Publikation von Christoph Puppe
Löchersuche: All-Purpose-Schwachstellen-Scanner im Test
Zehn Schwachstellenscanner gegen ein heterogenes Testnetz aus 19 Systemen mit Hard- und Software von 1996 bis 2005; NetIQ, Ncircle und Symantec verweigerten die Teilnahme. Jeder Kandidat bekam zwei Läufe, erst mit Standardeinstellungen, dann mit allen Optionen und Zugangsdaten für lokale Tests. Aus 4414 gemeldeten CVEs wurden 1745 CVE/Ziel-Kombinationen extrahiert und jede von Hand bewertet: 787 echte und 509 falsche Funde, 449 unentscheidbar. Bewertet wurde gegen diese Grundwahrheit: Gründlichkeit als Anteil der gefundenen an allen wahren CVEs, Genauigkeit als Anteil der wahren an den eigenen Meldungen. Nessus erreichte 58 Prozent Gründlichkeit bei 75 Prozent Genauigkeit, Qualys Guard lag mit 58 und 76 Prozent gleichauf, Foundstone folgte mit 52 und 71 Prozent. Dahinter wurde es dünn: NeXpose fand nur 23 Prozent, war mit 82 Prozent Genauigkeit aber sehr präzise, und der Internet Scanner von ISS, immerhin dem Erfinder des Verwundbarkeitsscans, kam auf magere 10 Prozent Gründlichkeit. Die Qualitätsbefunde sind ernüchternd: Linux-Lücken auf BSD gemeldet, NT-4-Exploits auf Windows 2003, kaum Plausibilitätsprüfungen, veraltete Tests; der Shadow Security Scanner stufte 55 Prozent seiner Meldungen als hochkritisch ein. Die Preisspanne reichte von 850 Euro bis 180 000 Euro. Kein Scanner fand alle CVEs, und wer alle Funde behoben hat, ist noch lange nicht sicher; der Einsatz lohnt trotzdem, weil schnelles Erheben und Beseitigen der Schwachstellen die Sicherheit signifikant steigert. Der vollständige englische Text erschien im Februar 2006 als Auftakt des Vulnerability Assessment Wiki.