Nessus Professional
下表列出了 Nessus Professional 的硬件要求。
windows 部署建议不要部署在系统盘,如C:盘
场景 | 最低推荐硬件 |
---|---|
每次扫描最多可扫描 50,000 台主机 | CPU:4 个 2GHz 内核 Memory :4 GB RAM(建议使用 8 GB RAM) Disk space :30 GB,不包括主机操作系统使用的空间 提示: 您的使用情况(例如,扫描结果、插件更新和日志)会随着时间的推移增加所需的磁盘空间量。 |
每次扫描扫描超过 50,000 个主机 | CPU: 8 个 2GHz 内核 Memory: 8 GB RAM(建议使用 16 GB RAM) Disk space: 30 GB,不包括主机操作系统使用的空间 提示: 您的使用情况(例如,扫描结果、插件更新和日志)会随着时间的推移增加所需的磁盘空间量。 |
启用 Web 应用程序扫描功能的 的 Nessus
下表列出启用了 Web 应用程序扫描的Nessus Expert 的硬件要求:
提示:Expert版本具有 Web 应用程序扫描功能
硬件 | 最低要求 |
---|---|
CPU | > 8 个 2GHz 内核 |
内存 | > 8 GBTenable 建议使用 16 GB RAM 以获得最佳效果。 |
磁盘空间 | > 40 GB,不包括主机操作系统使用的空间您的总体使用情况(扫描结果、插件更新、日志记录)会随着时间的推移增加所需的磁盘空间量。 |
存储要求
Tenable 建议至少留出 5,000 MB 的临时空间,以便 Nessus 扫描程序正常运行。
[!Note]
Nessus 是一款耗 CPU 资源的应用程序。如果在虚拟化基础架构中部署 Nessus,请注意避免在运行Nessus 时会尝试占用超额,尤其是 CPU。
网卡要求
建议至少配置以下内容,以确保网络接口控制器 (NIC) 与 Nessus 兼容:
- 禁用 NIC 绑定或将单个 NIC 分配给 Nessus。
- 禁用 NIC 上的 IPv6 隧道。
- 禁用与 Nessus 共享 NIC 的数据包捕获应用程序。
- 避免在与其他 Docker 容器共享 NIC 的 Docker 容器中部署 Nessus。
虚拟机
Nessus 可以安装在满足相同要求的虚拟机上。如果您的虚拟机使用网络地址转换 (NAT) 访问网络,则许多 Nessus 漏洞检查、主机枚举和操作系统识别都会受到影响。
任何物理主机上只能运行一个虚拟化 Nessus 扫描程序。Nessus 依赖于低级网络操作,需要对主机的网络接口控制器 (NIC) 具有完全访问权限。在虚拟化环境(例如 Hyper-V、Docker)中,如果多个虚拟化 Nessus 扫描程序尝试共享单个物理网卡,则可能会导致扫描程序行为不正确或主机不稳定。
2. 软件要求
Nessus 支持以下 :
Linux、Windows 和 macOS 操作系统.
支持的浏览器
google chrome (76+)
Mac Safari (10+)
Mozilla Firefox (50+)
Microsoft Edge(102+)
PDF 报告
Nessus PDF 报告生成功能需要最新版本的 Oracle Java 或 OpenJDK。
如果您需要 PDF 报告,则必须先安装 Oracle Java 或 OpenJDK,
然后再安装 Nessus。
如果在安装 Nessus 后安装 Oracle Java 或 OpenJDK,则需要重新安装 Nessus 才能使 PDF 报告功能正常运行。
SELinux 要求
Nessus 支持禁用、宽松和强制模式安全增强型 Linux (SELinux) 策略配置。
禁用模式和宽松模式策略通常不需要自定义即可与 Nessus 交互。
实施模式策略需要自定义才能与 Nessus 交互。有关详细信息,请参阅自定义 SELinux 强制模式策略。
[!Note]
Tenable 建议在部署到实时网络之前测试您的 SELinux 配置。
自定义 SELinux 强制模式策略
开始之前:
- 在类似于生产环境的测试环境中安装 SELinux sealert 工具。
要监视 SELinux 日志以识别错误和解决方案,请执行以下操作:
- 运行 sealert 工具,其中 /var/log/audit/audit.log 是 SELinux 审核日志的位置:
sealert -a /var/log/audit/audit.log
该工具将运行并生成错误警报和解决方案的摘要。例如:
SELinux 阻止 /usr/sbin/sshd 对 sock_file /dev/log 进行写访问
SELinux 阻止 /usr/libexec/postfix/pickup 对进程使用 rlimitinh 访问。
2. 为每个错误警报执行建议的解决方案。
3. 重新启动 Nessus。
4. 再次运行 sealert 工具以确认您解决了错误警报。
3. 许可要求
建议您在开始安装过程之前获取激活码,因为在设置 Nessus 之前需要该激活码。
- 必须在 24 小时内与 Nessus 安装一起使用。
- 无法在扫描仪之间共享。
- 不区分大小写。
部署注意事项
在部署 Nessus 时,了解路由、过滤器和防火墙策略通常会有所帮助。除非 NAT 设备正在扫描内部网络,否则不希望将其部署在 NAT 设备后面。每当漏洞扫描流经某种 NAT 设备或应用程序代理时,检查都可能失真,并可能导致误报或误报。
