Cloudflare komt met aangepaste open source-versie van Nmap-scanner

Cloudflare heeft een eigen scanner voor kwetsbaarheden uitgebracht. De Flan Scan is een open source Nmap-scanner met een aantal extra functionaliteiten. De tool kan worden gebruikt om bekende kwetsbaarheden in software of servers op te sporen.

De code van Cloudflares scanner staat op GitHub. Cloudflare schrijft in een blogpost dat het bedrijf altijd veel geld betaalde voor een scanner om zijn toepassingen compliant te maken, maar dat het veel van de dure functies daarvan amper gebruikte. Dergelijke beveiligingsscanners worden gebruikt om applicaties op het netwerk van Cloudflare te scannen op kwetsbaarheden, zodat het bedrijf sneller kan optreden tegen zulke kwetsbaarheden. In de praktijk lijkt het erop dat de tool voornamelijk kwetsbaarheden vergelijkt met een database met CVE's erin.

De Flan Scan is een vrij eenvoudige wrapper van de Nmap-scanner. Cloudflare zegt dat Nmap de beste tool was om de scanner te bouwen, omdat Nmap nauwkeuriger is en meer kwetsbaarheden opspoort. Het bedrijf heeft er bovendien nog de mogelijkheid aan toegevoegd om de resultaten direct op te slaan in een Google Cloud of AWS S3-bucket. Ook draait Flan Scan in een Docker-container. Een ander groot verschil met Nmap is dat de scanner via Python een resultaat naar LaTeX-rapportages kan wegschrijven. Gebruikers lijken vooralsnog niet erg onder de indruk: op Reddit schrijven gebruikers dat de tool voornamelijk nog oude resultaten vindt.

Reacties (20)

[Verwijderd]

De titel wekt door de schrijf wijze sterk de indruk dan Nmap zelf niet open-source is. Hierom maak ik graag even duidelijk dat dat zeker niet het geval is en Nmap zelf ook een open-source programma is. De source is hier te vinden: https://github.com/nmap/nmap en het programma is beschikbaar gemaakt onder de GPLv2 licentie.

[TijsZonderH]

Ja, daar heb je wel gelijk in. Ik dacht dat 'eigen' dat wel duidelijk zou maken, maar daar heb ik nu 'aangepaste' van gemaakt.

[MsG]

Het lijkt nu nog steeds wat verwarrend. Ik zou iets als "Cloudflare komt met aangepaste versie van open-source scanner Nmap." Immers dat de aangepaste versie ook open source is, is al evident vanwege de GPL-licentie die aan het project hangt.

[mkools24]

Inderdaad die aanpassing heeft niet veel geholpen.

[Waarnemer]

Zou het niet moeten zijn: "CloudFlare forked Nmap en voegt eigen truukjes toe"

[unreal0]

Inderdaad. Ik lees de titel nog steeds alsof Nmap niet open source is

[mbb]

Tja, het blijft lastig om goed te verwoorden:
"De Flan Scan is een open source Nmap-scanner " kan impliceren dat NMap een type scanner is, en dat een van de verschillen is dat deze versie opensource is (in tegenstelling tot ander Nmap scanners). Ik zou zelf ook niet direct weten hoe dit kort en duidelijk te verwoorden, schrijver zijn is blijkbaar echt een vak.

Overigens wist ik het zelf wel, en ben ik vooral benieuwd waarom ze hebben gekozen voor een eigen fork in plaats van een bijdrage upstream.

[djvdorp]

"op Reddit schrijven gebruikers dat de tool voornamelijk nog oude resultaten vindt." is niet helemaal helder omschreven, leest een beetje alsof de scans niet real-time zouden zijn of stale/oude resultaten zou geven; echter wat men zegt is:

"I got a large number of reports for a Debian system running Apache. These were all old vulnerabilities where fixes were backported to Debian's packages, so these are false positives. Also got a warning for another server about the recent XMSS issue in OpenSSH, which is code that is disabled by default (and disabled on the scanned server)."

[kodak]

Dit soort false-positives zijn niet ongewoon als er alleen op versienummers gelet is. Dan ga je bij backports natuurlijk geen goede resultaten krijgen als de ontwikkelaar van de originele software het in een nieuwere versie heeft opgelost. Ook zegt een versienummer ook weinig over wat er echt is geconfigueerd. Daarom is het ook belangrijk om zowel te weten waarop een scantool wel en niet test om tot een resultaat te komen en wat je op je gescande systeem in gebruik hebt en wat daarin is opgelost.

[smiba]

Lijkt me gewoon wat OpenVAS doet alleen wat simpeler en minimaler?

[The Zep Man]

De tool nmap richt zich meer op netwerken in kaart brengen. Er zijn wat scripts om te testen voor kwetsbaarheden, maar dit is vaak wat oppervlakkig.

Een tool als OpenVAS richt zich wat minder op het in kaart brengen van netwerken en juist meer op het vinden van kwetsbaarheden.

Beide tools hebben dus wat overlap, maar zijn elk op hun eigen gebied gespecialiseerd.

[Reactie gewijzigd door The Zep Man op 23 juli 2024 02:04]

[smiba]

Ik heb het over de tool van cloudflare, dat is nmap maar dan met vulnerability scanner. Wat dus eigenlijk basically OpenVAS is

[Verwijderd]

Nmap heeft ook standaard een vulnerability scanner: nmap --script vuln

[iRobbery]

Openvas gebruikt nmap.

[nopcode]

Dit lijkt me pure marketing.

Die functionaliteit krijg je met een bash script van 5 lijntjes...

[djwice]

Welke 5 bash lijntjes dan?

[Batiatus]

Het is wachten op de eerste S3 bucket die niet goed beveiligd is waar de lijst aan kwetsbaarheden automatisch in worden gezet door de tool .

Ben wel benieuwd, mogelijk dus een vervanger voor Nessus en OpenVas, als het een beetje gebruiksvriendelijk is.

[kozue]

Doet er niet zo veel toe. Iedereen kan de scanner zelf draaien en die lijst zelf genereren. En als het servers zijn waar je niet bij kunt om zelf te scannen kun je er ook niet bij om de lekken te misbruiken.

[djwice]

Zou wel heel stom wezen, nieuwe buckets staan standaard dicht en je krijgt meldingen als ze open gezet worden én je kunt automatisch rapportages krijgen m.b.t. die state (en in de S3 console zie je het ook direct).

Dus bewust zo'n bucket open zetten én open laten... why?

[WhiteDog]

Kortom, een script dat wat (beschreven) basic commando's uitvoert om te testen of je vatbaar bent voor gekende vulnerabilities. Handig.

De buzzwords en overige bloat hadden verder niet gemoeten