扫描只能由PCI SSC授权扫描供应商(ASV)执行。
内部扫描:PCI要求对持卡人数据环境中的所有内部组件进行漏洞扫描。这提供了当前内网的安全现状并指出攻击者在获取的内部访问后可利用的弱点。内部扫描必须由有资格的人来执行,但不一定需要ASV。
外部和内部扫描由一种自动非侵入扫描器实现,以确定操作系统,设备和应用程序的安全漏洞。一些由ASVS使用的扫描器包括Qualys公司和Nessus的。我们将在文章的后面讨论这两家公司的扫描器。
为了符合标准,由扫描器报告的漏洞必须被修复。对于外部扫描,所有的被评为“中等”或更高安全漏洞必须进行修复。对于内部扫描只有“严重”和“高”级别的漏洞要修复。之后便是重新运行漏洞扫描确认报告的漏洞是否修复。按照PCI DSS标准,PCI扫描必须按季度进行。大多数公司定期进行扫描,检测最新的安全漏洞是否存在。
免费VS付费
关于是使用付费扫描器和免费扫描器没有明确的答案。很多漏洞扫描器可在网络上下载,有免费的和付费的。免费版本的工具如burpsuite和nessus在渗透测试中经常使用,但有些地方强制要求使用商业扫描器。免费版的扫描器有一定的局限性,如下:
扫描范围的限制:无法覆盖应用程序的所有部分。
误报率:但是相对于误报,漏报更严重。
攻击载荷的数量和新旧:免费版的数量较少,且不一定更新到最新。商业版则没有这个问题。
可否生成详细报告:许多扫描器支持生成报告,但免费版就不一定了。
附加功能:这包括交互式管理控制台方便漏洞跟踪,按需监控,专业软件支持,漏洞管理等。
排行榜
Nessus:最受欢迎的漏洞扫描器。支持身份验证和未身份验证的扫描,包括网络漏洞扫描,内部和外部PCI扫描,恶意软件扫描,移动设备扫描,政策合规性审计,Web应用程序的测试,补丁审核等,它采用超过70,000插件扫描目标主机。
Nessus有两个版本,家庭版和专业版。免费版有一定的局限性,扫描范围,插件数量,专业的程序支持。
OpenVAS:开放式漏洞评估系统(OpenVAS)是由几个服务和工具提供了一个全面而强大的漏洞扫描和漏洞管理解决方案的框架。它是开源和免费的。它是一个有网络接口的客户端——服务器架构。服务器组件被用于调度扫描和管理插件,客户端组件来配置扫描并访问报告。
定制插件支持:OpenVAS扫描仪支持自定义插件,用户可以在其中编写Nessus攻击脚本语言(NASL)的插件。
经过身份验证的扫描:在认证扫描中,用户提供了目标主机的凭据,以便扫描器可以登录并扫描主机中安装的组件漏洞(Adobe Reader,Wireshark等等)。
报告导出:OpenVAS附带多个选项来生成报告。用户可以生成并下载HTML,XML,TXT和PDF格式的报告。
端口扫描器:OpenVAS附带了多种端口扫描方式。它包括TCP扫描,SYN扫描,定位IPSec的IKE扫描,VPN等。
安全检查:OpenVAS支持并启用安全检查扫描。在这种模式下,扫描器将依靠远程主机的标识而不是发送所有的有效载荷到远程主机。这是对于在默认扫描过程中死机并且还是旧主机的一个不错的选择。
QualysGuard:QualysGuard是一个基于私有云的软件即服务(SaaS)。Web用户界面可用于登录到门户网站,并从任何地方使用该服务。该工具包括网络发现,资产映射,漏洞评估,报告和补救跟踪。