Wydrukuj tę dokumentację Pokaż jako slajdy

Konfiguracja OpenVAS w systemie FreeBSD

Instalacja

Za pomocą własnego repozytorium pakietów należy zainstalować meta-port openvas9:

pkg install -Uy security/openvas9

Ustawienia w rc.conf

W celu uruchomienia poszczególnych serwisów OpenVAS-a należy umieścić wpisy w konfiguracji /etc/rc.conf:

# OpenVAS Manager Daemon
openvasmd_enable="YES"

# OpenVAS Scanner Daemon
openvassd_enable="YES"
openvassd_flags=""

# OpenVAS Greenbone Security Assistant Daemon
gsad_enable="YES"
gsad_flags="--listen=127.0.0.1 --port=9392 --http-only --unix-socket=/var/run/gsad.sock"

Powyższe wpisy zostały umieszczone w repozytorium konfiguracji w osobnych plikach instalowanych w /etc/rc.conf.d.

Aktualizacja (synchronizacja) feeds

UWAGA Aktualizacja feed-ów odbywa się za pomocą protokołu rsync¹. Należy zatem upewnić się, że lokalny firewall wypuszcza ruch do portu 873/tcp.

greenbone-nvt-sync
greenbone-scapdata-sync
greenbone-certdata-sync

Przebudowa pamięci podręcznej po aktualizacji

Po wykonanej aktualizacji feed-ów należy wykonać przebudowę pamięci podręcznej manadżera OpenVAS:

openvasmd --rebuild --progress

Utworzenie administratora

Domyślna instalacja OpenVAS-a nie posiada żadnego administratora, tak więc trzeba uruchomić skrypty, które pozwolą się zalogować do panelu administracyjnego:

# utworzenie użytkownika
openvasmd --create-user admin --role=Admin

# ustawienie hasła
openvasmd --user=admin --new-password=ZmienHasl0

Aktualizacja certyfikatów

W celu pominięcia problemów z uruchamianiem openvasmd należy wykonać następujące polecenie:

openvas-manage-certs -a

Wyłączenie komunikatów gpg

Analogicznie do Spam Assassina należy wyłączyć komunikaty gpg o niebezpiecznej pamięci. w tym celu należy wykonać następujące polecenia:

echo "no-secmem-warning" > /usr/local/etc/openvas/gnupg/gpg.conf
echo "no-secmem-warning" > /var/lib/openvas/openvasmd/gnupg/gpg.conf

Uruchomienie OpenVAS

Po wykonaniu wszystkich przygotowań można przystąpić do uruchamiania usług OpenVAS:

service openvassd start
service openvasmd start
service gsad start

Konfiguracja z nginx

Zgodnie z powyższą konfiguracją Greenbone Security Assistant działa wyłączenie na loopback. Tak więc najelpiej "schować" GSA za działającym serwerem webowym. Dzięki temu możliwy jest dostęp w bezpieczny sposób.

Poprawienie uprawnień do socketu

Podczas startu gsad tworzy socket /var/run/gsad.sock. Niemniej jego domyślne uprawnienia nie pozwalają na poprawną pracę z nginx-em. Dlatego też konieczna jest modyfikacja uprawnień:

chmod 0777 /var/run/gsad.sock

Konfiguracja nginx

GSA działa jako katalog root. Dlatego też konfiguracja nginx-a powinna być wykonana dla jakiejś nazwy hosta (server_name) jako root.

Definicja upstream

upstream gsa { server unix:///var/run/gsad.sock; }

Definicja serwera

server {
    listen 54.38.192.168:443 ssl;
    listen [2001:41d0:602:17a8::3]:443 ssl;
    server_name gph03.bsdserwis.com;

    # [...]

    root /usr/local/share/openvas/gsa/classic;

    location ~ ^/(js/|css/|img/) {
        root /usr/local/share/openvas/gsa/classic;
    }

    location / {
        proxy_set_header Host $http_host;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Protocol $scheme;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_pass http://gsa;
    }

    location /.well-known/ {}

    include 000-cmsploit.conf;
    include 004-dot-ht.conf;
    include 004-err-page-404.conf;
    include 004-err-page-5xx.conf;
    include 004-pillaging-dvcs.conf;
    include 005-no-logging.conf;
    include 005-x-frame.conf;
}

UWAGA W konfiguracji wirtualnego hosta nie może być dołączany plik expires.conf, ponieważ "psuje" on poprawnie działanie proxy_pass.

Uruchomienie nginx

Po wykonaniu zmian w konfiguracji należy wykonać przeładowanie całego serwera nginx:

service nginx reload

Dodatkowe oprogramowanie

OpenVAS ma możliwość generowania raportów w formacie PDF. W tym celu konieczne jest doinstalowanie pakietu LaTeX-a:

pkg install -Uy texlive-texmf

Źródła w sieci internet

• schowanie openvas za nginx

 (c) 2004 - 2026 BSD Serwis Krzysztof Stryjek. W przypadku błędów, poprawek proszę kontaktować się z administratorem wiki.