Openvas Config Port Lists
Port Lists in GVM
Eine Port List legt fest, welche Ports der Scanner beim Erkennen von Diensten überhaupt anfasst. Sie wird im Target ausgewählt und ist der wirksamste Hebel für die Scandauer: Wer den Portbereich halbiert, halbiert grob auch die Laufzeit.
GVM bringt mehrere vordefinierte Listen mit. Eine eigene lohnt sich, wenn immer dieselben Dienste geprüft werden – etwa eine DMZ, in der nur Web- und Mailports offen sein dürfen. Dann ist der Scan schnell und der Report enthält nichts, was ohnehin nicht relevant ist.
Syntax der Port Ranges
Der Ausdruck besteht aus kommagetrennten Angaben. Ein vorangestelltes T: steht für TCP, U: für UDP; die Angabe gilt bis zum nächsten Präfix.
T:1-5,7,9,U:1-3,5,7,9
Weitere Beispiele:
T:1-65535 alle TCP-Ports
T:22,25,80,443 nur einzelne Dienste
T:1-1024,U:53,161 privilegierte TCP-Ports plus DNS und SNMP
Ohne Präfix wird TCP angenommen. Bei From file enthält die Datei denselben Ausdruck bzw. eine Angabe pro Zeile.
| Feld | Wert | Pflicht | Anmerkung |
|---|---|---|---|
| Name | z.B. DMZ Webdienste |
ja | "Unnamed" ersetzen |
| Comment | frei | nein | welcher Bereich abgedeckt wird |
| Port Ranges | Manual oder From file |
ja | Syntax siehe oben |
Vordefinierte Listen
| Liste | Umfang | Einsatz |
|---|---|---|
| All IANA assigned TCP | ca. 5.000 Ports | Voreinstellung im Target |
| All IANA assigned TCP and UDP | zusätzlich UDP | deutlich langsamer |
| All TCP and Nmap top 100 UDP | 65.535 TCP | vollständig, für gründliche Prüfungen |
| All privileged TCP | 1–1023 | schneller Überblick |
| OpenVAS Default | engere Auswahl | kurze Durchläufe |
ℹ️ Hinweis: UDP-Scans sind aufwendig, weil geschlossene Ports meist gar nicht antworten und der Scanner auf Zeitüberschreitungen warten muss. Ein voller UDP-Bereich kann einen Scan um Stunden verlängern – für UDP daher gezielt einzelne Ports angeben statt Bereiche.
ℹ️ Hinweis: Ein häufiger Fehler: Der Dienst läuft auf einem Port außerhalb der gewählten Liste, etwa ein Webserver auf 8443. Der Scan meldet dann nichts, obwohl das System verwundbar ist. Vor dem Einengen der Portliste lohnt ein einmaliger Vollscan, um zu sehen, was tatsächlich lauscht.