Różnice pomiędzy wersjami 1 i 4 (Spinanie 3 wersji)
⇤ ← Wersja 1 z 2018-08-31 12:28:04 →
Rozmiar: 1041
Edytor: wtps0n
Komentarz: *** KREACJA ***
← Wersja 4 z 2018-09-04 20:45:14 → ⇥
Rozmiar: 5362
Edytor: wtps0n
Komentarz: + konfiguracja dla nginx
Usunięcia zostały oznaczone w ten sposób. Dodatki zostały oznaczone w ten sposób.
Linia 8: Linia 8:
= Uruchomienie OpenVAS =
Na razie jest to zapisanie rzeczy do wykonania po zainstalowaniu Kali Linuxa. Dystrybucja Kali nie zawiera w sobie OpenVAS-a. Tak więc trzeba doinstalować oraz uruhcomić.		 = Konfiguracja OpenVAS w systemie FreeBSD =
Linia 12: Linia 11:
Za pomocą własnego [[PoudriereBinaryPkg|repozytorium pakietów]] należy zainstalować ''meta-port'' [[FreshPorts:security/openvas9|openvas9]]:
Linia 13: Linia 14:
apt-get install openvas pkg install -Uy security/openvas9
Linia 16: Linia 17:
== Dodanie użytkownika == == Ustawienia w rc.conf ==
W celu uruchomienia poszczególnych serwisów [[https://www.openvas.org|OpenVAS|target="_blank"]]-a należy umieścić wpisy w konfiguracji `/etc/rc.conf`:

{{{#!highlight bash numbers=off
# OpenVAS Manager Daemon
openvasmd_enable="YES"

# OpenVAS Scanner Daemon
openvassd_enable="YES"
openvassd_flags=""

# OpenVAS Greenbone Security Assistant Daemon
gsad_enable="YES"
gsad_flags="--listen=127.0.0.1 --port=9392 --http-only --unix-socket=/var/run/gsad.sock"
}}}

Powyższe wpisy zostały umieszczone w [[UniMaster|repozytorium konfiguracji]] w osobnych plikach instalowanych w `/etc/rc.conf.d`.

== Aktualizacja (synchronizacja) feeds ==
/!\ /!\ /!\ '''UWAGA''' /!\ /!\ /!\ Aktualizacja ''feed''-ów odbywa się za pomocą protokołu rsync<<FootNote(Serwer ''feed.openvas.org'' nie ma włączonej usługi ''rsync'' dla adresu IPv6. )>>. Należy zatem upewnić się, że lokalny firewall wypuszcza ruch do portu ''873/tcp''.

{{{#!highlight bash numbers=off
greenbone-nvt-sync
greenbone-scapdata-sync
greenbone-certdata-sync
}}}

== Przebudowa pamięci podręcznej po aktualizacji ==
Po wykonanej aktualizacji ''feed''-ów należy wykonać przebudowę pamięci podręcznej manadżera OpenVAS:
{{{#!highlight bash numbers=off
openvasmd --rebuild --progress
}}}

== Utworzenie administratora ==
Linia 20: Linia 54:
openvasmd --create-user admin openvasmd --create-user admin --role=Admin
Linia 26: Linia 60:
== Panel webowy ==
Po wykonaniu wszystkich kroków należy przejść do przeglądarki i uruchomić [[https://127.0.0.1:9392|panel webowy|target="_blank"]].		 == Aktualizacja certyfikatów ==
W celu pominięcia problemów z uruchamianiem '''openvasmd''' należy wykonać następujące polecenie:
Linia 29: Linia 63:
{{{#!highlight bash numbers=off
openvas-manage-certs -a
}}}

== Wyłączenie komunikatów gpg ==
Analogicznie do [[SpamAssassin|Spam Assassin]]a należy wyłączyć komunikaty gpg o ''niebezpiecznej pamięci''. w tym celu należy wykonać następujące polecenia:
{{{#!highlight bash numbers=off
echo "no-secmem-warning" > /usr/local/etc/openvas/gnupg/gpg.conf
echo "no-secmem-warning" > /var/lib/openvas/openvasmd/gnupg/gpg.conf
}}}

= Uruchomienie OpenVAS =
Po wykonaniu wszystkich przygotowań można przystąpić do uruchamiania usług OpenVAS:
{{{#!highlight bash numbers=off
service openvassd start
service openvasmd start
service gsad start
}}}

= Konfiguracja z nginx =
Zgodnie z powyższą konfiguracją ''Greenbone Security Assistant'' działa wyłączenie na loopback. Tak więc najelpiej "''schować''" GSA za działającym [[NginxWebServer|serwerem webowym]]. Dzięki temu możliwy jest dostęp w bezpieczny sposób.

