1. 项目概述为什么需要OpenVAS在安全领域摸爬滚打十几年我见过太多因为基础安全扫描缺失而导致的“低级”事故。很多团队尤其是初创公司或业务压力大的开发团队往往把安全测试的优先级排得很靠后总觉得有防火墙、定期改密码就够了。直到某天服务器被悄无声息地挂上挖矿脚本或者用户数据在暗网被明码标价才追悔莫及。主动的安全漏洞扫描就像给自家房子做定期的结构安全检查不能等到墙裂了才想起找原因。OpenVASOpen Vulnerability Assessment System就是一个这样的“房屋结构安全检查仪”。它是一个功能强大且完全开源的漏洞扫描与管理系统。说人话就是它能自动帮你检查你的服务器、网络设备乃至整个内网看看有没有那些众所周知的“安全后门”没关好。比如你的Web服务器是不是还在用着有严重漏洞的旧版本软件数据库的默认弱密码改了没有某个网络端口是不是不该对公网开放却被误开了这些工作如果纯靠人工手动检查效率极低且容易遗漏而OpenVAS能帮你自动化、系统化地完成。它特别适合这几类人中小企业的运维或安全负责人预算有限但需求迫切、个人开发者或极客想保护自己的VPS和项目、以及正在学习网络安全的学生和从业者需要一个免费的、企业级的实操环境。通过本指南你将能从头开始在Linux系统上部署一套属于你自己的、功能完整的OpenVAS漏洞扫描器并理解如何配置和使用它进行有效的安全评估。整个过程我会把我在部署和运维中踩过的坑、总结的技巧毫无保留地分享给你。2. 部署环境准备与方案选型在真正动手安装之前花几分钟搞清楚部署环境和方案能帮你避开至少80%的后续麻烦。OpenVAS的安装方式主要有两种一种是使用官方提供的安装脚本或软件包如.deb.rpm另一种是使用Docker容器化部署。这里我们主要讨论第一种也是最经典、可控性最高的方式适合想要深入理解其组件和运作机制的用户。2.1 系统要求与资源评估OpenVAS不是一个轻量级应用。它由多个组件构成包括扫描引擎、管理端GSA和庞大的漏洞数据库NVT。因此它对系统资源有一定要求。操作系统官方主要支持Debian/Ubuntu和CentOS/RHEL及其衍生版。本指南以Ubuntu 22.04 LTS为例因为它拥有广泛的社区支持和稳定的软件源。其他系统步骤类似但包管理命令和部分路径会有差异。硬件资源这是关键。一个用于生产或严肃测试的OpenVAS服务器建议配置如下CPU至少4核。扫描和分析过程是CPU密集型任务核心越多并行扫描效率越高。内存最低8GB强烈推荐16GB或以上。在首次同步漏洞数据NVT时以及进行大规模扫描时内存消耗会非常大。内存不足是安装失败和扫描崩溃的最常见原因。磁盘空间至少50GB可用空间推荐100GB。漏洞数据库本身就会占用几十GB空间并且扫描报告尤其是包含详细结果的HTML或PDF报告也会持续增长。网络稳定的网络连接至关重要尤其是在首次安装和后续更新漏洞库时需要从互联网下载大量数据。注意如果你只是在虚拟机里做学习测试可以适当降低配置如2核4GB但务必给足磁盘空间并做好首次同步耗时非常长的心理准备。2.2 安装路径规划与依赖梳理默认情况下OpenVAS会将其主要组件安装在以下位置Ubuntu/Debian系主程序及配置文件/etc/openvas/漏洞数据库NVT/var/lib/openvas/plugins/日志文件/var/log/openvas/生成的报告/var/lib/openvas/reports/在安装前最好检查一下这些路径所在的分区是否有足够空间。你可以使用df -h命令查看。OpenVAS依赖于一系列其他开源软件包括Redis用作缓存和消息队列提升性能。PostgreSQL作为主数据库存储配置、任务和扫描结果。Mosquitto可选MQTT消息代理用于组件间通信。幸运的是在Ubuntu上我们可以通过APT包管理器一站式解决大部分依赖问题。但我们需要先确保系统是最新的并添加必要的软件源。3. 分步安装与初始化配置实录接下来我们进入实操环节。请确保你拥有服务器的root权限或sudo权限。3.1 系统更新与必要工具安装首先更新系统软件包列表并升级现有软件这是一个好习惯。