OpenVAS : Le scanner de vulnérabilités open source indispensable pour sécuriser vos serveurs

Paradmin

Votre serveur, NAS ou services en ligne sont-ils vraiment protégés contre les cyberattaques ? Plutôt que d’attendre qu’un pirate ne découvre vos failles à votre place, prenez les devants avec un scanner de vulnérabilités open source comme OpenVAS. Cet outil puissant, maintenu par Greenbone, analyse votre infrastructure pour identifier les ports ouverts, services mal configurés, certificats expirés et autres vulnérabilités exploitables. Mais attention : son utilisation doit toujours être encadrée par une autorisation écrite, sous peine de sanctions légales.

Dans ce guide complet, nous vous expliquons comment déployer OpenVAS en quelques minutes via Docker, interpréter ses rapports de criticité et l’intégrer dans une stratégie de cybersécurité proactive. Que vous soyez un administrateur système, un passionné de sécurité ou un maker DIY, cet outil gratuit et open source pourrait bien devenir votre meilleur allié contre les menaces numériques.

Pourquoi OpenVAS est-il l’outil qu’il vous faut pour auditer votre sécurité ?

OpenVAS (Open Vulnerability Assessment System) est bien plus qu’un simple scanner de ports : c’est un auditeur automatisé de vulnérabilités qui scrute votre infrastructure à la recherche de failles connues. Contrairement aux outils offensifs comme Kali Linux, OpenVAS adopte une approche purement défensive, idéale pour les administrateurs souhaitant évaluer leur propre sécurité sans risquer de franchir la ligne rouge de l’illégalité.

L’outil s’appuie sur le Greenbone Community Feed, une base de données de vulnérabilités régulièrement mise à jour, couvrant des milliers de failles (CVE, CVSS, etc.). Que vous gériez un serveur personnel, un NAS ou une infrastructure professionnelle, OpenVAS vous fournit des rapports détaillés classés par niveau de criticité (faible, moyen, élevé, critique). Vous y trouverez notamment :

  • Les ports ouverts et services exposés
  • Les configurations dangereuses (ex : services par défaut activés)
  • Les certificats SSL/TLS expirés ou mal configurés
  • Les vulnérabilités logicielles connues (applications, bibliothèques)
  • Les erreurs de configuration réseau (ex : protocoles non sécurisés)

L’avantage majeur ? OpenVAS est 100% gratuit et open source, contrairement à des solutions commerciales comme Nessus, dont l’interface est souvent plus intuitive mais payante. Bien que son interface web puisse paraître austère, son efficacité et sa gratuité en font un incontournable pour les budgets serrés ou les passionnés de sécurité.

Installation simplifiée : Déployez OpenVAS en 4 commandes avec Docker

L’installation d’OpenVAS peut sembler complexe, mais Greenbone a simplifié le processus grâce à une stack Docker prête à l’emploi. En quelques minutes, vous pouvez avoir un scanner fonctionnel sur votre machine ou serveur. Voici la marche à suivre :

Prérequis :

  • Un système Linux (Ubuntu/Debian recommandé) ou macOS
  • Docker et Docker Compose installés
  • Au moins 4 CPU et 8 Go de RAM pour des scans performants (les scans légers peuvent tourner avec moins de ressources)

Étapes d’installation :

  1. Créez un répertoire dédié pour les fichiers de configuration :

    mkdir -p ~/greenbone-community-container cd ~/greenbone-community-container

  2. Téléchargez le fichier docker-compose.yml fourni par Greenbone (vérifiez toujours le contenu avant exécution) :

    curl -f -O -L https://greenbone.github.io/docs/latest/_static/docker-compose.yml

  3. Téléchargez les images Docker nécessaires :

    docker compose pull

  4. Lancez les conteneurs en arrière-plan :

    docker compose up -d

Une fois les conteneurs démarrés, accédez à l’interface web d’OpenVAS via votre navigateur à l’adresse : http://localhost:9392. Le premier lancement peut prendre quelques minutes pour initialiser la base de données des vulnérabilités. Connectez-vous avec les identifiants par défaut (admin / admin), puis changez immédiatement le mot de passe pour des raisons de sécurité.

