מהי Nessus?
Nessus היא מערכת סריקות פגיעויות (Vulnerability Scanner) מבית Tenable, אשר נחשבת לאחת
הפלטפורמות הפופולריות והאמינות ביותר בתחום אבטחת המידע.
Nessus משמשת לאיתור חולשות (Vulnerabilities), תצורות שגויות (Misconfigurations), דלתות אחוריות,
שירותים חשופים, בעיות הרשאות, במחשבים, שרתים, ציוד רשת ואפליקציות.
לפי Tenable, למעלה מ־30,000 ארגונים ברחבי העולם משתמשים ב־Nessus, כולל גופים ממשלתיים,
מוסדות פיננסיים, מערכות בריאות, תעשיות ביטחוניות וארגונים מסחריים.
כיצד Nessus פועלת?
Nessus מבצע סריקה אקטיבית של הרשת והמערכות, על פי חתימות ונקודות בדיקה (plugins) המוגדרות מראש.
הסריקה מתבצעת כך:
איתור היעדים (Targets): באמצעות סריקה של טווחי IP או שמות מארחים.
זיהוי שירותים פתוחים: בדומה ל־Nmap, Nessus מאתר פורטים פתוחים ושירותים שרצים.
זיהוי מערכת הפעלה וגרסאות שירותים.
השוואה למאגר פגיעויות (CVE, CPE, NVD).
בדיקת חולשות ותצורות שגויות לפי Plugins.
דו״ח סופי לפי רמת חומרה (קריטי, גבוה, בינוני, נמוך, אינפורמטיבי).
Nessus כוללת עדכוני Plugins תכופים שמתבססים על מאגר CVE, פלטפורמות כמו CERT
ו־ExploitDB, וניתוח אקטיבי של Tenable.
סוגי סריקות של מערכת Nessus
Nessus תומכת בסוגים רבים של סריקות:
| סוג סריקה | תיאור |
| סריקת רשת (Network) | איתור פורטים פתוחים, שירותים חשופים, בניינים רשתיים. |
| סריקת מערכות הפעלה | זיהוי גרסאות OS ו־Patch level. |
| סריקת אפליקציות Web | גילוי SQL Injection, XSS, בעיות אימות/Session, תוספים חשופים. |
| סריקת Credentialed | עם הרשאות – בדיקה עמוקה בתוך מערכת ההפעלה. |
| סריקת תצורות (CIS Benchmarks) | בדיקה מול תקני אבטחה לתצורת מערכות (Windows, Linux, וכו׳). |
| סריקות מותאמות אישית | לפי פרופיל ארגוני או סביבת ענן. |
למי Nessus מתאים?
אנשי אבטחת מידע ו־CISO בארגונים.
אנשי DevSecOps שמעוניינים לשלב בדיקות פגיעויות בצנרת CI/CD.
בודקי חדירה (Penetration Testers).
אנשי IT שרוצים לאתר תצורות לא תקינות.
צוותי SOC/Blue Team.
גרסאות Nessus
| גרסה | תיאור |
| Nessus Essentials | חינמית, מוגבלת ל־16 IP. מיועדת ללמידה ולשימושים אישיים. |
| Nessus Professional | גרסה מסחרית מלאה לסריקות מקיפות בארגונים. |
| Nessus Expert | כוללת גם סריקות קוד פתוח, IaC, DevOps וכלי ניתוח מתקדם. |
| Tenable.io | פתרון SaaS מבית Tenable הכולל Nessus כחלק מפלטפורמת ניהול סיכונים רחבה. |
עלויות Nessus
Nessus Professional: החל מ־3,590 דולר לשנה (נכון ל־2025).
Nessus Expert: החל מ־5,990 דולר לשנה.
Nessus Essentials: חינם.
Tenable.io: תמחור לפי נפח נכסים.
יתרונות Nessus
כיסוי רחב של מעל 80,000 בדיקות פגיעות.
עדכונים תכופים למאגר הפגיעויות.
ממשק משתמש נוח וידידותי יחסית.
תמיכה במגוון מערכות הפעלה (Windows, Linux, macOS, ועוד).
תמיכה בסריקות מבוססות הרשאות.
שילוב קל עם מערכות אחרות (SIEM, Syslog, API).
חסרונות Nessus
מחיר גבוה יחסית לכלים חינמיים כמו OpenVAS.
חסר מודול ניתוח מתקדם בלי Tenable.io או גרסאות Enterprise.
סריקות עלולות להפריע למערכות רגישות ודורש תיאום מוקדם.
מוגבלות בהוספת Plugins מותאמים אישית בגרסה Essentials.
השוואת Nessus עם כלים אחרים
| כלי | יתרון עיקרי | חסרון עיקרי |
| Nessus | אמינות גבוהה, כיסוי נרחב | עלות גבוהה |
| OpenVAS | קוד פתוח, חינמי | פחות עדכונים, כיסוי מצומצם יותר |
| Qualys | פלטפורמה עננית, ניהול נכסים | יקר מאוד, תמחור לפי Agent |
| Rapid7 Nexpose | אינטגרציה עם Metasploit | מורכב יותר לתפעול |
| Burp Suite (Pro) | ניתוח אפליקציות Web לעומק | לא מיועד לסריקות רשת/מערכת |
שאלות ותשובות בנושא Nessus
האם Nessus מזהה Zero-day?
לא ישירות. Nessus מתבסס על מאגר פגיעויות ידועות.
עם זאת, תצורות לא תקינות שמזוהות עשויות לרמז על סיכון להתקפות Zero-day.
האם Nessus מתאים לארגון בענן?
כן. Nessus Expert ו־Tenable.io מותאמים לענן, כולל סריקות IaC
(Infrastructure as Code) וסביבות AWS, Azure, GCP.
האם ניתן להריץ סריקות אוטומטיות?
כן. Nessus תומך בתזמון סריקות, שמירת תבניות סריקה, ודיווחים אוטומטיים בדוא”ל או API.
האם Nessus שומר נתוני סריקה?
כן. ניתן לשמור היסטוריית סריקות, להשוות בין תוצאות וליצור גרפים של שינויי פגיעויות לאורך זמן.
