BrowserScan iconBrowserScan
简体中文
English简体中文
BrowserScan/开源漏洞扫描/漏洞评估/安全扫描/Greenbone

OpenVAS Scanner：开源漏洞评估扫描器如何工作

AAnonymous··7 分钟阅读

OpenVAS Scanner：开源漏洞评估扫描器如何工作

OpenVAS Scanner 是 Greenbone 社区版核心的扫描引擎——一款开源漏洞扫描器，依据持续更新的漏洞测试源，检查主机、服务和应用程序。无论你是为实验室、小型企业还是更大规模的环境评估它，本指南都会介绍它实际能做什么、如何部署，以及它在其他安全检查中的定位。

什么是 OpenVAS Scanner？

OpenVAS Scanner：开源漏洞评估扫描器如何工作 - 什么是 OpenVAS Scanner？

OpenVAS Scanner：开源漏洞评估扫描器如何工作 - 什么是 OpenVAS Scanner？.

OpenVAS Scanner：开源漏洞评估扫描器如何工作 - 什么是 OpenVAS Scanner？。

OpenVAS 代表 Open Vulnerability Assessment Scanner（开源漏洞评估扫描器）。它是一款功能齐全的漏洞扫描器，由德国公司 Greenbone 维护，该公司自 2006 年以来一直推动该项目发展。扫描器本身只是其中一个组件：它执行每日更新的漏洞测试（VT）源，既用于开源的 Greenbone 社区版，也用于 Greenbone 的商业企业设备。

项目文档记录的关键能力包括：

  • 非认证和认证测试——从外部扫描，或登录主机进行更深入的检查。
  • 广泛的协议覆盖——高层和低层互联网协议以及工业协议。
  • 性能调优——面向大规模扫描的配置选项。
  • 内部脚本语言——用于实现自定义漏洞测试。

简而言之：它是一款通用的、由漏洞源驱动的扫描器，而不是单一用途的端口检查器。

扫描器与漏洞源如何协同工作

OpenVAS Scanner：开源漏洞评估扫描器如何工作 - 扫描器与漏洞源如何协同工作

OpenVAS Scanner：开源漏洞评估扫描器如何工作 - 扫描器与漏洞源如何协同工作.

OpenVAS Scanner：开源漏洞评估扫描器如何工作 - 扫描器与漏洞源如何协同工作。

漏洞扫描器的价值取决于其测试库。OpenVAS 将引擎与内容分离：

  1. 扫描引擎（openvas-scanner 组件）调度并针对目标运行测试。
  2. 漏洞源提供新的和更新的漏洞测试，使检测能力跟上新披露的问题。
  3. Greenbone 社区版中的支持模块负责扫描器周围的管理、调度和报告。

这种架构正是项目强调漏洞源拥有悠久历史和每日更新的原因——没有新鲜测试的扫描器很快就会变成历史记录，而不是安全控制措施。

认证扫描与非认证扫描

OpenVAS Scanner：开源漏洞评估扫描器如何工作 - 认证扫描与非认证扫描

OpenVAS Scanner：开源漏洞评估扫描器如何工作 - 认证扫描与非认证扫描.

OpenVAS Scanner：开源漏洞评估扫描器如何工作 - 认证扫描与非认证扫描。

这是规划扫描时最重要的决定，因为两种模式回答的是不同问题。

模式 能看到什么 最适合
非认证 暴露的服务、横幅信息、从网络可见的错误配置 外部攻击面检查、快速暴露面审查
认证 已安装的软件包、缺失的补丁、本地配置弱点 内部加固、补丁合规、更深入的审计

非认证扫描模拟网络中攻击者能观察到的内容。认证扫描需要在目标上提供凭据，并返回更多细节——缺失的补丁和不安全的本地设置，这些在仅网络视图中永远不会出现。大多数成熟的安全计划会同时运行两者：用认证扫描获得深度，用非认证扫描确认实际可达的内容。

部署选项

OpenVAS Scanner：开源漏洞评估扫描器如何工作 - 部署选项

OpenVAS Scanner：开源漏洞评估扫描器如何工作 - 部署选项.

OpenVAS Scanner 可以通过多种方式运行，正确的选择取决于你的团队对构建和维护软件的熟悉程度。

从源代码构建

扫描器仓库可以使用标准工具构建：

cmake .
make install

详细要求和设置步骤见项目的 INSTALL.md。这条路径提供最大控制权，但更新和依赖管理由你负责。

容器

预构建镜像发布在 Greenbone 注册表中，例如 ghcr.io/greenbone/openvas-scanner:stable，你也可以使用提供的 Dockerfile 在本地构建。还提供完全容器化的社区版设置。请注意，社区容器历来被描述为处于开发中，因此在生产环境中依赖它们之前，请先验证稳定性。