此外,如果运行 Nessus 的系统具有个人或桌面防火墙,这些工具可能会大大限制远程漏洞扫描的有效性。基于主机的防火墙可能会干扰网络漏洞扫描。根据防火墙的配置,它可能会阻止、扭曲或隐藏 Nessus 扫描的探测。
某些执行状态检查的网络设备(如防火墙、负载平衡器和入侵检测/防御系统)在 Nessus 通过它们执行扫描时可能会做出负面反应。Nessus 提供了多个优化选项,可帮助减少通过此类设备进行扫描的影响,但避免通过此类网络设备进行扫描固有问题的最佳方法是执行凭证扫描。
如果将 Nessus Manager 配置为代理管理,则 Tenable 不建议将 Nessus Manager 用作本地扫描程序。例如,请勿将 Tenable Security Center 扫描区域配置为包括 Nessus Manager,并避免直接从 Nessus Manager 运行基于网络的扫描。这些配置可能会对客户端扫描性能产生负面影响。
本部分包含以下部署注意事项:
端口要求
Nessus 实例需要访问特定端口才能访问入站和出站流量
入站流量
您必须允许流向以下端口的入站流量。
端口 | 解释 |
---|---|
TCP 8834 | 访问 Nessus 界面。与 Tenable Security Center 通信。与 API 交互。 |
出站流量 | |
您必须允许出站流量流向以下端口。 |
端口 | 解释 |
---|---|
25 | 发送 SMTP 电子邮件通知。 |
TCP 443 | 与 plugins.nessus.org 服务器通信以进行插件更新。 |
UDP53 | 执行 DNS 解析。 |
基于主机的防火墙
端口 8834
Nessus 用户界面使用端口8834.如果尚未打开,请打开端口8834通过查阅防火墙供应商的文档以获取配置说明。
允许连接
如果在具有第三方防火墙(如 ZoneAlarm 或 Windows 防火墙)的主机上配置了 Nessus 服务器,则必须将其配置为允许来自使用 Nessus 的客户端的 IP 地址的连接。
Nessus 和 FirewallD
您可以将 Nessus 配置为与 FirewallD 配合使用。使用 firewalld 在 RHEL 7、CentOS 7 和 Fedora 20+ 系统上安装Nessus 时,可以使用 Nessus 服务和 Nessus 端口配置 firewalld。
要打开 Nessus 所需的端口,请使用以下命令:
>> firewall-cmd --permanent --add-service=nessus
>> firewall-cmd --reload
IPv6 支持
Nessus 支持扫描基于 IPv6 的资源。默认情况下,许多操作系统和设备都启用了 IPv6 支持。要对 IPv6 资源执行扫描,必须在安装了 Nessus 的主机上配置至少一个 IPv6 接口,并且 Nessus 必须位于支持 IPv6 的网络上(Nessus 无法通过 IPv4 扫描 IPv6 资源,但它可以通过 IPv4 上的凭据扫描来枚举 IPv6 接口)。启动扫描时,支持完整和压缩的 IPv6 表示法。
Nessus 不支持扫描 IPv6 全局单播 IP 地址范围,除非您单独输入 IP(以列表格式)。Nessus 不支持以连字符范围或 CIDR 地址表示的范围。Nessus 支持链路本地范围,其link6指令作为扫描目标或本地链接eth0.
网络地址转换 (NAT) 限制
如果虚拟机使用网络地址转换 (NAT) 访问网络,则许多 Nessus 漏洞检查、主机枚举和操作系统标识都会受到影响。
防病毒软件
由于扫描过程中会生成大量 TCP 连接,因此某些防病毒软件包可能会将 Nessus 归类为蠕虫或恶意软件。防病毒软件可能会增加扫描处理时间。
- 如果您的防病毒软件警告您,请选择Allow让 Nessus 继续扫描。
- 如果防病毒软件包允许您将进程添加到例外列表,请添加
nessusd.exe``nessus-service.exe``nessuscli.exe
安全警告
最后
自我介绍一下,小编13年上海交大毕业,曾经在小公司待过,也去过华为、OPPO等大厂,18年进入阿里一直到现在。
深知大多数网络安全工程师,想要提升技能,往往是自己摸索成长,但自己不成体系的自学效果低效又漫长,而且极易碰到天花板技术停滞不前!
因此收集整理了一份《2024年网络安全全套学习资料》,初衷也很简单,就是希望能够帮助到想自学提升又不知道该从何学起的朋友。
既有适合小白学习的零基础资料,也有适合3年以上经验的小伙伴深入学习提升的进阶课程,基本涵盖了95%以上网络安全知识点!真正的体系化!
如果你觉得这些内容对你有帮助,需要这份全套学习资料的朋友可以戳我获取!!
由于文件比较大,这里只是将部分目录截图出来,每个节点里面都包含大厂面经、学习笔记、源码讲义、实战项目、讲解视频,并且会持续更新!
fDI-1715794969105)]
[外链图片转存中…(img-zaLgbHic-1715794969105)]
既有适合小白学习的零基础资料,也有适合3年以上经验的小伙伴深入学习提升的进阶课程,基本涵盖了95%以上网络安全知识点!真正的体系化!
如果你觉得这些内容对你有帮助,需要这份全套学习资料的朋友可以戳我获取!!
由于文件比较大,这里只是将部分目录截图出来,每个节点里面都包含大厂面经、学习笔记、源码讲义、实战项目、讲解视频,并且会持续更新!