sudo apt update sudo apt upgrade -y安装一些后续步骤可能需要的工具如用于添加软件源的software-properties-common和用于下载的curl。sudo apt install -y software-properties-common curl3.2 添加OpenVAS官方仓库并安装OpenVAS项目本身不直接提供APT仓库但有一个维护良好的第三方仓库提供了最新的稳定版本。这里我们使用Greenbone社区提供的仓库。添加GPG密钥用于验证软件包的完整性。sudo curl -f -L https://www.greenbone.net/gpg/GVM-22.4.5.asc -o /etc/apt/trusted.gpg.d/gvm.asc实操心得如果上述URL无法访问网络环境问题可以尝试搜索“Greenbone Community Edition GPG key”寻找备用源或者直接从Greenbone官方网站的文档中查找最新的密钥地址。密钥添加失败会导致后续添加仓库失败。添加软件源将Greenbone仓库添加到系统源列表。sudo add-apt-repository deb [archamd64] https://www.greenbone.net/download/community-22.4/ubuntu jammy main注意这里的jammy对应 Ubuntu 22.04。如果你使用的是其他版本如 20.04 (focal)需要相应替换。再次更新并安装添加新源后必须更新本地包索引。sudo apt update现在安装OpenVAS在Greenbone套件中被称为GVM即Greenbone Vulnerability Management的完整套件。sudo apt install -y gvm这个gvm元包会拉取所有必要的组件包括扫描器、管理界面、数据库等。3.3 核心初始化数据库设置与漏洞数据同步安装完软件包只是第一步接下来需要进行繁琐但至关重要的初始化。这一步耗时最长也最容易出错。运行安装后配置脚本Debian/Ubuntu的gvm包提供了一个配置脚本。sudo gvm-setup这个脚本会初始化PostgreSQL数据库创建gvmd用户和数据库。设置系统服务systemd unit files。启动必要的后台服务gvmd,gsad,openvas-scanner等。最关键的一步开始下载和同步最新的网络漏洞测试NVT数据、SCAP安全内容自动化协议数据、CERT计算机应急响应小组数据等。这个过程会非常漫长可能需要数小时具体取决于你的网络速度和服务器性能。脚本会输出进度请耐心等待并确保网络连接稳定。踩坑记录在执行gvm-setup时最常见的错误是“同步失败”或“下载超时”。这通常是因为连接到Greenbone的源服务器网络不稳定。如果遇到此问题可以尝试多次重试运行sudo gvm-setup。检查服务器DNS配置确保能正常解析域名。在夜深人静网络空闲时再试。如果实在无法完成可以考虑寻找国内镜像源如果有的话但需注意安全性和时效性。创建管理员用户同步完成后需要创建一个用于登录Web管理界面Greenbone Security Assistant, GSA的管理员账户。sudo runuser -u _gvm -- gvmd --create-useradmin --password你的强密码请将“你的强密码”替换为一个高强度的密码。例如sudo runuser -u _gvm -- gvmd --create-useradmin --passwordMyStr0ngPssw0rd2024!你也可以选择创建其他名称的用户admin只是默认的管理员用户名。获取管理员用户ID并赋予权限可选但建议# 获取admin用户的ID sudo runuser -u _gvm -- gvmd --get-users --verbose | grep admin输出中会显示类似admin (id: xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx)的信息复制那个UUID。