预制的虚拟设备

如果从源代码编译不吸引你，Greenbone 提供预制的虚拟机（Enterprise TRIAL），带有即用型设置——这是在确定架构之前评估扫描器的实用方式。

商业平台

商业 OPENVAS SCAN 产品系列增加了硬件和虚拟部署选项、基于代理的扫描、容器镜像扫描，以及与 ServiceNow、Splunk、Nagios 和 CyberArk 等平台的集成。它面向需要分布式扫描、自动化工作流和合规报告，而非独立引擎的组织。

实用的首次扫描工作流

合理的推广流程如下：

  1. 清点目标。 确定你有权扫描哪些主机和子网。扫描你不拥有的系统既无效，也可能违法。
  2. 从非认证开始。 获取暴露服务和明显错误配置的基线。
  3. 添加凭据。 对最重要的主机转向认证扫描，以便出现补丁级别的发现。
  4. 调整性能。 大范围需要调度和并发调整；扫描器支持性能调优正是为此。
  5. 确定优先级并修复。 按可利用性和暴露程度排序，而不是按原始发现数量。
  6. 重新扫描以验证。 在后续扫描确认之前，关闭的工单并不等于已修复的漏洞。

OpenVAS 在更广泛安全体系中的位置

漏洞扫描器覆盖一个层面：主机和服务中的已知弱点。它补充而非取代其他控制措施。防火墙和终端保护减少可达攻击面；扫描器告诉你还有什么仍然暴露且未修补。Greenbone 自身的定位也说明了这一点——扫描器增加的可见性让你能在缺口变成事件之前将其关闭。

值得与任何扫描计划搭配的两个实用补充：

  • 外部暴露检查。 在扫描之前或之后，确认你的网络实际向互联网呈现了什么。从网络外部快速运行一次端口扫描器，有助于你了解哪些服务可达，这在分类扫描结果时是有用的背景信息。
  • 浏览器和网络隐私验证。 扫描发现服务器端弱点；它不会说明你自己的连接是否泄露真实 IP。检查 DNS 和 WebRTC 泄露以及分析浏览器指纹的工具，覆盖风险图景的另一部分——对远程团队和 VPN 用户尤其如此。如果你经常处理 IP 数据，了解 IP 到位置查询的行为也有助于你准确解读地理位置发现。

对于围绕扫描数据构建自动化流水线的团队，IP 数据 API 可以用 ISP、代理和地理位置上下文丰富发现——当扫描在你以为熟悉的地址上标记出意外服务时，这很有用。

常见陷阱及如何避免

  • 未经授权扫描。 始终为你针对的范围获取书面许可。
  • 把发现数量当作评分。 一千个低严重性项目不如一个可远程利用的严重漏洞重要。
  • 跳过认证扫描。 仅网络扫描会错过大多数补丁级别问题。
  • 让漏洞源过期。 每日更新是关键；过期的漏洞源会削弱整个工作。
  • 没有验证循环。 安排重新扫描，否则你无法证明修复有效。

OpenVAS Scanner 与其他方法对比

  • 对比简单端口扫描器： 端口扫描器告诉你什么开放；OpenVAS 告诉你什么开放以及是否易受攻击。前者用于快速可达性检查，后者用于评估。
  • 对比商业扫描器： 开源社区版有能力，但需要你运行和维护。商业平台用成本换取托管漏洞源、支持、代理和集成。
  • 对比手动测试： 自动化扫描可重复且覆盖面广；手动测试能发现自动化遗漏的逻辑缺陷。成熟的安全计划两者都用。

相关阅读

来源与进一步阅读

常见问题

OpenVAS 免费吗？

扫描器和 Greenbone 社区版是开源的，依据 GPL 条款授权（Rust 实现带有 OpenSSL 例外，部分文件还额外采用 MIT 许可）。商业 OPENVAS SCAN 产品是单独的付费产品。

OpenVAS 和 Greenbone 有什么区别？

OpenVAS 是扫描器技术。Greenbone 是开发和维护它的公司，Greenbone 社区版是将扫描器与其他模块捆绑在一起的开源产品系列。

OpenVAS 能扫描容器吗？

容器镜像扫描是商业 OPENVAS SCAN 平台记录在案的能力。开源扫描器专注于网络服务、主机和应用程序。

我需要凭据才能获得有用的结果吗？

没有凭据也能获得有用结果，但认证扫描能揭示非认证扫描看不到的缺失补丁和本地错误配置。对于内部加固工作，强烈建议使用凭据。

我应该多久扫描一次？

漏洞源每日更新，因此许多团队对关键资产持续扫描或按每周节奏扫描。正确的频率取决于你的环境变化速度以及延迟发现代表的风险有多大。

结论

OpenVAS Scanner 是一款成熟、由漏洞源驱动的漏洞扫描器，拥有悠久的开发历史，并清晰区分开源引擎和商业平台功能。它的优势在于广度、每日测试更新以及部署灵活性——从源代码构建到容器再到预制虚拟设备。它的要求同样明确：你需要授权目标、维护计划和验证循环。

将其与外部暴露检查和隐私验证搭配使用，这样你不仅能发现系统中的弱点，还能确认自己的连接和浏览器没有悄悄对你不利。