IT-Sicherheit
OpenVAS / Greenbone
OpenVAS ist der quelloffene Schwachstellen-Scanner-Kern, Greenbone die Plattform und der deutsche Hersteller; die Community Edition ist frei, Enterprise bietet mehr.
- Quelloffener Schwachstellen-Scanner
- Deutscher Hersteller (Greenbone AG)
- Authenticated Scans
- NASL-basierte Vulnerability Tests
- GPL; BSI-gefördert
Hinter „OpenVAS“ steckt mehr als ein Tool. OpenVAS ist der quelloffene Scanner-Kern, GVM (Greenbone Vulnerability Management) das Framework darum, und Greenbone ist sowohl die Plattform als auch der deutsche Hersteller (Greenbone AG). Entstanden ist OpenVAS 2005/2006 als Fork des damals quelloffenen Nessus.
Dieser Artikel erklärt die Architektur und die Begriffe, die Editionen mit ihrem entscheidenden Feed-Unterschied, authenticated und unauthenticated Scans, die Integration von CVE und CVSS samt Qualitätsbewertung der Funde, den BSI-Bezug sowie die Stärken und Grenzen.
1. Architektur und Begriffe
Die Greenbone-Plattform besteht aus mehreren Teilen: dem eigentlichen Scanner (openvas-scanner, ergänzt um den effizienteren Notus-Scanner für lokale Prüfungen), dem Verwaltungs-Daemon gvmd und der Web-Oberfläche GSA (Greenbone Security Assistant). Die Prüfungen selbst sind Vulnerability Tests (VTs, auch NVTs), geschrieben in der Skriptsprache NASL. Wichtig für die Verständigung: „OpenVAS“ bezeichnet streng genommen nur den Scanner, nicht die ganze Plattform.
OpenVAS ≠ Greenbone ≠ GVM
OpenVAS ist der Scanner-Kern, GVM das Management-Framework, Greenbone die Plattform und der Hersteller. Seit 2022 ist „Greenbone Community Edition“ der Oberbegriff für die quelloffenen Teile. Die uneinheitliche Verwendung von „OpenVAS“ ist eine häufige Verwechslungsquelle.
2. Editionen und der Feed-Unterschied
Der praktisch wichtigste Unterschied liegt nicht im Programm, sondern im Feed der Schwachstellentests. Die freie Community Edition nutzt den Greenbone Community Feed: täglich aktualisiert, gut für gängige Systeme. Die kostenpflichtige Enterprise-Variante (als Appliance oder Subscription) nutzt den Enterprise Feed: mehrfach täglich aktualisiert und mit Tests für Enterprise-Produkte (Cisco, VMware, SAP, MS Exchange), die der Community Feed seit Jahren nicht mehr neu erhält. Wer solche Produkte abdecken muss, braucht den Enterprise Feed.
3. Authenticated Scans
Wie beim Schwachstellenmanagement generell gilt: Authenticated Scans liefern deutlich genauere Ergebnisse. Greenbone meldet sich dafür per SSH (Linux/Unix), SMB (Windows) oder SNMP (Netzwerkgeräte) an und prüft lokal installierte Versionen und Konfigurationen statt nur die von außen sichtbaren Dienste. Der Feed wird über das Werkzeug greenbone-feed-sync bezogen.
Schwachstellen-Feed aktualisieren
greenbone-feed-sync4. Bewertung: CVE, CVSS und QoD
Funde werden mit ihrer CVE-Kennung und dem CVSS-Wert ausgewiesen (Querverweis Vulnerability Management). Eine Greenbone-Besonderheit ist die Quality of Detection (QoD): ein Prozentwert für die Zuverlässigkeit einer Erkennung. Berichte filtern standardmäßig ab 70 Prozent; Funde mit niedrigerer QoD sind mit höherer Fehlalarm-Wahrscheinlichkeit zu lesen. Berichte gibt es in Formaten wie XML, PDF, HTML und CSV, und über die GMP-Schnittstelle lässt sich der Betrieb automatisieren.
5. Deutscher Hersteller und BSI-Bezug
Greenbone ist ein deutscher Anbieter mit Sitz in Osnabrück, und die OpenVAS-Entwicklung wurde vom BSI gefördert; über einen Rahmenvertrag können Bundesbehörden Greenbone-Appliances beziehen. Für datenschutzsensible Umgebungen und die öffentliche Hand ist das ein relevantes Vertrauenssignal: quelloffen, Datenhoheit, kein Cloud-Zwang, deutscher Hersteller.
6. Stärken und Grenzen
| Stärken | Grenzen |
|---|---|
| Quelloffen (GPL), Datenhoheit, deutscher Hersteller | Community Feed wird nur täglich aktualisiert |
| BSI-gefördert, Rahmenvertrag für Behörden | Community Feed ohne neue Tests für Enterprise-Produkte |
| Authenticated Scans (SSH/SMB/SNMP) | Enterprise-Abdeckung nur mit kostenpflichtigem Feed |
| QoD bewertet die Verlässlichkeit der Funde | Ressourcen-/Tuning-Aufwand bei großen Netzen |
| GMP-API zur Automatisierung; offene Berichte | Versionen der Komponenten dürfen nicht gemischt werden |
Häufige Fragen zu OpenVAS / Greenbone
OpenVAS ist der quelloffene Scanner-Kern, also die Komponente, die die eigentlichen Schwachstellentests ausführt. Greenbone ist die Plattform darum herum (mit Verwaltungs-Daemon gvmd und Weboberfläche GSA) und zugleich der Hersteller (Greenbone AG). Das Framework heißt GVM (Greenbone Vulnerability Management). Seit 2022 ist „Greenbone Community Edition“ der Oberbegriff für die freien Bestandteile. „OpenVAS“ wird umgangssprachlich oft für die ganze Plattform verwendet, was technisch ungenau ist.
Für gängige Systeme (Linux, Windows, verbreitete Software) oft ja, der Community Feed wird täglich aktualisiert. Er deckt aber seit Jahren keine neuen Tests für typische Enterprise-Produkte wie Cisco, VMware, SAP oder MS Exchange ab und wird seltener aktualisiert als der Enterprise Feed (der mehrfach täglich erscheint). Wer solche Produkte zuverlässig prüfen oder zeitnah auf neue Bedrohungen reagieren muss, benötigt den kostenpflichtigen Enterprise Feed.
Auch der Autor ist nur ein Mensch, dem Fehler unterlaufen können. Wenn in diesem Beitrag etwas nicht stimmt oder unklar ist, freuen wir uns über einen kurzen Hinweis über das Kontaktformular unten, wir prüfen und korrigieren das.
Der nächste Schritt
OpenVAS / Greenbone im eigenen Haus richtig einsetzen?
Wir klären, ob und wie der Baustein zu Ihrer Infrastruktur passt, und sagen offen, wann sich der Aufwand lohnt und wann nicht.