# 将“扫描管理器”角色赋予admin用户假设获取到的UUID是 aabbccdd... sudo runuser -u _gvm -- gvmd --modify-setting 78eceaec-3385-11ea-b237-28d24461215b --value aabbccdd-eeee-ffff-gggg-hhhhhhhhhhhh这个操作赋予了admin用户创建和管理扫描任务的完整权限。3.4 服务启动与状态验证初始化完成后确保所有相关服务都已启动并运行正常。# 启动服务如果尚未启动 sudo systemctl start gvmd gsad openvas-scanner # 设置开机自启 sudo systemctl enable gvmd gsad openvas-scanner # 检查服务状态 sudo systemctl status gvmd gsad openvas-scanner你应该看到三个服务的状态都是active (running)。如果有失败请查看具体的日志文件/var/log/gvm/目录下来排查问题。现在打开你的浏览器访问https://你的服务器IP:9392。你会看到Greenbone Security Assistant (GSA)的登录界面。使用刚才创建的admin用户和密码登录。重要提示首次登录可能会因为SSL证书是自签名的而出现安全警告。这是正常的你可以选择“高级”-“继续前往”或类似选项。在生产环境中你应该替换为自己的可信SSL证书。4. 核心功能配置与首次扫描实战成功登录GSA界面后面对功能丰富的仪表盘新手可能会感到无从下手。别急我们一步步来完成一次针对本地主机的快速扫描。4.1 Web界面概览与基础设置登录后的主界面主要包括仪表盘显示扫描任务概览、漏洞严重性分布等。扫描创建和管理扫描任务的核心区域。资产管理目标主机资产和资产组。配置管理扫描配置、扫描策略、报告格式等。管理系统管理功能如用户、角色、feed更新状态。首先我们需要确保漏洞数据是最新的。虽然安装时同步了一次但漏洞库每天都在更新。手动更新漏洞库在“管理” - “Feed状态”中你可以看到NVT、SCAP、CERT等Feed的“当前”和“最新”版本。如果“当前”落后于“最新”点击右上角的“刷新Feed”按钮两个绿色箭头循环的图标。这个过程也需要一些时间。4.2 创建你的第一个扫描任务我们将创建一个针对扫描服务器自身localhost/127.0.0.1的快速扫描以验证安装是否成功。创建目标导航到“配置” - “目标”。点击左上角的“蓝色星星”图标新建。名称填入一个易于识别的名字如My Localhost Test。主机输入127.0.0.1。你可以输入单个IP、IP范围如192.168.1.1-100或CIDR格式的网络段如192.168.1.0/24。端口列表选择默认的All IANA assigned TCP and Nmap top 100 UDP。这是一个比较全面的端口列表涵盖了常见服务。其他选项保持默认点击“保存”。创建扫描配置可选但推荐导航到“配置” - “扫描配置”。点击“新建扫描配置”。名称例如Quick and Deep。从以下位置复制选择Full and fast。这是一个很好的平衡了速度和深度的基础配置。在配置详情页面你可以调整各种扫描器的参数例如NVT 选择可以启用或禁用某些类别的漏洞检查。扫描参数可以设置扫描的并发主机数、并发测试数等影响扫描速度和资源占用。对于首次测试我们可以直接使用内置的Full and fast配置无需新建。创建并启动扫描任务导航到“扫描” - “任务”。点击左上角的“蓝色星星”图标。扫描目标选择刚才创建的My Localhost Test。扫描配置选择Full and fast。扫描器选择默认的OpenVAS Default。计划选择“立即”。名称给任务起个名如First Scan on Localhost。点击“保存”。保存后任务会自动开始运行。你可以在“扫描” - “任务”页面看到任务的进度条。点击任务名称可以进入详情页查看实时发现的漏洞结果。