Параметры настройки и сервисы

Команда scansuite

Установкой управляют одной командой ./scansuite в каталоге /opt/scansuite. Если запустить её без аргументов, она выведет список подкоманд:

Командам резервного копирования посвящён отдельный раздел: Резервное копирование и восстановление.

Обновление

Обновление — это одна команда:

cd /opt/scansuite && ./scansuite update

Она сохраняет копию .env в .env.bak-<дата>, приводит файлы установки к текущему релизу, загружает образы по вашей лицензии, обновляет сервис автозапуска, обновляет базу данных и пересоздаёт только те сервисы, которые изменились. Если вы правили файлы, входящие в релиз, их копии сохраняются в каталоге .replaced-<дата>.

Пример задания cron для еженедельного обновления (редактор открывается командой sudo crontab -e):

0 3 * * 4 cd /opt/scansuite && ./scansuite update --yes > /var/log/scansuite-update.log 2>&1

Какие компоненты устанавливать

По умолчанию ставится только платформа — приложение и DefectDojo, без контейнеров внешних сканеров. Нужные сканеры добавляют параметрами install и update. Выбор сохраняется в .env, и следующие обновления и запуски его придерживаются:

./scansuite update --all-scanners   # все сканеры
./scansuite update --static-only    # только сканеры статического анализа
./scansuite update --dynamic-only   # только сканеры динамического анализа и инфраструктуры
./scansuite update --no-scanners    # без внешних сканеров (по умолчанию)
./scansuite update --no-dojo        # остановить DefectDojo, его данные сохранятся
./scansuite update --with-dojo      # вернуть DefectDojo

Число воркеров не сохраняется: после перезапуска или перезагрузки сервера их снова будет два. Чтобы запустить больше, укажите число явно: ./scansuite start 4.

Файл .env

Настройки конкретного сервера хранятся в файле /opt/scansuite/.env. Установщик создаёт его при первой установке: генерирует пароли, берёт часовой пояс из настроек сервера и записывает выбранный релиз. Файл доступен только владельцу (права 600). Обновления его не перезаписывают, и его обязательно нужно включать в резервные копии. После правки примените изменения командой ./scansuite restart.

zoom_inУвеличить

Сервер Nessus в .env больше не настраивается: его подключает администратор системы в разделе Настройки системы → Общие сервисы. Если в старой установке в .env остались NESSUS_URL, NESSUS_USER и NESSUS_PASS, они один раз переносятся в настройки при первом запуске нового релиза и дальше не читаются.

Пароли базы данных и Redis

PostgreSQL и Redis работают в контейнерах установки, доступны только в её собственной сети Docker (по именам postgres и redis) и наружу не публикуются. Оба пароля генерируются при первой установке. Чтобы сменить пароль, измените PS_DATABASE_PASSWORD или REDIS_PASSWORD и перезапустите ScanSuite: Redis запустится с новым паролем, а пароль учётной записи базы данных будет приведён к новому значению до запуска остальных сервисов.

cd /opt/scansuite && ./scansuite restart

Файлы установки

Сервисы

Установка состоит из контейнеров: nginx (веб-сервер), web (приложение), worker (воркеры сканирований, по умолчанию два), worker_admin (служебные задачи), worker_poc (эксплойты), celery_beat (расписания), postgres, redis, seaweedfs (хранилище файлов) и разовое задание migrate, которое обновляет базу данных. Журнал каждого контейнера ограничен тремя файлами по 20 МБ.

Проверка сервера

Команда ./scansuite doctor проверяет:

• Docker и плагин Compose, свободное место (20 ГБ для образов и 10 ГБ в /var/tmp), порты 80 и 443 и веб-серверы, которые запускаются на сервере автоматически;
• синхронизацию времени, если задан сервер NTP;
• права на .env и отсутствие в нём незаполненных значений, лицензию и срок действия TLS-сертификата;
• подключение к базе данных с паролем из .env, Redis, задание обновления базы, ответ страницы входа через nginx и недавние ошибки в журналах.

Автозапуск

Установка и обновление регистрируют сервис systemd, поэтому ScanSuite запускается вместе с сервером:

systemctl status scansuite
sudo systemctl disable scansuite     # убрать из автозапуска

Сброс баз данных

./scansuite reset db

Удаляет базу данных ScanSuite: результаты сканирований, уязвимости, команды, учётные записи и настройки приложения. Лицензия, .env, ключи шифрования, сертификаты и файлы в хранилище остаются. Затем ScanSuite перезапускается и выводит адрес страницы https://<хост>/setup: первую команду и её администратора нужно создать заново.

./scansuite reset dojo

Удаляет и заново создаёт базу DefectDojo вместе с новым администратором. Подождите несколько минут и узнайте его пароль командой ./scansuite dojo password.

Удаление

./scansuite uninstall останавливает ScanSuite и убирает его из автозапуска. С параметром --purge удаляются и данные ScanSuite: базы данных, Redis и хранилище файлов. Данные DefectDojo и каталог /opt/scansuite при этом остаются.

Перенос образов без доступа к реестру

Если у сервера нет доступа к реестру образов, образы можно подготовить на сервере, где доступ есть. Выполните там первую команду, перенесите каталог на целевой сервер, загрузите образы и установите или обновите ScanSuite с параметром --offline — он не обращается ни к реестру, ни к git:

./scansuite offline save /media/transfer/scansuite-images      # на сервере с доступом к реестру
./scansuite offline load /media/transfer/scansuite-images      # на целевом сервере
./scansuite install <код> --offline                            # или: ./scansuite update --offline

Сохраняется тот же набор образов, что и при обычной установке. При сохранении вычисляются контрольные суммы, при загрузке они проверяются, а --offline остановится и перечислит образы релиза, которых не хватает.