Nessus на Kali Linux: установка и настройка

Что такое Nessus и для чего он нужен

Nessus — один из самых распространённых сканеров уязвимостей. Он проверяет системы на известные уязвимости, неправильные настройки и конфигурационные ошибки. Кратко:

• Сканирование уязвимостей — автоматизированный поиск известных проблем в ОС, службах и приложениях. В одном предложении: Nessus выполняет активное сканирование и анализирует результаты по базе плагинов.
• Credentialed scan — сканирование с учётными данными для глубокой проверки (рекомендуется для полного аудита).
• Non-credentialed scan — внешнее сканирование без логинов, полезно для оценки видимой поверхности атаки.

Важно: Nessus поставляется в нескольких вариантах (Essentials, Professional, Tenable.io). В этой инструкции используется Nessus Essentials — бесплатная версия, ограниченная сканированием до 16 IP.

В каких случаях использовать Nessus

• Регулярные внутренние и внешние аудиты безопасности.
• Подготовка к аудиту соответствия (часть процесса идентификации уязвимостей).
• Тестирование после изменений инфраструктуры.

Когда он не подойдёт: для постоянного мониторинга на уровне хостов в больших средах лучше использовать распределённые решения с централизованным управлением и SSO.

Предварительные требования

1. Учётная запись пользователя с правами администратора (root или sudo).
2. Доступ в интернет для загрузки пакета и плагинов.
3. Доступ к порту 8834 в локальной сети (по умолчанию веб-интерфейс использует порт 8834).
4. Свободное место на диске — плагины могут занять сотни мегабайт; резервируйте хотя бы 1 ГБ свободного места.

Подготовка системы (рекомендуется)

Перед установкой выполните обновление системы и установите базовые утилиты:

sudo apt update && sudo apt upgrade -y
sudo apt install -y wget curl gnupg lsb-release

Если вы используете нестандартное имя хоста (например, не “kali”), добавьте запись в /etc/hosts или используйте IP при доступе к веб-интерфейсу.

Пошаговая установка Nessus на Kali Linux

Шаг 1 — загрузка Nessus Essentials

Перейдите на страницу продуктов Tenable и выберите раздел для Nessus Essentials. Нужна регистрация по рабочему email для получения одноразового кода активации.

Шаг 2 — регистрация и получение кода активации

При регистрации введите корпоративный e-mail. После подтверждения почты вы получите на электронную почту ссылку и код активации — сохраните его.

Примечание: код активации одноразовый для каждой установки Nessus Essentials; при переустановке потребуется заново запросить код.

Шаг 3 — выбор пакета для Kali и загрузка

Выберите пакет для Debian/Ubuntu (обычно .deb) совместимый с вашей архитектурой (amd64). Скачайте файл в каталог загрузок.

Шаг 4 — принятие лицензионного соглашения и загрузка

Нажмите «I Agree» или аналогичную кнопку. После этого начнётся загрузка .deb-пакета.

Шаг 5 — установка .deb пакета

Перейдите в папку загрузок и выполните:

cd ~/Downloads
sudo dpkg -i Nessus-10.0.1-debian6_amd64.deb

Если dpkg выдаст ошибки о зависимостях, исправьте командой:

sudo apt -f install -y

Шаг 6 — запуск и включение сервиса

После установки запустите демон Nessus и включите автозапуск:

sudo systemctl start nessusd.service
sudo systemctl enable nessusd
sudo systemctl status nessusd

Если служба не стартует, проверьте логи:

sudo journalctl -u nessusd -b --no-pager | tail -n 200

Если порт 8834 занят, найдите процесс и освободите порт:

sudo ss -tulpn | grep 8834

Шаг 7 — первоначальная настройка через веб-интерфейс

Откройте браузер и перейдите по адресу:

https://kali:8834/

Если вы используете IP, замените “kali” на IP-адрес (например, https://192.168.1.10:8834/).

Если браузер выдаёт предупреждение SSL, это нормально — Nessus использует самоподписанный сертификат по умолчанию. Примите риск и продолжите.

На приветственном экране выберите «Nessus Essentials». Если у вас уже есть код активации, вставьте его на следующем шаге.

Вставьте код активации в форму и создайте локальную учётную запись администратора (имя пользователя и пароль).

После этого Nessus начнёт загрузку плагинов — это может занять несколько минут.

Когда загрузка завершится, вы увидите экран входа. Введите только что созданные учётные данные.

После входа закройте приветственное окно — далее вы можете создать первую политику сканирования.

Создание первой проверки: базовый рабочий процесс

1. В веб-консоли нажмите «New Scan» → выберите шаблон (Basic Network Scan или Advanced Scan).
2. Укажите цель (IP-адреса, подсети, диапазоны).
3. При необходимости добавьте учётные данные (SSH, SMB, Windows WMI) для credentialed-скана.
4. Настройте порты, таймауты и политики безопасности (safe checks для боевых систем).
5. Запустите проверку и дождитесь завершения.
6. Просмотрите отчёт, экспортируйте результаты (PDF/CSV) и планируйте исправления.

Ключевой выбор: credentialed vs non-credentialed. Credentialed-сканы дают глубже результат, но требуют учётных записей с минимально привилегированным доступом.