首次扫描自己可能会发现一些“信息性”的日志条目或者一些关于OpenVAS自身服务端口的“低危”发现这是正常的。4.3 报告解读与结果分析扫描完成后状态会变为“已完成”。查看结果在任务详情页切换到“结果”选项卡。这里会列出所有发现的漏洞按严重性严重、高、中、低、日志分类。生成报告在任务行点击“动作”列下的报告图标一张纸的形状。选择你想要的报告格式例如HTML或PDF。点击“下载”即可获取一份格式美观、内容详细的漏洞报告。报告内容解读摘要漏洞数量统计、严重性分布。漏洞详情每个漏洞会包含名称漏洞的通用名称如Apache HTTP Server 信息泄露漏洞。严重性CVSS评分一个0-10分的标准分数。主机发现漏洞的IP和端口。描述漏洞的详细说明。影响该漏洞可能造成的危害。解决方案修复建议例如“升级到Apache版本X.X.X以上”。参考指向CVE编号、安全公告等外部链接。如何对待扫描结果严重/高危漏洞必须优先处理制定修复计划。中危漏洞应尽快安排修复。低危/日志可以作为信息参考在资源允许时优化。误报自动化工具难免有误报。对于存疑的漏洞需要结合人工分析如查看具体服务版本、配置来确认。5. 高级配置、优化与日常运维一次成功的扫描只是开始。要让OpenVAS在团队或生产环境中稳定、高效地运行还需要一些额外的配置和优化。5.1 性能调优与资源限制OpenVAS默认配置可能不适合所有环境尤其是资源受限的环境。调整扫描器并发度编辑扫描器配置文件。sudo nano /etc/openvas/openvas.conf找到max_hosts和max_checks参数。max_hosts控制同时扫描的主机数max_checks控制对单个主机同时进行的测试数。降低这些值可以减少内存和CPU占用但会延长扫描时间。例如在资源紧张的服务器上可以设置为max_hosts10 max_checks5修改后重启服务sudo systemctl restart openvas-scanner调整PostgreSQL性能如果数据库性能成为瓶颈扫描结果写入慢可以调整PostgreSQL配置/etc/postgresql/xx/main/postgresql.conf适当增加shared_buffers,work_mem等参数的值但需根据服务器总内存来合理分配。5.2 定期更新与自动化漏洞库过期扫描就失去了意义。必须建立定期更新机制。命令行更新可以设置一个cron任务定期执行更新。# 编辑cron任务 sudo crontab -e # 添加以下行表示每天凌晨3点执行更新 0 3 * * * sudo runuser -u _gvm -- greenbone-nvt-sync /dev/null 21 0 4 * * * sudo runuser -u _gvm -- greenbone-feed-sync --type SCAP /dev/null 21 0 5 * * * sudo runuser -u _gvm -- greenbone-feed-sync --type CERT /dev/null 21注意greenbone-feed-sync命令需要较新版本的GVM21.04。在老版本中更新是通过gvm-feed-update或openvas --update-vt-info等命令完成的。请根据你的实际安装版本查阅对应文档。Web界面更新如前所述也可以在GSA的“管理”-“Feed状态”中手动点击更新。5.3 常见问题排查与修复即使安装顺利在日常使用中也可能遇到问题。这里记录几个典型问题及解决思路。问题现象可能原因排查与解决步骤Web界面无法访问9392端口1. 服务未启动。2. 防火墙阻止。3. GSA服务崩溃。1.sudo systemctl status gsad检查状态。2.sudo ufw allow 9392/tcp(如果使用UFW)。3. 查看日志/var/log/gvm/gsad.log。扫描任务一直“排队中”或“请求中”1. 扫描器服务未运行或异常。2. 数据库连接问题。3. 资源不足内存耗尽。1.sudo systemctl status openvas-scanner。