Tenable Nessus Professional
Scanner de vulnerabilidades para avaliação pontual e recorrente de ativos de TI.
Para: Pentesters de rede, Consultores de segurança cibernética e outros perfis
Conhecer o produto Avaliação de vulnerabilidades
Tenable Nessus Expert
O Nessus Expert parte da mesma base de avaliação de vulnerabilidades do Nessus Professional e amplia o escopo para dois territorios que a varredura tradicional de rede não cobre bem: as aplicações Web e os ativos que a organização expoe na Internet — inclusive aqueles que ninguem lembra que existem. A decisão entre um e outro, portanto, e uma decisão de escopo.
O problema
A superficie de ataque não termina no perimetro da rede interna
Uma varredura restrita a faixas internas descreve bem servidores e estacoes, e mal tudo o resto. Aplicações Web publicadas, subdominios criados para uma campanha e esquecidos, ambientes de homologacao acessiveis — nada disso aparece em um inventário montado a partir da rede interna, e e justamente ai que o atacante comeca a olhar.
- Aplicações Web publicadas sem avaliação técnica regular.
- Subdominios e hosts expostos sem dono identificado.
- Escopo de avaliação definido por faixa de IP, não por exposição real.
- Descoberta de ativos externos feita de forma manual e esporadica.
Para quem e
Público indicado
- Pentesters
- Consultores de segurança
- Desenvolvedores
- Pequenas e medias empresas
O que oferece
Principais capacidades
Informações declaradas pelo fabricante. Ver fontes ao final da página.
Verificação de aplicações Web
Avaliação de aplicações Web em complemento a avaliação de infraestrutura, dentro da mesma ferramenta.
Verificação da superficie de ataque externa
Visibilidade de ativos voltados para a Internet. O material oficial declara o limite de 5 domínios por trimestre.
Descoberta e avaliação de ativos de TI
Identificação dos ativos no escopo e avaliação de vulnerabilidades sobre eles.
Ampla base de vulnerabilidades conhecidas
Mais de 70 mil CVEs detectaveis, com atualizacoes de vulnerabilidades em tempo real.
Modelos pre-configurados e relatorios personalizaveis
Mais de 450 modelos de verificação e relatorios ajustaveis, como no Nessus Professional.
Aplicação prática
Casos de uso
Consultoria com escopo Web e infraestrutura
Engajamentos que precisam cobrir aplicação e infraestrutura sem alternar entre ferramentas distintas.
Mapeamento do que está exposto na Internet
Identificação de domínios e hosts públicos associados a organização, incluindo ativos criados fora do processo formal de TI.
Avaliação de aplicações próprias por equipes pequenas
Times de desenvolvimento sem estrutura dedicada de AppSec que precisam de uma verificação técnica recorrente.
Como funciona
Etapas do processo
-
Definicao de escopo
Delimitacao do que sera avaliado: faixas de rede, aplicações Web e domínios externos.
-
Descoberta interna e externa
Levantamento dos ativos de rede no escopo e dos ativos voltados para a Internet associados aos domínios informados.
-
Avaliação combinada
Verificação de vulnerabilidades sobre infraestrutura e sobre as aplicações Web identificadas.
-
Priorização e relatorio
Consolidacao dos achados de origens diferentes em um relatorio único, ordenado por severidade.
Quando considerar
Este produto tende a fazer sentido quando...
- O escopo de trabalho inclui aplicações Web, e não apenas infraestrutura.
- Há necessidade de identificar ativos expostos na Internet de forma recorrente.
- A equipe e enxuta e prefere concentrar avaliação de rede e de aplicação em uma única ferramenta.
Quando avaliar outra opcao
Vale considerar outro caminho quando...
- O escopo e apenas rede e sistemas internos, sem componente Web ou externo relevante. Ver Nessus Professional →
- são muitas aplicações Web, com necessidade de testes continuos, cobertura de APIs e controle de acesso por perfil. Ver Web App Scanning →
- A necessidade e de gestão corporativa de exposição, com consolidacao entre times e visão executiva. Ver Tenable One VM →
Perguntas frequentes
O Nessus Expert inclui tudo que o Professional oferece?
O material oficial apresenta o Expert como a versão "desenvolvida para a superficie de ataque moderna", com a mesma base de avaliação de vulnerabilidades e o acrescimo de verificação de aplicações Web e de superficie de ataque externa. Para confirmar o detalhamento item a item da sua edição, consulte a comparação oficial do fabricante.
O limite de 5 domínios por trimestre e suficiente?
Depende do tamanho da presença digital da organização. Para uma empresa com poucos domínios institucionais, tende a ser adequado. Para ambientes com muitos domínios, subdominios de campanha ou multiplas marcas, o limite pode ser restritivo — nesse caso, a discussão passa a ser sobre gerenciamento de superficie de ataque em escala.
A verificação Web do Expert substitui uma ferramenta DAST dedicada?
são propositos diferentes. A verificação do Expert atende bem avaliações pontuais dentro de um escopo maior. Programas de AppSec com muitas aplicações, integracao a pipeline e testes continuos normalmente exigem uma solução DAST dedicada.
Como avaliar antes de contratar?
O material oficial menciona a possibilidade de usuários do Nessus Professional experimentarem o Expert por um período limitado. Condicoes de teste e de contratacao mudam: consulte a disponibilidade e as condicoes de contratacao atuais.
Como contratar
Condicoes comerciais, disponibilidade e modelos de licenciamento são definidos pelo fabricante e podem mudar. Consulte a página oficial de compra ou converse com um especialista para avaliar o cenário da sua organização.