les problèmes administratifs. Le moteur de reporting de MBSA vous permettra d’obtenir une liste des mises à jour manquantes et des paramètres incorrects
MBSA est un ancien outil Microsoft. Si ancienne qu’elle n’est pas entièrement compatible avec Windows 10. La version 2.3 fonctionnera avec la dernière version de Windows mais nécessitera quelques ajustements pour nettoyer les faux positifs et corriger les vérifications qui ne peuvent pas être effectuées. Par exemple, MBSA signalera à tort que Windows Update n’est pas activé sur la dernière version de Windows. Un autre inconvénient est que MBSA ne détectera pas les vulnérabilités non-Microsoft ou les vulnérabilités complexes. Pourtant, cet outil est facile à utiliser et fait bien son travail et pourrait être l’outil parfait pour une petite organisation avec uniquement des ordinateurs Windows.
3. Open Vulnerability Assessment System (OpenVAS)
L’Open Vulnerability Assessment System, ou OpenVAS, est un cadre de nombreux services et outils qui se combinent pour fournir un système complet et puissant d’analyse et de gestion des vulnérabilités.
> Le système est entièrement gratuit et la plupart de ses composants sont open source, bien que certains soient propriétaires. Le scanner OpenVAS est livré avec plus de cinquante mille tests de vulnérabilité réseau qui sont régulièrement mis à jour.
OpenVAS a deux composants principaux, le scanner OpenVAS, qui est responsable de l’analyse réelle des ordinateurs cibles, et le gestionnaire OpenVAS, qui contrôle le scanner, consolide les résultats et les stocke dans une base de données SQL centrale avec la configuration du système. . Les autres composants incluent des interfaces utilisateur en ligne de commande et basées sur un navigateur.
La base de données Network Vulnerability Testing est un composant supplémentaire du système. Cette base de données est mise à jour à partir du flux de la communauté Greenborne ou du taux de flux de sécurité Greenborne. Ce dernier est un serveur d’abonnement payant, tandis que le flux de la communauté est gratuit.
4. Communauté Retina Network
Thre Retina Network Community est la version gratuite du Retina Network Security Scanner d’AboveTrust, l’un des scanners de vulnérabilité les plus populaires.
> Fr> L’outil peut effectuer une évaluation gratuite des vulnérabilités des correctifs manquants, des vulnérabilités zero-day et des configurations dangereuses. Les profils utilisateur alignés sur les fonctions du poste simplifient le fonctionnement du système. Son interface utilisateur intuitive de style métropolitain permet un fonctionnement simplifié du système.
Retina Network Community utilise la base de données du scanner Retina, une vaste base de données de vulnérabilités réseau, de problèmes de configuration et de correctifs manquants. Il se met à jour automatiquement et couvre un large éventail de systèmes d’exploitation, de périphériques, d’applications et d’environnements virtuels. En parlant d’environnements virtuels, le produit est entièrement compatible avec les environnements VMware et comprend la numérisation d’images virtuelles en ligne et hors ligne, la numérisation d’applications virtuelles et l’intégration avec vCenter.
La principale limitation de la communauté Retina Network est qu’elle est limitée à l’analyse de 256 adresses IP. Bien que ce ne soit pas beaucoup, ce sera plus que suffisant pour plusieurs petites organisations. Si votre environnement est plus grand que cela, vous pouvez opter pour le Retina Network Security Scanner, disponible en éditions standard et illimitées. Les deux éditions ont un ensemble de fonctionnalités étendu par rapport au scanner Retina Network Community.
5. Nexpose Community Edition
Nexpose de Rapid7 est un autre scanner de vulnérabilité connu, mais peut-être moins que Retina. Le Community Edition NeXpose est une version limitée du scanner de vulnérabilité complète de Rapid7.
> Las> Tout d’abord, vous ne pouvez utiliser le produit que pour scanner un maximum de 32 adresses IP. Cela en fait une bonne option uniquement pour les plus petits réseaux. De plus, le produit ne peut être utilisé que pendant un an. En plus de ces limitations, c’est un excellent produit.
Nexpose peut fonctionner sur des machines physiques exécutant Windows ou Linux. Il est également disponible en tant qu’appliance VM. Les capacités d’analyse étendues du produit prendront en charge les réseaux, les systèmes d’exploitation, les applications Web, les bases de données et les environnements virtuels. Nexpose utilise ce qu’il appelle Adaptive Security, qui peut détecter et évaluer automatiquement les nouveaux appareils et les nouvelles vulnérabilités au moment où ils entrent dans votre réseau. Ceci est combiné avec des connexions dynamiques à VMware et AWS et une intégration avec le projet de recherche Sonar pour fournir une véritable surveillance en direct. Nexpose fournit une analyse intégrée des politiques pour aider à se conformer aux normes courantes telles que CIS et NIST.Les rapports de correction intuitifs de l’outil fournissent des instructions étape par étape sur les actions de correction pour améliorer rapidement la conformité.
6. SecureCheq
Notre dernière entrée est un produit de Tripwire, un autre nom connu dans le domaine de la sécurité informatique. Leur logiciel SecureCheq est présenté comme un vérificateur de sécurité de configuration Microsoft Windows gratuit pour les postes de travail et les serveurs.
> La> Il recherchera environ deux douzaines d’erreurs de configuration courantes liées à la sécurité.
C’est un outil simple et facile à utiliser. Exécutez-le simplement sur la machine locale et il listera toutes les configurations marquées d’un statut de réussite ou d’échec. Cliquez sur l’un des paramètres répertoriés pour afficher un résumé de la vulnérabilité avec des références sur la façon de la corriger. Le rapport peut être imprimé ou enregistré sous forme de fichier XML OVAL.
Bien que SecureCheq recherche certains paramètres de configuration avancés, il ignore de nombreuses vulnérabilités et menaces plus générales. Le mieux que vous puissiez faire est de l’utiliser en combinaison avec un outil plus basique comme Microsoft Baseline Security Analyzer mentionné ci-dessus.
Gestion des vulnérabilités
C’est une chose de détecter les vulnérabilités à l’aide d’une sorte d’outil logiciel, mais c’est quelque peu inutile à moins que cela ne fasse partie d’un processus de gestion holistique des vulnérabilités. Tout comme les systèmes de détection des intrusions ne sont pas des systèmes de prévention des intrusions, les scanners de vulnérabilité réseau, ou du moins la grande majorité d’entre eux, ne détecteront que les vulnérabilités et les signaleront.
C’est à vous d’avoir un processus en place pour réagir à ces vulnérabilités détectées. La première chose à faire est de les évaluer.
L’idée ici est de s’assurer que les vulnérabilités détectées sont réelles. Les fabricants de scanners de vulnérabilité préfèrent souvent faire preuve de prudence, et nombre de leurs outils rapporteront un certain nombre de faux positifs.
La prochaine étape du processus de gestion des vulnérabilités consiste à décider de la manière dont vous souhaitez traiter et corriger les vulnérabilités réelles. S’ils ont été trouvés dans un logiciel que votre organisation utilise à peine, ou n’utilise pas du tout, la meilleure solution pourrait être de le supprimer et de le remplacer par un autre logiciel offrant des fonctionnalités similaires.
Dans de nombreux cas, corriger les vulnérabilités est aussi simple que d’appliquer un correctif de l’éditeur du logiciel ou de mettre à jour vers la dernière version. Parfois, ils peuvent également être résolus en modifiant certains paramètres de configuration.
