Антон Дятлов

Ручное сканирование уязвимостей — это нормально, когда у вас десяток адресов и море свободного времени. Но если адресов сотни, а сканировать их нужно регулярно, процесс быстро превращается в рутину. Забыли запустить скан? Потеряли часть результатов? Результаты есть, но никто о них не узнал? Решение простое — автоматизация. Знакомство с инструментом Для сканирования уязвимостей мы используем «Сканер-ВС 6» – универсальный инструмент для решения широкого спектра задач по тестированию и анализу защищенности информационных систем, а также контроля эффективности средств защиты информации. Рассмотрим ключевые возможности сканера. Анализ безопасности конфигурации ОС: проверка базовых настроек безопасности. Удобное управление информационными активами: сетевое сканирование хостов, построение карт сети, инвентаризация установленного ПО. Выявление уязвимостей по версиям установленного ПО, ежедневно обновляемая база уязвимостей, включающая данные из БДУ ФСТЭК России, NIST NVD, и др. Подбор паролей к сетевым сервисам: поддержка протоколов ftp, imap, imaps, mssql, mysql, pop3, pop3s, postgres, rdp, redis,и др. Интеграция с внешними системами: отправка событий в SIEM-системы, открытый API. Создание сервера Для работы со сканером нам нужно настроить сервер с ОС Astra Linux. 1. В панели управления Selectel перейдем в раздел Продукты → Облачные серверы. 3. Во вкладке Серверы нажимаем кнопку Создать сервер. 4. Собираем сервер по минимальным системным требованиям решения «Сканер-ВС 6». В качестве источника выбираем Astra Linux Орел 1.7. Конфигурацию выбираем в соответствии с таблицей выше. В качестве источника выбираем Astra Linux Орел 1.7. Конфигурацию выбираем в соответствии с таблицей выше. Выбор источника в панели управления. Конфигурация сервера. 5. В поле Сеть выберем Публичная подсеть и размер подсети /29 (5 адресов IPv4). Они нам пригодятся в дальнейшем для создания серверов, ,которые будем сканировать. 6. Добавляем SSH-ключ в разделе Доступ. Сгенерировать пару SSH-ключей можно с помощью команды ssh-keygen -t ed25519 в терминале. Подробнее о создании — в инструкции. 7. Проверяем конфигурацию и стоимость, нажимаем Создать сервер. Разворачивание сканера 1. С официального сайта скачиваем демоверсию с лицензией на 16 IP-адресов (активов). Скриншот официального сайта, заполнение данных для получения демоверсии. Скриншот официального сайта, выбор варианта исполнения и загрузка файла. 2. Копируем файлы со своей машины на созданный сервер: По приватному ключу заходим на сервер: 3. Переходим в режим суперпользователя: 4. Распаковываем архив: 5. Копируем файл с лицензией в папку: 6. Проверяем, что все пакеты в наличии: 7. Запускаем инсталлер: 7.1. Устанавливаем сканер с дефолтными настройками. 7.2. Соглашаемся автоматически принимать критические решения, 7.3. Выбираем интерфейс, с которого будем обращаться к веб версии сканера. 8. Сканер успешно установлен на ОС. 9. Заходим в веб-версию сканера по адресу https://ip_addr и авторизуемся с данными admin/admin. Советуем сразу сменить пароль на более надежный. Страница аутентификации. Главная страница инструмента. 10. Проверяем наличие лицензии в разделе О программе. Инструмент развернут, теперь у мы можем проводить сканирования. Однако этого недостаточно, чтобы автоматизировать процесс. Автоматизация сканирований Чтобы не запускать каждую проверку вручную, настроим автоматизацию работы со сканером уязвимостей. Для этого будем напрямую обращаться к его API. API-методы и параметры подробно описаны в Swagger-документации сканера, которая доступна по адресу https:///swagger/. Перейдем к основным этапам автоматизации. Шаг 0. Авторизация в сканере При каждом обращении к сканеру по API нужно авторизовываться. Однако для упрощения процесса можно сохранять сессионные cookies, которые и будут использоваться во всех последующих запросах. Для этого создадим curl-файл: Что делает скрипт: отправляет HTTP-запроса методом POST на URL https://ip_addr/login. В теле запроса — JSON-данные с логином (admin) и паролем (password); сохраняет полученные от сервера cookies в файл cookie.txt; игнорирует проверку SSL-сертификата (--insecure), что удобно для тестовой среды. К curl-файлу создадим пустой cookie.txt, куда будут сохраняться сессионные cookies: Часть кода, которая отвечает за авторизацию: Шаг 1. Проверка обновления баз уязвимостей 1. Для проверки и обновления базы уязвимостей обратимся к соответствующему разделу в Swagger-документации — update-control. 2. Найдем Get-запрос на загрузку новых обновлений и выполним его. Из примера ниже видим, по какому адресу нужно отправить Get-запрос: https://ip_addr/api/v1/update/auto. Как работает функция Проверяет, переданы ли cookies. Если нет — выводит сообщение об ошибке и завершает выполнение. Отправляет GET-запрос на URL, используя cookies для авторизации. Проверяет статус-код ответа. Если статус 200, то выводит сообщение об успешном обновлении баз, иначе — выводит сообщение об ошибке с кодом и текстом ответа. Пример вывода функции. Все URL и местонахождение файлов прописываются в начале кода. Пример настройки переменных для запроса: Шаг 2. Создание задач на исследование сети После обновления баз можно переходить к сканированию сети. Для этого нужно собрать список IP-адресов. 