セキュリティスキャンは継続的に行うべきだと考えています。毎日、毎週、毎月、四半期ごとではありません。
セキュリティスキャンを継続的に実行するメリットは次のとおりです。
NERVEはこの問題に対処するために作られました。商用ツールも優れていますが、重く、拡張性が低く、コストがかかります。
NERVEは、特定のアプリケーション設定、ネットワークサービス、および未パッチのサービスにおける、簡単に見つけられる脆弱性（ローハンギングフルーツ）の発見に特化した脆弱性スキャナです。
NERVEの検出機能の例：
これはQualys、Nessus、OpenVASの代わりにはなりません。認証スキャンは行わず、ブラックボックスモードのみで動作します。
NERVEは以下の機能を提供します：
グラフィカルユーザーインターフェースは主に使いやすさのためにまとめましたが、本格的なユーザーインターフェースを作成するよりも、検出と新しいシグネチャに重点を置いていきます。
サーバーインストール（CentOS 7.xおよびUbuntu 18.xでテスト済み）を選択した場合、install/setup.shスクリプトを使用することで、NERVEは自動的にすべての前提条件をインストールします。また、便利なDockerfileも用意されています。
ベアメタルでの初期セットアップ（パッケージインストールなど）には、NERVEはrootアクセスが必要であることに注意してください。
NERVEの実行に必要なサービスとパッケージ：
インストールスクリプトがすべてを処理しますが、自分でインストールする場合はこれらが必要であることを覚えておいてください。
最良の導入方法は、複数のリージョン（例：複数の国に複数のNERVEインスタンス）からインフラストラクチャに対して実行し、継続的モードを有効にして、動的な環境/クラウドにおける短命な脆弱性をキャッチすることです。
通常、NERVEがスキャンを開始するIPアドレスをホワイトリストに登録しないことを推奨します。これにより、攻撃者の立場からインフラストラクチャを真にテストできます。
NERVEをかなり軽量にするために、Redis以外のデータベースは使用していません。
脆弱性を長期間保存したい場合は、Webhook機能を使用することをお勧めします。各スキャンサイクルの終了時に、NERVEは選択したエンドポイントにJSONペイロードを送信し、それをデータベースに保存してさらに分析できます。
最適な結果を得るために推奨する大まかな手順は次のとおりです：
POST /api/scan/submit）を呼び出し、手順2で収集した資産を使用してスキャンをスケジュールします。git clone [email protected]:PaytmLabs/nerve.git && cd nerve
docker build -t nerve .
docker run -e username="YOUR_USER" -e password="YOUR_PASSWORD" -d -p 80:8080 nerve
ブラウザで http://ip.add.re.ss:80 にアクセスし、前のコマンドで指定した認証情報でログインします。
cd /opt/
git clone [email protected]:PaytmLabs/nerve.git && cd nerve
bash install/setup.sh
systemctl status nerve
ブラウザで http://ip.add.re.ss:8080 にアクセスし、ターミナルに表示された認証情報を使用します。
マルチノード展開でNERVEをインストールする場合は、通常のベアメタルインストール手順に従った後、以下を行います：
RDS_HOST を、すべてのNERVEインスタンスが報告する中央のRedisサーバーを指すように変更します。service nerve restart または systemctl restart nerve を実行して設定を再読み込みします。apt-get remove redis / yum remove redis を実行します（Linuxディストリビューションに応じて）。
NERVEインスタンスがRedisと通信できるように、Redisインスタンスのポート3769へのインバウンドアクセスを許可することを忘れないでください。プラットフォームをアップグレードする場合、最も速い方法は、設定などの重要なファイルを保持しながら、単純にgit cloneしてすべてのファイルを上書きすることです。
config.py のコピーを作成します。/opt/nerve を削除し、再度git cloneします。config.py ファイルを /opt/nerve に戻します。systemctl restart nerve を使用してサービスを再起動します。NERVEを自動アップグレードするcronタスクを設定することもできます。最新バージョンかどうかを確認するAPIエンドポイントが用意されています：GET /api/update/platform
NERVEにはいくつかのセキュリティメカニズムが実装されていることに注意してください。
セキュリティの脆弱性を発見した場合は、GitHubでバグを報告してください。
インストールの前後に以下の手順を実行することをお勧めします。
NERVE（GUI、APIなど）について学ぶには、プラットフォームから利用可能なドキュメントを確認することをお勧めします。 導入後、認証して左側のサイドバーにあるAPIおよびGUIの使い方に関するドキュメントリンクを見つけてください。
MITライセンスの下で配布されています。詳細はLICENSEを参照してください。
🏆 NERVEはこれまで様々な場所で紹介されています。ここにいくつかのリンクを掲載します。
