tenable.com<\/a> und dem Einlösen des Aktivierungscodes lädt Nessus automatisch alle Plugins herunter. Dieser Prozess dauert 10 bis 20 Minuten. Danach kann der erste Scan gestartet werden, ohne weitere Konfiguration.<\/p>\n\n\n\nFalse-Positive-Rate: Warum das im Alltag mehr zählt als reine CVE-Abdeckung<\/h2>\n\n\n\n
Security-Teams, die täglich mit Scan-Ergebnissen arbeiten, kennen das Problem: Ein Scanner, der 1.500 Findings meldet, von denen 600 False Positives sind, kostet das Team mehr Zeit als ein Scanner, der 1.000 verifizierte Findings liefert. Die False-Positive-Rate entscheidet darüber, wie viel manuelle Analysearbeit nach jedem Scan anfällt.<\/p>\n\n\n\n
Tenable bewirbt für Nessus eine “Better than Six-Sigma Accuracy”. Six Sigma entspricht statistisch einer Fehlerrate von weniger als 3,4 pro Million Prüfungen. In der Praxis bedeutet das: Von 1.000 gemeldeten Findings sind statistisch weniger als 0,0034 Prozent False Positives. Auch wenn diese Zahl aus dem Marketingbereich stammt, bestätigen unabhängige Berichte aus Security-Operations-Centern durchweg, dass Nessus deutlich weniger manuelle Nacharbeit erzeugt als OpenVAS.<\/p>\n\n\n\n
Greenbone beschreibt OpenVAS auf seiner eigenen Vergleichsseite als Produkt mit “guter False-Positive-Rate”. Die Formulierung ist bewusst vorsichtig. In der Praxis berichten Teams, die von Nessus zu OpenVAS wechselten, häufig von einem spürbaren Anstieg der Findings-Volumina, den sie erst nach mehrw\u00f6chiger Kalibrierung der Scan-Konfigurationen auf ein managebares Niveau reduzieren konnten. Der Grund liegt in der unterschiedlichen Qualitätskontrolle der Prüfregeln: Tenables Plugin-Team besteht aus spezialisierten Vulnerability-Researchers, die jedes Plugin vor der Veröffentlichung validieren. OpenVAS' Community-Feed hat einen breiteren Beitragerprozess, der zu inkonsistenterer Plugin-Qualität führen kann.<\/p>\n\n\n\n
Für Teams, die Findings direkt an Entwickler oder Operations weiterleiten, ist die False-Positive-Rate oft wichtiger als die Gesamtzahl der erkannten CVEs. Ein Entwickler, der dreimal pro Woche False-Positive-Tickets schließen muss, verliert schnell das Vertrauen in den Scanner. Nessus' Qualitätsvorteil in diesem Bereich ist real und sollte in die Total-Cost-of-Ownership-Kalkulation einflieden.<\/p>\n\n\n\n
Unterstützte Betriebssysteme, Protokolle und Dienste im Vergleich<\/h2>\n\n\n\n
Ein Vulnerability Scanner ist nur so gut wie die Zieldienste, die er prüfen kann. Beide Tools unterstützen eine breite Palette von Betriebssystemen und Netzwerkprotokollen, aber mit unterschiedlichen Schwerpunkten.<\/p>\n\n\n\n
Nessus scannt standardmäßig folgende Dienste und Protokolle: Windows (alle aktuellen Versionen inkl. Server), Linux (alle gängigen Distributionen), macOS, Cisco IOS\/NX-OS, Juniper JunOS, Palo Alto PAN-OS, Datenbanken (MySQL, PostgreSQL, Oracle, MSSQL), Webserver (Apache, nginx, IIS), VMware-Infrastruktur und Cloud-Dienste (im Expert-Tier AWS, Azure, GCP). Die breite Protokollunterstützung umfasst SSH, SMB, WMI, SNMP, HTTP\/HTTPS, FTP, SMTP, IMAP und viele weitere.<\/p>\n\n\n\n
OpenVAS bietet in der Community Edition ebenfalls eine große Protokollbandbreite, mit Schwerpunkt auf Linux- und Open-Source-Zielsystemen. Die Unterstützung für Windows-Authentifizierung ist vorhanden (SMB, WMI), erfordert aber mehr Konfigurationsarbeit als bei Nessus. Für proprietäre Netzwerkgeräte (Cisco, Juniper, Palo Alto) ist die NVT-Abdeckung in der Community Edition dünner als bei Nessus' kommerziellen Plugins.<\/p>\n\n\n\n
Ein konkreter Unterschied, der in Unternehmensumgebungen häufig zum Tragen kommt: Nessus unterstützt für Windows-Authenticated-Scans sowohl WMI als auch das Nessus-Agent-Modell, bei dem ein leichtgewichtiger Agent direkt auf Endpunkten läuft und Scan-Ergebnisse ohne Netzwerkscanning liefert. OpenVAS bietet agentenloses Scanning, aber kein vergleichbares Agent-Deployment-Modell für Windows-Umgebungen.<\/p>\n\n\n\n
Die langfristige Verlässlichkeit eines Security-Tools hängt von der Entwicklungsgeschwindigkeit ab, mit der neue Schwachstellen abgedeckt werden. Hier unterscheiden sich Nessus und OpenVAS strukturell.<\/p>\n\n\n\n
Nessus<\/strong> wird von Tenables internem Forschungsteam weiterentwickelt. Das Unternehmen ist börsennotiert und investiert erheblich in die Plugin-Entwicklung. Tenable gibt an, innerhalb von 24 Stunden nach Veröffentlichung einer kritischen Schwachstelle ein entsprechendes Plugin bereitzustellen. Für Zero-Day-Schwachstellen, die aktiv ausgenutzt werden, ist diese Reaktionsgeschwindigkeit ein entscheidender Sicherheitsvorteil.<\/p>\n\n\n\n