🎯 OpenVAS — scan complet et gestion des patchs

🎯 Introduction (10 min)

Un scan non autorisé n'est pas seulement une mauvaise pratique technique, c'est une infraction : la loi punit l'accès non autorisé aux systèmes et l'atteinte à l'intégrité des données (article 323-1), pouvant aller jusqu'à deux ans d'emprisonnement. Cette contrainte juridique impose d'intégrer la phase d'autorisation écrite dès la préparation d'un audit et oriente aussi la stratégie technique (fenêtres d'exécution, confidentialité des résultats).

🎯 Objectifs

• Comprendre l'architecture de GVM/OpenVAS et démarrer/configurer un scanner complet.
• Lancer des tâches de scan, exporter des rapports (HTML/XML/PDF) et interpréter les niveaux de criticité et les scores CVSS.
• Utiliser Nikto pour l'analyse web, définir un plan de gestion des patchs et vérifier la remédiation par rescanning.

📖 1. Architecture OpenVAS/GVM (30 min)

Greenbone Vulnerability Management (GVM), souvent appelé OpenVAS dans ses composants historiques, est une suite modulaire :

• gvmd : le daemon de gestion (Greenbone Vulnerability Manager Daemon) qui orchestre les tâches, les utilisateurs et les rapports ;
• openvas / ospd-openvas : le composant scanner qui exécute les tests (NVTs) contre les cibles ;
• gsa (Greenbone Security Assistant) : interface web pour créer cibles, lancer scans et consulter rapports ;
• gsad : démon d'interface web qui sert GSA.

Schéma d'architecture

[Formateur/Analyste] --(HTTPs)--> [GSA/gsad] --(RPC)--> [gvmd] --(socket/TCP)--> [openvas-scanner]
                                      \
                                       --> Base de données (résultats/reports/NVT feed)
      

📖 2. Installation et configuration de base (30 min)

Sur une machine dédiée (ex : Debian 12), les commandes classiques (selon paquetages installés) :

# Installation initiale (varie selon distribution)
sudo apt install gvm -y   # ou installer les paquets ospd-openvas / gvmd / gsa

# Initialisation (création d'utilisateurs, téléchargement NVTs)
sudo gvm-setup

# Vérifier l'installation et l'état
sudo gvm-check-setup

# Démarrer les services
sudo gvm-start

📖 3. Tâches de scan avec GVM/OpenVAS (40 min)

Flux opérationnel pour un scan authentifié ou non :

1. Créer une cible (Target) : adresse IP ou plage, créer éventuellement des credentials (SSH/SMB) pour un scan authentifié.
2. Choisir un Scan Config : "Full and fast" pour un scan complet par défaut, ou config personnalisée.
3. Créer une Task associée à la cible et au Scan Config.
4. Lancer la Task et suivre les logs via GSA.
5. Exporter le rapport (HTML pour lecture, XML pour intégration, PDF pour archives).

📖 4. Interprétation d'un rapport GVM (30 min)

Un rapport GVM liste des vulnérabilités agrégées par host, service et sévérité. Chaque entrée indique : titre, description, CVSS v3 (score + vecteur), solution recommandée et références (CVE, bulletins éditeur).

Niveaux de sévérité

Méthode d'analyse

• Filtrer d'abord sur Critical/High pour identifier les actions immédiates (patch, isolation, désactivation service).
• Pour chaque vulnérabilité, lister la preuve (output du NVT), les conditions d'exploitation et la correction recommandée (mise à jour paquet, modification configuration, mitigation compensatoire).
• Prioriser avec la grille : Critical <24h, High <7j, Medium <30j, Low planifié.

📖 5. Nikto pour l'analyse web (20 min)

Nikto est un scanner web simple mais utile pour détecter des configurations faibles (headers manquants, versions de serveur vulnérables, scripts connus).

