Nessus
| 開発元 | Tenable Network Security |
|---|---|
| 最新版 |
8.10.1
/ 2020年5月19日 |
| 対応OS | クロスプラットフォーム |
| サポート状況 | 開発中 |
| 種別 | 脆弱性検査ツール |
| ライセンス | GNU General Public License、プロプライエタリ・ライセンス |
| 公式サイト | www.tenable.com |
Nessus（ネサス）は、Tenable Network Security社がコンピュータセキュリティに関して開発した包括的な脆弱性検知スキャナである。非商用（個人使用）として無料で使用できる。このプログラムの目的は、システム上の潜在的な脆弱性を検知することである。
sectools.orgが行った調べによると、Nessusは、2000年、2003年、そして2006年のセキュリティツールで1位を獲得するほど、世界で最も使われている脆弱性検知スキャナである。Tenable Network Security社は、75,000人以上のユーザが世界的に使用していると推定している。
機能・特徴
[編集]Nessusは、次のタイプの脆弱性を検知するためのスキャンを行う
- クラッカーが遠隔でシステムの極秘データをコントロールするかアクセスすることを可能にする脆弱性
- 不良コンフィギュレーション（例えば、メールリレーやミッシングパッチなど）
- システムアカウント上のデフォルトのパスワードや共通のパスワード、ブランク/アブセントのパスワード、さらに辞書機能に攻撃するヒドラ（外部ツール）をコール
- 無効パケットの使用によるTCP/IPスタックのサービス妨害
- PCI DSS監査の準備
macOSやUNIXにおいて、Nessusが構成するネッソスデーモンがスキャニングを行って、ユーザに脆弱性の結果を提示する。
機能として、どのポートをターゲットとしてオープンにするかを決めるために、4つの内蔵型ポートスキャナ（またはAmapやNmapを使用）でポートのスキャンを行い、オープンしたポートの利用状態を監視する。脆弱性テスト（申込が必要）は、NASL（ネッソス・アタック・スクリプティング・ランゲージ）で書かれており、スクリプト言語はカスタムメイドのネットワーク・インタラクションのために最適化される。
Tenable Network Security社は、一日単位で、毎週、新しい脆弱性チェック（プラグインと呼ばれる）を製造している。これらのチェック機能は、一般大衆に無料で提供している。ただし、無料版はホーム・フィードなので、商用目的の使用は認めていない。プロフェショナル・フィード（有料版）にも、追加のスクリプト（例えば監査ファイル、準拠性テスト、追加の脆弱性検知プラグイン）へのアクセス権がある。
オプションとして、スキャン結果は、テキストやXML、HTML、そしてLaTeXなどのフォーマットで報告することができる。そして、その結果をデバッギングのための情報として保管しておくことができる。UNIXでは、コマンドライン・クライアントを使用すれば、自動的にスキャンをすることができる。個人使用や会社での使用を管理するために、UNIXとWindowsの無料のオープンソースツールが用意されている。
Nessusは、既知のネットワークの脆弱性テストに加えて追加的な機能がある。例えば、Windowsオペレーティングシステムを実行するコンピュータ上でパッチ・レベルを検査するためにWindowsの証明を使用することができ、また、辞書とブルート・フォースを使用してパスワード設定を行なうことができる。Nessus3とそれ以降のバージョンにおいては、Windowsサーバを強化するためのNSAガイドとして、特別なポリシーをコンフィグしてシステムを監査することができる。
歴史
[編集]「Nessus」プロジェクトは、1998年にRenaud Deraison氏がインターネットコミュニティに無料の遠隔セキュリティスキャナを提供するために作成したのが始まりである。
2005年10月5日に、Renaud Deraison氏は共同出資でTenable Network Security社を設立し、Nessus3をクローズドソースの所有権のライセンス制に変えた。それ以来、前のバージョンは公式ウェブサイトから削除されたようである。Nessus3エンジンは無料であるが、PCIやCIS、FDCCなどの標準コンフィグレーションやテクニカルサポート、SCADA脆弱監査、最新のネットワークチェックやパッチ監査、アンチウイルスのためのコンフィグレーションなどに月額100ドルかかる。また、Nessusには、クレジットカードや社会保障番号、会社データなどの機密データを検索する機能もある。
2008年7月に、Tenable社は、ホームユーザーがプラグインフィードにアクセスできるフィード・イセンス制に修正した。プロフェッショナルライセンスは、商業用途で利用ができる。
Nessus2エンジンと少数派のプラグインはまだGPLで、OpenVASやPorz-Wahnなどは、Nessusに基づいたオープンソース・プロジェクトである。Tenable Network Security社はまだNessus2エンジンを維持し、Nessus3の発売以来、数回、更新している。
Nessus3はUNIXやWindowsシステムで利用が可能で、エージェントなしでUNIXとWindowsのホストを監査するパッチ処理を提供する。また、その処理速度は、Nessus2より2-5倍速い。
2009年4月9日、Nessus4.0.0を発売。2012年2月15日、Nessus5.0を発売。