OpenVAS para La Evaluación de Vulnerabilidades

18/9/2019 Cómo utilizar OpenVAS para la evaluación de vulnerabilidades | WeLiveSecurity
(https://www.welivesecurity.com/la- (https://www.eset.com)
es/)
Cómo utilizar OpenVAS para la evaluación

de vulnerabilidades
Veremos cómo configurar OpenVAS, un escáner de vulnerabilidades

de uso libre, para la identificación y corrección de fallas de seguridad.
En la publicación anterior tratamos el tema de las debilidades

relacionadas con la infraestructura tecnológica y la importancia de
identificar, analizar y evaluar las vulnerabilidades (/la-
es/2014/11/12/identificar-analizar-evaluar-vulnerabilidades/) de
seguridad, así como de las tareas relacionadas con estas actividades.
En esta ocasión conoceremos la forma de poner en práctica la

evaluación a través de OpenVAS (http://www.openvas.org/) (Open
Vulnerability Assessment System), un escáner de vulnerabilidades
de uso libre utilizado para la identificación y corrección de fallas de
seguridad.
Características de OpenVAS
Se trata de un framework que tiene como base servicios y

herramientas para la evaluación de vulnerabilidades y puede
utilizarse de forma individual o como parte del conjunto de
https://www.welivesecurity.com/la-es/2014/11/18/como-utilizar-openvas-evaluacion-vulnerabilidades/ 1/12
herramientas de seguridad incluidas en OSSIM

(https://www.alienvault.com/open-threat-exchange/projects) (Open
Source Security Information Management).
es/)
Distribuciones como Kali Linux ya cuentan con esta herramienta

instalada de forma predefinida, misma que puede ser utilizada a
través de dos clientes, desde línea de comandos (OpenVAS CLI) o una
interfaz web (Greenbone Security Assistant). Una vez instalada en el
sistema, también puede utilizarse desde Metasploit (/la-
es/2014/10/17/como-crear-primer-modulo-metasploit/), el framework
para la explotación de vulnerabilidades.
A través de las interfaces se interactúa con dos servicios: OpenVAS

Manager y OpenVAS Scanner. El gestor es el servicio que lleva a cabo
tareas como el filtrado o clasificación de los resultados del análisis,
control de las bases de datos que contienen la configuración o los
resultados de la exploración y la administración de los usuarios,
incluyendo grupos y roles.
Por su lado, el escáner ejecuta las denominadas NVT (Network

Vulnerability Tests), es decir, las pruebas de vulnerabilidades de red,
conformadas por rutinas que comprueban la presencia de un
problema de seguridad específico conocido o potencial en los
sistemas. Las NVT se agrupan en familias de pruebas similares, por lo
que la selección de las familias y/o NVT individuales es parte de la
configuración de escaneo.
El proyecto OpenVAS mantiene una colección de NVT (OpenVAS NVT

Feed) que crece constantemente y que actualiza los registros
semanalmente. Los equipos instalados con OpenVAS se sincronizan
con los servidores para actualizar las pruebas de vulnerabilidades.
Cómo configurar el escáner de vulnerabilidades
es/)
En este ejemplo vamos a conocer la manera más rápida y sencilla de
utilizar OpenVAS, a través de la interfaz web y con el sistema
operativo Kali Linux que cuenta con esta herramienta de forma
preinstalada. Para comenzar es necesario configurar la herramienta a
través del script openvas-setup que se ubica en la siguiente ruta:
Applications -> Kali Linux -> Vulnerability Analysis –

> OpenVAS -> openvas-setup
Entre otras cosas, esta secuencia de comandos permite sincronizar

los NVT, iniciar los servicios para el gestor y escáner, inicializar y
actualizar las bases de datos, así como cargar los plugins que permiten
utilizar herramientas de seguridad integradas en OpenVAS, como
nikto, nmap, amap, snmpwalk, w3af, entre otras.
Cuando se ejecuta por primera vez, se solicita la asignación de una

contraseña al usuario por defecto (admin), para iniciar la interacción
de la interfaz con los servicios de OpenVAS.
es/)
(/wp-content/uploads/2014/11/openvas1.jpg)
Uso básico de OpenVAS
Una vez que el script ha concluido con éxito la configuración, se

comienza a utilizar el escáner desde la siguiente URL:
https://localhost:9392
En este momento, solo existe la cuenta de acceso inicial con el usuario

admin y la contraseña generada durante la configuración:
es/)
Luego de iniciar la sesión de trabajo, se tienen las siguientes opciones

para configurar e iniciar el gestor y escáner de OpenVAS:
Scan management: la gestión del escáner permite crear nuevas tareas de