Рекомендации по безопасности и эксплуатации

• Замените самоподписанный SSL-сертификат на сертификат вашего CA (или через internal PKI) для защищённого доступа.
• Ограничьте доступ к веб-интерфейсу по IP (firewall/ACL).
• Храните резервную копию конфигурации и базы плагинов. Путь к данным обычно: /opt/nessus/var/nessus (проверьте вашу установку).
• Обновляйте плагины регулярно — они содержат сигнатуры уязвимостей.

Устранение проблем — часто встречающие сценарии

• Ошибка зависимостей при установке .deb: выполнить sudo apt -f install -y
• Сервис не стартует: проверить логи через journalctl, убедиться в отсутствии SELinux/AppArmor блокировок.
• Порт 8834 занят: найти и остановить процесс или изменить порт в конфигурации Nessus.
• Браузер не пропускает самоподписанный сертификат: временно принять риск или установить доверенный сертификат.

Практическое руководство (SOP) — краткий чеклист перед сканированием

Для оператора:

• Убедиться, что у вас есть разрешение на сканирование (авторизация).
• Проверить окно обслуживания и уведомить заинтересованные стороны.
• Сохранить конфигурацию текущего состояния (резервная копия).
• Выбрать режим сканирования: credentialed/non-credentialed.
• Запустить сканирование на тестовой группе перед продакшеном.
• Оценить результаты и настроить исключения/пороги.

Для администратора платформы:

• Обновить плагины перед плановыми сканами.
• Обеспечить доступность сервиса и мониторинг состояния демона.
• Поддерживать актуальные SSL-сертификаты.

Роли и проверки — краткие задачи по ролям

Роль: Системный администратор

• Настроить учётные данные для credentialed scans
• Настроить бэкапы и обновления

Роль: Специалист по безопасности

• Создать политику сканирования и расписание
• Анализировать отчёты и приоритизировать исправления

Роль: Тестировщик/пентестер

• Выполнить ручное подтверждение найденных уязвимостей
• Исключать ложные срабатывания и документировать репродуцируемость

Когда Nessus не даст полного ответа (ограничения)

• Nessus ориентирован на известные сигнатуры и проверки — новые эксплоиты 0-day могут остаться незамеченными.
• Не заменяет ручные проверки и глубокий аудит кода.
• Credentialed-сканы требуют корректных прав и могут давать ложные результаты при неправильных учётных записях.

Быстрый план восстановления или отката

1. Остановить службу: sudo systemctl stop nessusd
2. Восстановить конфигурацию из резервной копии (если есть).
3. Переустановить пакет: sudo dpkg -i –force-overwrite Nessus-*.deb
4. Перезапустить: sudo systemctl start nessusd
5. Проверить логи и статус.

Решение задач — простая логика выбора (Mermaid)

flowchart TD
  A[Нужно сканировать сеть?] -->|Да| B{Есть разрешение на сканирование?}
  B -->|Нет| C[Запросить разрешение]
  B -->|Да| D{Нужен глубинный анализ?}
  D -->|Да| E[Использовать credentialed scan]
  D -->|Нет| F[Использовать non-credentialed scan]
  E --> G[Настроить учётные данные и протестировать на 1 хосте]
  F --> H[Запустить тест на малом диапазоне]
  G --> I[Запустить плановый скан]
  H --> I

Риск-матрица (качественная)

• Высокий риск: удалённое выполнение кода, утечка секретов. Митигировать немедленно.
• Средний риск: привилегии эскалации, уязвимости служб. Плановое исправление.
• Низкий риск: информация о версии, устаревшие заголовки. Мониторинг.

Критерии приёмки

• Сервис Nessus запускается и доступен по HTTPS на указанном порту.
• Плагины скачаны и актуальны (последние обновления завершены).
• Возможность выполнения базового сетевого сканирования и получения отчёта.
• Отчёт содержит список уязвимостей и рекомендации по приоритету исправлений.

Короткий глоссарий

• Плагин — модуль проверки конкретной уязвимости.
• Credentialed scan — сканирование с учётными данными.
• False positive — ложное срабатывание.

Важные замечания

Важно: всегда иметь письменное разрешение на сканирование внешних и пользовательских сред. Нерегламентированные сканы могут привести к блокировке доступа или нарушению работы сервисов.

Заключение

Nessus — надёжный инструмент для выявления известных уязвимостей и снижения поверхности атаки. Правильная установка, регулярные обновления плагинов, использование credentialed-сканов и интеграция с процессом исправления помогут улучшить безопасность инфраструктуры. Перед применением в продакшене рекомендован тест на ограниченном наборе хостов и обучение команды.

Часто задаваемые вопросы

Нужно ли обновлять плагины вручную?

Плагины обычно обновляются автоматически при первом запуске и по расписанию. Рекомендуется проверять обновления перед плановыми аудитами.

Как получить новый код активации для Nessus Essentials?

Для повторной установки зайдите в ваш аккаунт Tenable и запросите новый код для Nessus Essentials.

Можно ли использовать Nessus в Docker?

Да. Tenable предоставляет Docker-образ; при контейнеризации учтите вопросы сохранения данных и обновления плагинов.

Сводка: следуйте шагам установки, обеспечьте безопасность доступа, регулярно обновляйте плагины и используйте credentialed-сканы для более полного покрытия.