Interpréter les rapports : Comment agir face aux vulnérabilités détectées ?

Une fois le scan terminé, OpenVAS génère un rapport détaillé classant les vulnérabilités par ordre de priorité. Chaque faille est accompagnée d’une description, d’un score de criticité (CVSS) et, dans la plupart des cas, de solutions pour la corriger. Voici comment analyser ces rapports efficacement :

1. Comprendre les niveaux de criticité :

  • Critique (CVSS 9-10) : Failles exploitables à distance sans authentification (ex : RCE, injections SQL). À corriger en urgence.
  • Élevé (CVSS 7-8.9) : Vulnérabilités nécessitant une authentification ou des conditions spécifiques pour être exploitées.
  • Moyen (CVSS 4-6.9) : Problèmes de configuration ou failles mineures.
  • Faible (CVSS 0-3.9) : Anomalies mineures (ex : bannière de service exposant la version).

2. Prioriser les correctifs :

Commencez par les vulnérabilités critiques, surtout si elles concernent des services exposés sur Internet (ex : un serveur web, un VPN). Pour les failles logicielles, consultez les correctifs officiels (mises à jour, patches) ou les recommandations de l’éditeur. Par exemple, une faille dans un CMS comme WordPress peut souvent être résolue via une simple mise à jour.

3. Automatiser les scans réguliers :

OpenVAS permet de planifier des scans automatiques via son interface web. Configurez des analyses hebdomadaires ou mensuelles pour surveiller l’évolution de votre sécurité. Vous pouvez aussi intégrer OpenVAS à des outils comme Grafana ou ELK Stack pour visualiser les tendances sur le long terme.

OpenVAS vs. les alternatives : Pourquoi choisir cet outil ?

OpenVAS n’est pas le seul scanner de vulnérabilités open source disponible, mais il se distingue par plusieurs atouts majeurs. Voici une comparaison avec ses principaux concurrents :

OpenVAS vs. Nessus :

  • OpenVAS : Gratuit, open source, mais interface moins intuitive et communauté plus restreinte.
  • Nessus : Interface moderne et conviviale, mais payant (à partir de 2 500$ par an pour les entreprises). La version gratuite (Nessus Essentials) est limitée à 16 adresses IP.

OpenVAS vs. Vulners :

Vulners est une plateforme en ligne qui agrège des vulnérabilités, mais elle ne propose pas de scans automatisés comme OpenVAS. Idéal pour une veille, mais moins pour une analyse en profondeur.

OpenVAS vs. Grype :

Grype est spécialisé dans l’analyse des vulnérabilités dans les images de conteneurs (Docker, Kubernetes). OpenVAS, lui, scanne l’ensemble de votre infrastructure (serveurs, services, réseaux). Les deux outils sont complémentaires : utilisez Grype pour vos conteneurs et OpenVAS pour le reste.

Cas d’usage idéal pour OpenVAS :

  • Administrateurs système souhaitant auditer leur infrastructure personnelle ou professionnelle.
  • Développeurs DevOps intégrant des scans de sécurité dans leur pipeline CI/CD.
  • Passionnés de cybersécurité en quête d’un outil open source puissant et gratuit.

Bonnes pratiques et précautions à respecter

L’utilisation d’OpenVAS, comme tout outil de scan de vulnérabilités, doit être encadrée par des règles strictes pour éviter des problèmes légaux ou techniques. Voici les bonnes pratiques à adopter :

1. Obtenez toujours une autorisation écrite :

Scruter le réseau d’un tiers (entreprise, école, etc.) sans autorisation est illégal et peut entraîner des poursuites pénales. Même pour un scan interne, informez vos collègues ou votre employeur pour éviter les malentendus.

2. Protégez l’accès à OpenVAS :

L’interface web d’OpenVAS doit être sécurisée avec un mot de passe robuste et, idéalement, accessible uniquement via un VPN ou un réseau local. Évitez de l’exposer directement sur Internet sans protection (ex : pare-feu, authentification à deux facteurs).

3. Limitez les ressources allouées :

Les scans intens

Source : https://korben.info/openvas-scanner-vulnerabilites-gratuit-audit-secur.html

Publications similaires