exploración, modificar aquellas que se hayan creado previamente, revisar las notas
(comentarios asociados con un NVT que aparecen en los informes), o
invalidaciones (reglas para cambiar amenazas de elementos dentro de uno o
varios informes, especialmente utilizadas cuando se presentan falsos positivos).
Asset management: en la pestaña de gestión de activos se enlistan los hosts que

han sido analizados junto con el número de vulnerabilidades identificadas.
Configuration: la tercera pestaña permite configurar los objetivos, asignar

credenciales de acceso para revisiones de seguridad locales, configurar el escaneo
(selección de NVT, parámetros generales y específicos para el servidor de

exploración), programar escaneos, configurar la generación de los informes, entre
otras opciones.
es/)
Extras: en general, en esta pestaña se muestra información sobre las opciones de

configuración, del desempeño o de la gestión de seguridad de la información de
OpenVAS.
Administration: permite gestionar los usuarios del escáner, la configuración para

la sincronización de NVT Feed y muestra las opciones de configuración de
OpenVAS.
Help: como su nombre lo indica, la sexta pestaña ofrece información de ayuda

para todos los elementos de la interfaz web.
El inicio rápido se realiza desde la pestaña Configuration, a través de

configurar un objetivo o un conjunto de sistemas (hosts) a
analizar. Los sistemas se pueden identificar a través de sus
direcciones IP, nombres de host o por su notación de red CIDR
(Classless Inter-Domain Routing):
Una vez realizada la configuración del objetivo, en la sección Scan
Management es necesario generar una nueva tarea (new task) para la
ejecución del análisis y evaluación. La tarea se conforma por un

objetivo y una configuración de escaneo. La ejecución significa
iniciar el escaneo y como resultado
(https://www.welivesecurity.com/la- se obtiene un informe con los
(https://www.eset.com)
es/)
resultados. A continuación se muestran las opciones de configuración
de una tarea:
Por último, es necesario ejecutar la tarea para obtener los resultados
de las comprobaciones realizadas por las NVT. En las siguientes
imágenes se muestra el proceso del escaneo:
es/)
Con la conclusión del escáner, se obtienen los resultados de las

vulnerabilidades priorizadas de acuerdo al impacto sobre los
sistemas (alto, medio o bajo) y la cantidad de las mismas para cada
categoría:
En el informe se muestra con mayor detalle la vulnerabilidad

identificada y evaluada. Incluye la prueba de red utilizada (NVT), un
resumen del hallazgo, así como una posible solución a la falla:
es/)
Idealmente, los escáneres deben utilizarse como una medida que

permita complementar las prácticas de seguridad ya existentes
dentro de una organización, y con base en los resultados, se debe
generar un plan de remediación, que debe tener seguimiento para
corregir cualquier vulnerabilidad. En ese sentido, el Vulnerability
Assessment (/la-es/2013/11/20/eset-security-services-vulnerability-
assessment/) es una técnica utilizada para evaluar los recursos y
activos presentes en una empresa; este tipo de auditoría tiene como
base la identificación de puertos abiertos, servicios disponibles y a
partir de ello la detección de posibles fallas presentes en los sistemas
objetivos.
La finalidad de un Vulnerability Assessment es conocer qué

vulnerabilidades existen en los sistemas de una compañía y de esa
forma elaborar un plan de acción adecuado.
De esta manera, se puede llevar a cabo una evaluación de seguridad a

los sistemas de una organización en busca de aumentar la seguridad
en los mismos. Adicional a esta actividad, existen otras
preocupaciones, por lo que es necesario complementarla con

soluciones de seguridad, como aquellas contra códigos maliciosos,
firewalls, herramientas de detección
(https://www.welivesecurity.com/la- de intrusos y buenas políticas de
(https://www.eset.com)
es/)
seguridad contribuyen a la protección de los activos (incluida la
información) y a la conjunción de distintos enfoques de seguridad.
Créditos imagen: ©West Midlands Police/Flickr

(https://www.flickr.com/photos/westmidlandspolice/7364794520/in/photostre
Miguel Ángel Mendoza (https://www.welivesecurity.com/la-es/author/mendozam/) 18 Nov

2014 - 11:37AM
Artículos similares
HERRAMIENTAS HERRAMIENTAS
(HTTPS://WWW.WELIVESECURITY.COM/LA- (HTTPS://WWW.WELIVESECURITY.COM/LA-
ES/CATEGORY/HERRAMIENTAS/) ES/CATEGORY/HERRAMIENTAS/)
(https://www.welivesecurity.com/la- (https://www.welivesecurity.com/la-
es/2017/10/27/reglas-de-yara-nessus/) es/2017/10/20/analizar-apps-android-
inspeckage/)
Como detectar códigos maliciosos con
reglas de YARA y Nessus Cómo analizar apps de Android con
(https://www.welivesecurity.com/la- Inspeckage
es/2017/10/27/reglas-de-yara-nessus/) (https://www.welivesecurity.com/la-
es/2017/10/20/analizar-apps-android-
inspeckage/)
Discusión
es/)
1 Comment WeLiveSecurity.com  Victor Manuel Do…
 Recommend t Tweet f Share Sort by Best
WeLiveSecurity.com requires you to verify your email address before posting. Send ×
verification email to viktormd@hotmail.com
Join the discussion…
alfonso velasquez munares • a year ago