1. Для хранения IP создадим файл iplist.json: 2. Заполним файл адресами: 3. Для открытия и чтения файла создаем функцию: Как работает функция Принимает путь к файлу, пытается его открыть и прочитать как JSON. Если файл успешно прочитан — возвращает данные в виде списка. Если файл не найден или содержит некорректный JSON, то выводит сообщение об ошибке и возвращает пустой список. Шаг 3. Создание Assets По IP-адресам будут создаваться assets – активы, которые будут нам нужны для сканирования. 1. Во вкладке Asset Control в Swagger ищем post-запрос, чтобы переделать его в python. 2. Выполняем запрос, получаем сниппет: 3. Отредактируем поля с комментариями и получим следующий вид: 4. После отправки POST-запроса проверим его успешность: 5. Соберем все в функцию: Функция проверяет, переданы ли cookies. Далее — формирует заголовки и данные для POST-запроса, отправляет его на asset_url для создания asset и проверяет статус-код ответа: Если статус-код 200 или 201 — пытается извлечь id созданного asset из ответа; Если статус-код иной — выводит сообщение об ошибке и возвращает id созданного asset или None. Пример вывода программы. 6. Будем сохранять id asset в наш файл с адресами. Для этого используем функцию: Теперь программа будет сохранять обновленный список с новой строкой id_asset в iplists.json: Шаг 4. Создание задач на сканирование уязвимостей Приступим к созданию задач на сканирование. Для этого посмотрим, как формируется запрос в Swagger. 1. Выполняем его и получаем снипет. 2. Снипет получается довольно обширный, c разными задачами, поэтому выберем только поля, которые нужны для netscanOptions: Теперь программа будет сохранять обновленный список с новой строкой id_asset в iplists.json: Теперь рассмотрим функцию: Функция формирует заголовки и данные для POST-запроса и отправляет его, для создание задач на сканирование, и проверяет статус ответа. Если статус 200, 201, извлекает id созданной задачи. После создания задач на сканирование в файл iplist.json добавляется новая строка для каждого ip-адреса – id_netscan Пример вывода программы. Затем созданную задачу нужно запустить: Пример вывода программы Теперь iplist.json выглядит так: Помимо прочего, нам нужно проверять, что за статус у наших задач. Для этого в Swagger ищем GET-запрос, вводим id нужного задания и выполняем. Получаем снипет: С помощью него пишу функцию: Функция формирует URL для получения статуса задачи и отправляет GET-запрос с id нужной задачи. Если статус-код 200 – извлекаем статус задачи из ответа, иначе выводит ошибку. Пример вывода программы. Сканирование сети успешно завершено. Поиск уязвимостей на хостах и открытых портах Открываем task-control в Swagger. Видим большой POST-запрос со всеми задачами, но нам нужен именно vulnscanOptions: Функция поиска уязвимостей на хостах: Как и в netscan, функция формирует POST-запрос, отправляет его для создания задачи и проверяет статус-код ответа. Если код 200 или 201, то извлекаем id задачи из ответа и записываем в iplist.json в виде id_vulnscan”:”667. Пример вывода части программы. Сканирования выполнены, теперь нужно сформировать отчет для наших адресов. Шаг 5. Генерация отчетов о сканировании 1. Для генерации отчетов переходим в report-control в Swagger, выполняем запрос. 2. В полученном сниппете находим нужный нам фрагмент: 3. Пишем функцию, которая формирует заголовки для POST-запроса и отправляет его на URL для создания отчета. Если статус-код 200 или 201 — оповещает об успешном создании отчета. Шаг 6. Оповещение через Telegram-бота Когда отчет создан, нужно оповестить об этом через бота. Создадим его и получим уникальный ключ — токен. Для этого начинаем диалог с @BotFather в Telegram, вводим команду /newbot и настраиваем бота. Далее — вы получите сообщение с уникальным токеном. Указываем его и ID чата: Подготовим функцию для отправки сообщения: Функция принимает текст сообщения, в нашем случае — «Все отчеты успешно созданы» и отправляет его через объект bot. Если отправка успешна — получаем вывод в консоль и оповещение в Telegram. Завершающий шаг После получения уведомления можно зайти в веб-интерфейс и скачать отчеты: Эта автоматизация берет на себя всю рутину: от сбора данных до финального отчета. Вы просто запускаете скрипт (а лучше — настраиваете cron), и система сама выполняет все шаги. В итоге — меньше однотипных действий, больше времени на более важные и масштабные задачи. Если скрипт должен запускаться автоматически, например, в первый понедельник месяца с часа ночи и каждые четыре часа, настройка в cron будет выглядеть так: Теперь можно вообще не вмешиваться в процесс — сканирование и генерация отчетов будут происходить автоматически в нужное время. Чтобы убедиться, что задание добавилось, используем команду crontab -l. Важно учитывать, что время сканирования зависит от количества хостов и подсетей. Чем больше адресов — тем дольше выполняется скрипт. Если у вас крупная инфраструктура, увеличивайте промежутки между запусками, чтобы избежать пересечений и излишней нагрузки.

Антон Дятлов

Материалы автора

Что такое средства доверенной загрузки (СДЗ) и как они применяются

Нейросети из Китая наступают: сравниваем DeepSeek, Qwen и ChatGPT

Что относится к персональным данным: как работать с ПДн

Модель угроз безопасности персональных данных в ИСПДн: что такое и как составлять