2. 检查/var/log/gvm/openvas.log有无错误。3. 使用free -h和top查看内存和CPU使用率。漏洞库同步失败/缓慢1. 网络连接问题。2. 源服务器暂时不可用。3. 磁盘空间不足。1. 尝试ping www.greenbone.net。2. 等待一段时间再试或更换网络环境。3. 使用df -h检查磁盘空间。登录GSA后仪表盘无数据或空白1. 浏览器缓存问题。2. GSA前端资源加载失败。3. 用户权限未正确配置。1. 尝试CtrlF5强制刷新或使用浏览器无痕模式。2. 检查浏览器控制台F12有无JS错误。3. 确认登录用户拥有“扫描管理器”等必要角色。生成报告时出错或报告为空1. 报告格式模块问题。2. 扫描结果数据异常。1. 尝试换一种报告格式如从PDF换到HTML。2. 检查任务是否真的已完成并有结果。查看/var/log/gvm/gvmd.log。5.4 安全加固建议OpenVAS本身是一个安全工具但其服务端也必须得到保护。修改默认端口将GSA的默认端口从9392改为一个非标准端口可以减少被自动化脚本扫描的风险。通过修改/etc/default/gsad文件中的GSA_ADDRESS和GSA_PORT变量实现。使用强密码与多用户不要只使用一个admin账户。为不同的团队成员创建不同权限级别的账户如只读用户、扫描操作员等。定期更换密码。配置防火墙严格限制访问GSA Web界面的源IP地址只允许运维网段或跳板机访问。定期备份备份PostgreSQL数据库gvmd库和/var/lib/openvas/plugins/目录下的漏洞数据。数据库备份命令示例sudo runuser -u postgres -- pg_dump gvmd /path/to/backup/gvmd_backup_$(date %Y%m%d).sql6. 从工具到流程融入DevSecOps实践安装配置好OpenVAS相当于你有了一个强大的“安全雷达”。但工具的价值在于使用。对于现代软件开发团队更应该考虑如何将它融入CI/CD流水线实现安全左移。思路一集成到CI/CD管道你可以在Jenkins、GitLab CI、GitHub Actions等工具中在构建或部署阶段后加入一个OpenVAS扫描步骤。基本流程是通过OpenVAS的APIGVM提供了丰富的REST API自动创建针对新部署应用或服务器的扫描任务。等待扫描完成。通过API获取扫描结果报告。设定质量门禁例如如果发现“严重”或“高危”漏洞则自动将构建标记为失败并通知相关负责人。将报告归档作为发布凭证的一部分。思路二资产自动发现与周期性扫描对于固定的基础设施如办公网、生产网段可以设置周期性如每周一次的全面扫描。结合CMDB配置管理数据库或简单的IP地址列表自动更新OpenVAS中的“目标”实现资产的动态管理和覆盖。思路三漏洞生命周期管理OpenVAS发现漏洞只是起点。更重要的是跟踪修复过程。你可以将OpenVAS的报告导入到JIRA、Redmine等项目管理工具中为每个高危漏洞创建修复工单。定期重新扫描已修复的漏洞进行验证直到关闭工单。通过历史报告分析团队或系统的安全态势变化趋势。我自己在团队中推行这套流程时最大的阻力往往不是技术而是观念。开发同事会觉得“又被增加了工作量”。我的经验是不要一开始就追求全自动拦截而是先从“透明化”开始每次发布后自动生成一份简洁的扫描报告通过邮件或群机器人同步给相关开发和运维同学不阻塞流程只做告知。当大家习惯了报告的存在并亲眼看到其中一些漏洞被外部攻击者利用的案例可以分享一些无害化的内部演练结果后对安全扫描的接受度和配合度就会大大提高。这时再逐步引入关键漏洞的“一票否决”门禁就水到渠成了。最后记住一点没有任何一个扫描工具是银弹。OpenVAS主要针对已知漏洞CVE等对于逻辑漏洞、业务层面的安全问题如越权、水平权限绕过几乎无能为力。它应该作为你安全防御体系中的一个重要环节与代码审计、渗透测试、WAF、IDS/IPS等共同构成纵深防御。保持漏洞库更新定期运行扫描认真分析报告并推动修复这才是让OpenVAS发挥最大价值的关键。