me gusto mucho el articulo, claro y conciso, seria bueno ver un segundo articulo con
mas especificaciones y guias
△ ▽ • Reply • Share ›
(https://www.welivesecurity.com/la-es/) (https://www.eset.com)
Inicio (/la-es) Investigaciones

(https://www.welivesecurity.com/la-
Acerca de es/category/investigaciones/)
es/acerca-de/) Tutoriales
Contáctanos es/category/tutoriales/)
es/contactanos/) Categorías
Mapa del Sitio es/categorias-2/)
es/mapa-del-sitio/) RSS
Nuestros Expertos es/configurar-rss/)
es/nuestros-expertos/)
ESET (https://eset.com) Noticias

es/news-widget-generator-la-es/)
()
es/)
Política de Privacidad (https://www.welivesecurity.com/la-es/politica-de-privacidad/)
Información Legal (https://www.welivesecurity.com/la-es/informacion-legal/)
Copyright © ESET, Todos Los Derechos Reservados

OpenVAS para La Evaluación de Vulnerabilidades

Cargado por

Información del documento

Título original

Derechos de autor

Formatos disponibles

Compartir este documento

Compartir o incrustar documentos

Opciones para compartir

¿Le pareció útil este documento?

¿Este contenido es inapropiado?

Copyright:

Formatos disponibles

OpenVAS para La Evaluación de Vulnerabilidades

Cargado por

Copyright:

Formatos disponibles

18/9/2019 Cómo utilizar OpenVAS para la evaluación de vulnerabilidades | WeLiveSecurity

Cómo utilizar OpenVAS para la evaluación

Veremos cómo configurar OpenVAS, un escáner de vulnerabilidades

En la publicación anterior tratamos el tema de las debilidades

En esta ocasión conoceremos la forma de poner en práctica la

Se trata de un framework que tiene como base servicios y

herramientas de seguridad incluidas en OSSIM

Distribuciones como Kali Linux ya cuentan con esta herramienta

A través de las interfaces se interactúa con dos servicios: OpenVAS

Por su lado, el escáner ejecuta las denominadas NVT (Network

El proyecto OpenVAS mantiene una colección de NVT (OpenVAS NVT

Cómo configurar el escáner de vulnerabilidades

Applications -> Kali Linux -> Vulnerability Analysis –

Entre otras cosas, esta secuencia de comandos permite sincronizar

Cuando se ejecuta por primera vez, se solicita la asignación de una

Uso básico de OpenVAS

Una vez que el script ha concluido con éxito la configuración, se

En este momento, solo existe la cuenta de acceso inicial con el usuario

Luego de iniciar la sesión de trabajo, se tienen las siguientes opciones

Scan management: la gestión del escáner permite crear nuevas tareas de

Asset management: en la pestaña de gestión de activos se enlistan los hosts que

Configuration: la tercera pestaña permite configurar los objetivos, asignar

(selección de NVT, parámetros generales y específicos para el servidor de

Extras: en general, en esta pestaña se muestra información sobre las opciones de

Administration: permite gestionar los usuarios del escáner, la configuración para

Help: como su nombre lo indica, la sexta pestaña ofrece información de ayuda

El inicio rápido se realiza desde la pestaña Configuration, a través de

ejecución del análisis y evaluación. La tarea se conforma por un

Con la conclusión del escáner, se obtienen los resultados de las

En el informe se muestra con mayor detalle la vulnerabilidad

Idealmente, los escáneres deben utilizarse como una medida que

La finalidad de un Vulnerability Assessment es conocer qué

De esta manera, se puede llevar a cabo una evaluación de seguridad a

preocupaciones, por lo que es necesario complementarla con

Créditos imagen: ©West Midlands Police/Flickr

Miguel Ángel Mendoza (https://www.welivesecurity.com/la-es/author/mendozam/) 18 Nov

 Recommend t Tweet f Share Sort by Best

Join the discussion…

alfonso velasquez munares • a year ago

Inicio (/la-es) Investigaciones

ESET (https://eset.com) Noticias

Política de Privacidad (https://www.welivesecurity.com/la-es/politica-de-privacidad/)

Información Legal (https://www.welivesecurity.com/la-es/informacion-legal/)

Copyright © ESET, Todos Los Derechos Reservados

También podría gustarte