OpenVAS – Scanner d’évaluation des vulnérabilités ouvert
Histoire d’OpenVAS
En 2005, les développeurs du scanner de vulnérabilités Nessus ont décidéd’arrêter le travail sous licence Open Source et de passer à un modèle économique propriétaire.
|
À ce moment-là, des développeurs d’Intevationet de DN-Systems (les deux sociétés qui allaient plus tard fonder Greenbone Networks)ont déjà contribué aux développements de Nessus, en se concentrant sur les outils clients. Ces travaux étaient principalement soutenus par l’Office fédéral allemand de la sécurité de l’information (BSI) En 2006, plusieurs forks de Nessus ont été créés en réaction à l’abandon de la solution Open Source.Parmi ces forks, un seul a continué à montrer une activité : OpenVAS, le système ouvert d’évaluation des vulnérabilités.OpenVAS a été enregistré comme un projet chez Software in the Public Interest, Inc.pour détenir et protéger le domaine « openvas.org ». |
 |
|
Les années 2006 et 2007 ont connu peu d’activité au-delà des nettoyages du statu quo.Mais fin 2008, la société Greenbone Networks GmbH,basée à Osnabrück, en Allemagne, a été fondée pour faire avancer OpenVAS.Essentiellement, le plan d’affaires de Greenbone portait sur 3 pierres angulaires :
|
 |
|
En 2008 également, deux autres entreprises sont devenues actives, Secpod de l’Inde et Security Space du Canada.Elles se sont associées à Greenbone pour commencer à produire un flux fiable et à jour de tests de vulnérabilité, en commençant par supprimer tout code source et test de vulnérabilité dont la licence n’était pas claire ou n’était pas compatible. Plusieurs milliers de tests de vulnérabilité ont été éliminés pour obtenir un point de départ propre. Peu après, le contenu du flux augmentait rapidement et régulièrement. |
 |
 |
En 2009, Greenbone a ajouté les premiers modules supplémentaires pour construire une solution de gestion des vulnérabilités.L’interface web et le service central de gestion ont été développés à partir de zéro, en définissant des protocoles génériques comme leur API.Dans le même temps, le scanner OpenVAS a été soigneusement amélioré, et a rapidement perdu sa compatibilité avec son ancêtre. Tous les travaux Open Source ont été publiés sous la marque « OpenVAS ». Les premières appliances « Greenbone Security Manager » sont entrées sur le marché au printemps 2010.
|
Dans les années 2010 à 2016, le produit commercial a été systématiquement amélioré et étendu,de même que les modules Open Source. La gestion des vulnérabilités a été étendue pour porter des avis de sécurité mis à jour quotidiennement, mis à la disposition du public avec une licence compatible avec la GPL par les CERT allemands DFN-CERT et CERT-Bund,une division de l’Office fédéral de la sécurité de l’information (BSI)qui a soutenu OpenVAS de diverses manières au cours de ces années. |
 |
En mars 2017, le cadre dit OpenVAS a atteint la version 9. De nombreux modules et de nombreuses fonctionnalités ont été ajoutés au cours des cycles de publication. Quelques centaines de milliers de lignes de code ont été produiteset il n’y avait presque pas de jour sans quelques améliorations de code publiées par une équipe de développeurs en pleine croissance.
L’année 2017 a marqué le début d’une nouvelle ère : Tout d’abord, Greenbone est devenu visible comme la force motrice derrière OpenVAS, réduisant la confusion de la marque. Cela comprenait plusieurs activités, la plus essentielle étant le changement de nom du « cadre OpenVAS » en « Greenbone Vulnerability Management » (GVM), dont le scanner OpenVAS est l’un des nombreux modules.Cela a également conduit à « GVM-10 » comme successeur de « OpenVAS-9 ». Aucun changement de licence n’a eu lieu, tous les modules sont restésOpen Source.
Le deuxième grand changement en 2017 concernait le service de flux. Outre la confusion de marque, plusieurs entreprises intégraient la technologie et le flux et le faisaient passer pour leur travail ou prétendaient être une alternative au produit de Greenbone à un meilleur prix. Seule une minorité d’entre elles respectaient correctement les licences GPL. Aucun d’entre eux ne coopère commercialement avec Greenbone. Pour obtenir une meilleure visibilité, moins de malentendus et une meilleure distinction avec les autres produits basés sur OpenVAS, le flux public a été renommé « Greenbone Community Feed » et le développement du flux a été internalisé. En outre, le schéma de publication est passé d’un délai de 14 jours à une publication quotidienne sans délai où désormais les tests de vulnérabilité pour les produits d’entreprise ne sont plus inclus.
Le troisième grand changement vers la nouvelle ère a été la transition vers une infrastructure moderne, à savoir GitHub et un forum communautaire. Toute la transition a été achevée en 2018 et a stimulé à la fois la productivité et l’activité de la communauté.
En 2019, la séparation de la marque a été achevée. OpenVAS représente désormais le scanner de vulnérabilités réel comme à l’origine et le « S » de « OpenVAS » signifie désormais « Scanner » plutôt que « Système ».Ces changements sont accompagnés d’un logo OpenVAS mis à jour.Le framework dans lequel OpenVAS est intégré est le Greenbone Vulnerability Management (GVM).
OpenVAS publié avec GVM-10 reçoit de nombreuses optimisations de performance pour répondre audéfi d’un nombre croissant de tests de vulnérabilité, scannant des réseaux cibles de taille et d’hétérogénéité croissantes.
OpenVAS publié avec GVM-11 introduit des changements architecturaux substantiels : L’ancien service « openvassd » est transformé en un outil en ligne de commande « openvas ». Il est contrôlé par le service layerospd-openvas. Ce concept remplace essentiellement l’ancien protocole OTP (OpenVAS Transfer Protocol) étatique, permanent et propriétaire par le nouveau protocole OSP (Open Scanner Protocol) générique, sans état et basé sur XML.