== Poprawienie uprawnień do socketu ==
Podczas startu gsad tworzy socket `/var/run/gsad.sock`. Niemniej jego domyślne uprawnienia nie pozwalają na poprawną pracę z [[NginxWebServer|nginx]]-em. Dlatego też konieczna jest modyfikacja uprawnień:
{{{#!highlight bash numbers=off
chmod 0777 /var/run/gsad.sock
}}}

== Konfiguracja nginx ==
GSA działa jako ''katalog root''. Dlatego też konfiguracja nginx-a powinna być wykonana dla jakiejś nazwy hosta (''server_name'') jako root.

=== Definicja upstream ===
{{{#!highlight nginx numbers=off
upstream gsa { server unix:///var/run/gsad.sock; }
}}}

=== Definicja serwera ===
{{{#!highlight nginx numbers=off
server {
    listen 54.38.192.168:443 ssl;
    listen [2001:41d0:602:17a8::3]:443 ssl;
    server_name gph03.bsdserwis.com;

    # [...]

    root /usr/local/share/openvas/gsa/classic;

    location ~ ^/(js/|css/|img/) {
        root /usr/local/share/openvas/gsa/classic;
    }

    location / {
        proxy_set_header Host $http_host;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Protocol $scheme;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_pass http://gsa;
    }

    location /.well-known/ {}

    include 000-cmsploit.conf;
    include 004-dot-ht.conf;
    include 004-err-page-404.conf;
    include 004-err-page-5xx.conf;
    include 004-pillaging-dvcs.conf;
    include 005-no-logging.conf;
    include 005-x-frame.conf;
}
}}}

/!\ /!\ /!\ '''UWAGA''' /!\ /!\ /!\ W konfiguracji wirtualnego hosta nie może być dołączany plik `expires.conf`, ponieważ "''psuje''" on poprawnie działanie '''proxy_pass'''.

== Uruchomienie nginx ==
Po wykonaniu zmian w konfiguracji należy wykonać przeładowanie całego serwera nginx:

{{{#!highlight bash numbers=off
service nginx reload
}}}

= Źródła w sieci internet =
 * [[https://blog.haardiek.org/deploy-gsad-behind-an-an-nginx-proxy.html|schowanie openvas za nginx|target="_blank"]]

Wydrukuj tę dokumentację Pokaż jako slajdy

Spis Treści

  1. Konfiguracja OpenVAS w systemie FreeBSD
    1. Instalacja
    2. Ustawienia w rc.conf
    3. Aktualizacja (synchronizacja) feeds
    4. Przebudowa pamięci podręcznej po aktualizacji
    5. Utworzenie administratora
    6. Aktualizacja certyfikatów
    7. Wyłączenie komunikatów gpg
  2. Uruchomienie OpenVAS
  3. Konfiguracja z nginx
    1. Poprawienie uprawnień do socketu
    2. Konfiguracja nginx
      1. Definicja upstream
      2. Definicja serwera
    3. Uruchomienie nginx
  4. Źródła w sieci internet

Konfiguracja OpenVAS w systemie FreeBSD

Instalacja

Za pomocą własnego repozytorium pakietów należy zainstalować meta-port openvas9: 

pkg install -Uy security/openvas9

Ustawienia w rc.conf

W celu uruchomienia poszczególnych serwisów OpenVAS-a należy umieścić wpisy w konfiguracji /etc/rc.conf: 

# OpenVAS Manager Daemon
openvasmd_enable="YES"

# OpenVAS Scanner Daemon
openvassd_enable="YES"
openvassd_flags=""

# OpenVAS Greenbone Security Assistant Daemon
gsad_enable="YES"
gsad_flags="--listen=127.0.0.1 --port=9392 --http-only --unix-socket=/var/run/gsad.sock"

Powyższe wpisy zostały umieszczone w repozytorium konfiguracji w osobnych plikach instalowanych w /etc/rc.conf.d.

