Часто нужно узнать всю информацию о какой-нибудь уязвимости: насколько найденный баг критичен, есть ли готовые сплоиты, какие вендоры уже выпустили патчи, каким ****ером проверить наличие бага в системе. Раньше приходилось иcкать вручную по десятку источников (CVEDetails, SecurityFocus, Rapid7 DB, Exploit-DB, базы уязвимостей CVE от MITRE/NIST, вендорские бюллетени) и анализировать собранные данные. Сегодня эту рутину можно (и нужно!) автоматизировать с помощью специализированных сервисов. Один из таких — Vulners, крутейший поисковик по багам. А главное — бесплатный и с открытым API. Посмотрим, чем он может быть нам полезен.
Что это такое
Vulners — это очень большая и непрерывно обновляемая база данных ИБ-контента. Сайт позволяет искать уязвимости, эксплоиты, патчи, результаты bug bounty так же, как обычный поисковик ищет сайты. Vulners агрегируeт и представляет в удобном виде шесть основных типов данных:
- Популярные базы уязвимостей. Они содержат общие описания уязвимостей и ссылки на источники. Например, известная Пожалуйста, Вход или Регистрация для просмотра содержимого URL-адресов!американского агентства MITRE и института NIST. Но, помимо информации из нее, в Vulners добавляются общие описания уязвимости и других исследовательских центров и центров реагирования:Пожалуйста, Вход или Регистрация для просмотра содержимого URL-адресов!,Пожалуйста, Вход или Регистрация для просмотра содержимого URL-адресов!,Пожалуйста, Вход или Регистрация для просмотра содержимого URL-адресов!,Пожалуйста, Вход или Регистрация для просмотра содержимого URL-адресов!,Пожалуйста, Вход или Регистрация для просмотра содержимого URL-адресов!, Positive Technologies, ERPScan.
- Вендорские бюллетени безопасности. Это баг-репорты, которые пишут сами вендоры об уязвимостях в своих продуктах. Сейчас это разнообразные дистрибутивы Linux (Red Hat CentOS, Oracle Linux, Arch Linux, Debian, Ubuntu, SUSE), FreeBSD, сетевые устройства (F5 Networks, Cisco, Huawei, Palo Alto Networks) и популярные и критичные программы (OpenSSL, Samba, nginx, Mozilla, Opera), в том числе и CMS (WordPress, Drupal).
- Эксплоиты из Exploit-DB и Metasploit. Они парсятся и сохраняются полностью, с исходниками (их можно сразу смотреть в удобном редакторе).
- Nessus-плагины для детекта уязвимостей. Легко посмотреть, можно ли найти ту или иную уязвимость при ****ировании сети этим популярным ****ером.
- Дисклозы багов с сайтов bug bounty программ. В Vulners поддерживаются записи с HackerOne.
- Публикации на тематических ресурсах. Собираются данные с Threatpost и rdot.org, где часто освещают темы, связанные с уязвимoстями.
Пожалуйста,
Вход
или
Регистрация
для просмотра содержимого URL-адресов!
Вендоры, от которых собирается и анализируется инфа в Vulners
В отличие от других баз, которые описывают баги в специальном формализованном виде (например, на языке OVAL-баз
Пожалуйста,
Вход
или
Регистрация
для просмотра содержимого URL-адресов!
илиПожалуйста,
Вход
или
Регистрация
для просмотра содержимого URL-адресов!
), Vulners хранит данные в формализованном виде и автоматически устанавливает связи между ними, быстро ищет и красиво отображает результаты поиска. Что с этим делать, целиком зaвисит от фантазии конечного пользователя.Кто и на чем пишет Vulners?
Vulners пилят на энтузиазме в свободное от основной работы время пять человек:
- Кирилл «Пожалуйста, Вход или Регистрация для просмотра содержимого URL-адресов!» Ермаков пишет ядро и админит;
- Игорь «Пожалуйста, Вход или Регистрация для просмотра содержимого URL-адресов!» пишет поиск;
- Ваня «Пожалуйста, Вход или Регистрация для просмотра содержимого URL-адресов!» пишет фронт;
- Саша «Пожалуйста, Вход или Регистрация для просмотра содержимого URL-адресов!» пишет роботов-сборщиков;
- Пожалуйста, Вход или Регистрация для просмотра содержимого URL-адресов!пишет статьи и аналитику.
Весь движок Vulners написан на Python + Django, в качестве базы взята MongoDB + Elasticsearch. MongoDB используется только для закладки данных роботами — сборщиками информации, Elasticsearch только для фронтенда. Деплой производится с Bitbucket’а скриптом. Масштабирование заложено прямо в ядре: MongoDB и Elasticsearch шардятся. Фабрика роботов написана хостонезависимой и может гоняться отдельно от всего проекта. Одна из крутых фишек — ребята уже полностью перешли на Python 3.5+ и
Пожалуйста,
Вход
или
Регистрация
для просмотра содержимого URL-адресов!
в своем проекте. Так что поиск не всегда работает точно, но всегда очень быстро 
.На текущий момент в базе Vulners 319 557 бюллетеней и 144 684 эксплоита. А занимает все это в базе меньше 2 Гбайт. Такая компактность достигается за счет дедупликации и упаковывания. Все лежит в оперативной памяти, поэтому скорость поиска значительно увеличивается. Стоит упомянуть и то, что Vulners защищается WAF Wallarm, работающим в блокирующем режиме.
Пожалуйста,
Вход
или
Регистрация
для просмотра содержимого URL-адресов!
Архитектура Vulners
Выводы
Vulners — уникальный и незаменимый помощник любому хакеру и безопаснику. Он очень сильно экономит время при исследовании и эксплуатации сложных векторов атак. Конечно, инструмент только развивается, но уже сейчас он вполне юзабелен. А что еще более важно, Vulners открытый и бесплатный для конечного пользователя и всегда будет таким.