Quels équipements de votre réseau ont une faille connue ? Quel serveur fait encore tourner une version obsolète d’OpenSSH ? Quelle imprimante expose une interface d’administration sans mot de passe ? Un scanner de vulnérabilités répond à ces questions de façon objective. Greenbone Community Edition, qui intègre le scanner OpenVAS, est la solution open source de référence. Voici comment réaliser un premier scan propre, sur un réseau dont vous avez la responsabilité, et interpréter les résultats.
L’essentiel en 30 secondes
- Greenbone Community Edition est gratuit et s’appuie sur un flux communautaire de dizaines de milliers de tests de vulnérabilités.
- L’installation la plus simple passe par les conteneurs Docker officiels ou par la distribution Kali Linux.
- Un scan authentifié (avec un compte SSH ou Windows) est bien plus précis qu’un scan « vu de l’extérieur ».
- Ne scannez que des systèmes dont vous avez l’autorisation écrite : sans elle, c’est une infraction pénale.
- Le rapport se lit en croisant gravité, fiabilité de la détection et exposition.
Avant de commencer : le cadre
- Autorisation : obtenez un accord écrit de la direction précisant le périmètre (plages d’adresses), les dates et les horaires. Scanner un système sans autorisation relève de l’article 323-1 du Code pénal.
- Équipements fragiles : certaines vieilles imprimantes, automates industriels ou équipements médicaux supportent mal les scans. Excluez-les ou prévoyez un créneau surveillé.
- Information : prévenez les équipes et votre prestataire, dont les outils de sécurité verront le scan comme une attaque.
Installation avec Docker
Greenbone publie un fichier docker-compose.yml officiel pour la Community Edition. Sur un serveur Linux dédié (4 cœurs et 8 Go de RAM au minimum), avec Docker installé :
mkdir -p ~/greenbone-community-container && cd ~/greenbone-community-container
curl -f -O -L https://greenbone.github.io/docs/latest/_static/docker-compose.yml
docker compose -p greenbone-community-edition pull
docker compose -p greenbone-community-edition up -dLa première synchronisation des flux de vulnérabilités prend un temps important (souvent plus d’une heure) : les scans ne sont fiables qu’une fois terminée. L’interface web (Greenbone Security Assistant) est alors accessible, par défaut uniquement en local ; changez le mot de passe administrateur fourni par la documentation dès la première connexion.
Alternative : sous Kali Linux, sudo apt install gvm, puis sudo gvm-setup et sudo gvm-check-setup.
Votre premier scan, étape par étape
- Créer une cible (Configuration > Cibles) : plage d’adresses, par exemple
192.168.1.0/24, et liste de ports « All IANA assigned TCP » pour commencer. - Ajouter des identifiants (facultatif mais recommandé) : un compte SSH pour Linux, un compte Windows pour les postes et serveurs. Le scanner pourra alors lister les logiciels installés et leurs versions exactes.
- Créer une tâche (Scans > Tâches) avec la configuration « Full and fast », qui offre un bon équilibre entre exhaustivité et durée.
- Lancer le scan en dehors des heures de pointe, et suivre sa progression.
- Consulter le rapport une fois terminé, puis l’exporter (PDF, CSV, XML) pour le suivi.
Lire le rapport sans paniquer
| Indicateur | Signification | Comment l’utiliser |
|---|---|---|
| Gravité (CVSS, 0 à 10) | Impact théorique de la faille | Point de départ, pas un ordre de priorité absolu |
| QoD (qualité de détection) | Fiabilité du résultat, en pourcentage | Un QoD faible (moins de 70 %) mérite une vérification manuelle |
| Hôte et port | Où se trouve la faille | Un service exposé à Internet passe en premier |
| Solution | Mise à jour, configuration ou contournement | Base du plan d’action |
Pour décider de l’ordre de correction, croisez ces résultats avec les failles réellement exploitées : voir notre méthode pour prioriser les correctifs. Les résultats typiques d’un premier scan en PME : systèmes en fin de support, interfaces d’administration accessibles sans chiffrement, protocoles obsolètes (SMBv1, TLS 1.0), mots de passe par défaut sur des équipements, NAS ou caméras non mis à jour.
Faux positifs et rétroportages
Certaines distributions Linux corrigent une faille sans changer le numéro de version principal du logiciel (rétroportage). Un scan non authentifié qui se base sur la version annoncée signalera alors une faille déjà corrigée. Le scan authentifié limite fortement ce problème. Marquez les faux positifs vérifiés avec une « dérogation » (override) documentée, pour ne pas les revoir à chaque scan.
Faire du scan un processus
- Planifier un scan mensuel du réseau interne et un scan de vos adresses publiques après chaque changement.
- Comparer les rapports d’un mois sur l’autre (fonction « delta ») pour suivre les progrès.
- Scanner de l’extérieur votre adresse IP publique : c’est ce que voient les attaquants.
- Combiner avec l’inventaire du parc : un équipement inconnu découvert par le scan est déjà un résultat.
- Pour les images de conteneurs et le code, utilisez plutôt un outil dédié comme Trivy.
Questions fréquentes
Quelle différence entre la Community Edition et les offres payantes ?
Les offres commerciales de Greenbone incluent un flux de tests plus complet et plus rapidement mis à jour, des appliances, la gestion centralisée et le support. La Community Edition reste très complète pour une PME.
Combien de temps dure un scan ?
De quelques minutes pour quelques machines à plusieurs heures pour un réseau de plusieurs centaines d’adresses, selon les ports et la configuration choisis.
Un scan peut-il perturber le réseau ?
Il génère du trafic et peut faire planter de rares équipements fragiles. Commencez par un périmètre réduit et surveillez les services pendant le premier scan.
Le scan remplace-t-il un test d’intrusion ?
Non. Le scanner détecte des failles connues ; un test d’intrusion, mené par des spécialistes, cherche à les exploiter et à les enchaîner, et évalue aussi les faiblesses humaines et organisationnelles.
Sources
- Greenbone, documentation de la Community Edition.
- Légifrance, Code pénal, atteintes aux systèmes de traitement automatisé de données (articles 323-1 et suivants).
- FIRST, CVSS.
Besoin d’un accompagnement ?
MPCÂBLE Solutions Informatiques (MPCSI) accompagne particuliers, entreprises, associations et collectivités depuis Gaudiès, en Ariège : sur site en Occitanie, principalement dans un rayon de 40 km (Pamiers, Foix, Mirepoix, Saverdun, Castelnaudary), et à distance partout en France. Nous réalisons des scans de vulnérabilités commentés dans le cadre de nos audits de cybersécurité. Demandez un devis gratuit ou appelez le 05 32 42 99 98.