Aktualizacja (synchronizacja) feeds

/!\ /!\ /!\ UWAGA /!\ /!\ /!\ Aktualizacja feed-ów odbywa się za pomocą protokołu rsync1. Należy zatem upewnić się, że lokalny firewall wypuszcza ruch do portu 873/tcp. 

greenbone-nvt-sync
greenbone-scapdata-sync
greenbone-certdata-sync

Przebudowa pamięci podręcznej po aktualizacji

Po wykonanej aktualizacji feed-ów należy wykonać przebudowę pamięci podręcznej manadżera OpenVAS: 

openvasmd --rebuild --progress

Utworzenie administratora

Domyślna instalacja OpenVAS-a nie posiada żadnego administratora, tak więc trzeba uruchomić skrypty, które pozwolą się zalogować do panelu administracyjnego: 

# utworzenie użytkownika
openvasmd --create-user admin --role=Admin

# ustawienie hasła
openvasmd --user=admin --new-password=ZmienHasl0

Aktualizacja certyfikatów

W celu pominięcia problemów z uruchamianiem openvasmd należy wykonać następujące polecenie: 

openvas-manage-certs -a

Wyłączenie komunikatów gpg

Analogicznie do Spam Assassina należy wyłączyć komunikaty gpg o niebezpiecznej pamięci. w tym celu należy wykonać następujące polecenia: 

echo "no-secmem-warning" > /usr/local/etc/openvas/gnupg/gpg.conf
echo "no-secmem-warning" > /var/lib/openvas/openvasmd/gnupg/gpg.conf

Uruchomienie OpenVAS

Po wykonaniu wszystkich przygotowań można przystąpić do uruchamiania usług OpenVAS: 

service openvassd start
service openvasmd start
service gsad start

Konfiguracja z nginx

Zgodnie z powyższą konfiguracją Greenbone Security Assistant działa wyłączenie na loopback. Tak więc najelpiej "schować" GSA za działającym serwerem webowym. Dzięki temu możliwy jest dostęp w bezpieczny sposób.

Poprawienie uprawnień do socketu

Podczas startu gsad tworzy socket /var/run/gsad.sock. Niemniej jego domyślne uprawnienia nie pozwalają na poprawną pracę z nginx-em. Dlatego też konieczna jest modyfikacja uprawnień: 

chmod 0777 /var/run/gsad.sock

Konfiguracja nginx

GSA działa jako katalog root. Dlatego też konfiguracja nginx-a powinna być wykonana dla jakiejś nazwy hosta (server_name) jako root.

Definicja upstream

upstream gsa { server unix:///var/run/gsad.sock; }

Definicja serwera

server {
    listen 54.38.192.168:443 ssl;
    listen [2001:41d0:602:17a8::3]:443 ssl;
    server_name gph03.bsdserwis.com;

    # [...]

    root /usr/local/share/openvas/gsa/classic;

    location ~ ^/(js/|css/|img/) {
        root /usr/local/share/openvas/gsa/classic;
    }

    location / {
        proxy_set_header Host $http_host;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Protocol $scheme;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_pass http://gsa;
    }

    location /.well-known/ {}

    include 000-cmsploit.conf;
    include 004-dot-ht.conf;
    include 004-err-page-404.conf;
    include 004-err-page-5xx.conf;
    include 004-pillaging-dvcs.conf;
    include 005-no-logging.conf;
    include 005-x-frame.conf;
}

/!\ /!\ /!\ UWAGA /!\ /!\ /!\ W konfiguracji wirtualnego hosta nie może być dołączany plik expires.conf, ponieważ "psuje" on poprawnie działanie proxy_pass.

Uruchomienie nginx

Po wykonaniu zmian w konfiguracji należy wykonać przeładowanie całego serwera nginx: 

service nginx reload

Źródła w sieci internet

{i}  (c) 2004 - 2026 BSD Serwis Krzysztof Stryjek. W przypadku błędów, poprawek proszę kontaktować się z administratorem wiki.

  1. Serwer feed.openvas.org nie ma włączonej usługi rsync dla adresu IPv6. (1)

OpenVas (ostatnio edytowane 2018-09-05 07:34:35 przez wtps0n)