# Scanner un serveur web et sauvegarder le rapport
nikto -h http://192.168.30.5 -o nikto_debian-srv02.txt

📖 6. Gestion des patchs et validation (30 min)

Debian — gestion apt

# Lister les paquets upgradables
apt list --upgradable

# Mettre à jour la base de paquets et appliquer les mises à jour (staging conseillé)
sudo apt update
sudo apt upgrade -y   # en production : valider en staging d'abord

Windows

WSUS et le cycle Patch Tuesday sont les pratiques courantes dans les DSI ; tester les correctifs en staging avant déploiement massif.

Stratégie de remédiation

• Mettre en place unattended-upgrades pour correctifs automatiques de sécurité quand approprié.
• Avoir un environnement de staging pour valider les correctifs sur un échantillon de machines.
• Après application d'un correctif, valider par rescans Nmap/GVM et par tests fonctionnels.

Tableau de priorisation opérationnel

💻 TP S2 — Scan GVM complet et plan de correction (1h30)

Contexte

Vous travaillez pour InnovatTech SARL ; debian-srv02 (192.168.30.5) se trouve en DMZ et héberge des services web. Votre tâche est de lancer un scan GVM/OpenVAS, analyser le rapport et appliquer un plan de correction.

Objectif

Lancer un scan complet sur debian-srv02, produire un rapport, classer les vulnérabilités par CVSS et fournir un plan de correction précis (patchs apt, configuration TLS, désactivation services inutiles). Appliquer les corrections et rescanner pour vérification.

Prérequis techniques

• Accès à GSA (GVM Web UI) et/ou gvm-cli, compte utilisateur GVM.
• Accès SSH root sur debian-srv02 (ou accès de mise à jour via apt).
• Outils sur la station d'audit : nmap, nikto, openssl.

Étapes

1. Dans GSA : créer la Target 192.168.30.5 et une Task "Full and fast".
2. Lancer la Task et attendre la fin.
3. Exporter le rapport en XML/HTML/PDF.
4. Analyser les vulnérabilités : extraire les items Critical/High et établir un tableau CVSS avec colonnes : Service | Port | Vulnérabilité | CVSS | Priorité | Action recommandée.

Exemples de corrections concrètes

Patch apt

sudo apt update && sudo apt install --only-upgrade <package_name> -y
# Vérifier qu'il n'y a plus de mises à jour
apt list --upgradable

Correction TLS (exemple Apache)

# Dans /etc/apache2/mods-available/ssl.conf ou dans le VirtualHost
SSLProtocol all -SSLv3 -TLSv1 -TLSv1.1
SSLCipherSuite HIGH:!aNULL:!MD5:!3DES
# Tester la configuration
sudo apachectl configtest
sudo systemctl restart apache2

Désactiver services inutiles

# Exemple : désactiver ftp ou telnet
sudo systemctl stop vsftpd
sudo systemctl disable vsftpd

5. Après correction, lancer un rescannage Nmap et une nouvelle Task GVM pour valider la réduction des risques.

Livrables attendus

• Rapport GVM exporté (HTML et XML).
• Tableau de priorisation CVSS (CSV/Markdown) avec plan de correction par vulnérabilité.
• Preuves d'application des patchs (captures de apt list --upgradable avant/après, extrait de /var/log/apt/history.log) et résultats de rescans Nmap/GVM.

📌 Synthèse (10 min)

Cette séance a présenté GVM/OpenVAS comme outil central d'audit automatisé et montré comment enchaîner détection, analyse et remédiation via une boucle :

🔍 Scanner → 📊 Prioriser (CVSS) → 🔧 Patcher/Configurer → 🔄 Rescanner

La sécurité opérationnelle repose autant sur la technique que sur les processus (autorisation, test en staging, preuve de correction).

📚 Références et ressources pédagogiques

• Documentation Nmap et NSE (manuel et pages de référence).
• Greenbone/OpenVAS documentation et manuel GSA.
• CVSS v3 specification et bases CVE.
• Guides distribution Debian pour apt/unattended-upgrades, et pratiques WSUS pour Windows.

📝 QCM — Testez vos connaissances