Objectifs
- Installer et configurer Nessus
- Utiliser le client Nessus
- Conduire un audit de vulnérabilités avec Nessus
- Conduire un audit de configuration de systèmes Windows et Linux
Programme de la formation
Contexte et positionnement de Nessus
- Terminologie et référentiels relatifs aux vulnérabilités (CVE, CWE, CVSS, AWS, CERT...).
- Audit de sécurité versus audit de vulnérabilités et test de pénétration.
- Positionnement des différents outils et approches de sécurité : la détection d'intrusions, le scanner.
- Les outils d'audit de vulnérabilités (Snort, Suricata, Nessus, OpenVas, Qualys, Acunetix...).
- Le scan de vulnérabilités réseaux, systèmes et applications (outils, démarche et limites).
- Présentation des produits Nessus.
- Le mode de fonctionnement client/serveur.
- La configuration et scan de base de réseaux.
Travaux pratiques
Installation, configuration et scan de base de réseaux.
Composants et architectures de Nessus
- Architecture et fonctionnalités de Nessus.
- L'intégration des plug-ins : gestion et conception de plug-ins.
- Le déploiement de manager, agent.
- La gestion des licences.
Travaux pratiques
Configuration et paramétrages. Gestion et conception de plug-ins.
Politique : conception et analyse
- Définition d'une politique de scan basique.
- Définition et gestion d'une politique de découverte (hôte, port, service).
- Création, configuration et planification d'un scan de vulnérabilité avancé.
- Opérations de scan de vulnérabilités : scans d'applications Web vulnérables, scans actifs, scans authentifiés.
- Audit de vulnérabilités d'applications Web.
- Conception d'une politique de sécurité.
Travaux pratiques
Conception d'une politique de sécurité et d'audit de vulnérabilités. Mise en œuvre d'une plateforme Web et audit de vulnérabilités d'applications Web.
Audit de configuration et de vulnérabilités : mise en œuvre et analyse
- Principes de l'audit de configuration.
- Introduction à l'audit de conformité.
- Principes des audits de systèmes : Windows, Linux/Unix.
- Audit de système, d'environnement virtuel.
- Le reporting et l'analyse des vulnérabilités.
Travaux pratiques
Audit de configuration de systèmes Windows et Linux.