Tenable Nessus opinioni: scansione delle vulnerabilità per PMI

Questo articolo contiene link di affiliazione: se acquisti tramite questi link involuzione.it può ricevere una commissione, senza costi aggiuntivi per te.

Nessus è lo scanner di vulnerabilità di Tenable: un software che analizza server, PC, dispositivi di rete e applicazioni alla ricerca di falle note, configurazioni sbagliate e software non aggiornato. In queste Tenable Nessus opinioni vediamo come si usa nella pratica, quanto costano le edizioni Essentials, Professional ed Expert e soprattutto se ha senso per una PMI italiana, per un consulente IT o per un'agenzia che gestisce i siti dei clienti. Se vuoi guardare subito i dettagli delle licenze, li trovi sul sito ufficiale di Tenable Nessus.

Diciamolo subito: Nessus non è un antivirus e non protegge nulla da solo. Ti dice dove sei vulnerabile e quanto è grave il problema. Correggere resta compito tuo o del tuo tecnico. È uno strumento di diagnosi, e va valutato come tale.

In breve

• Tre edizioni principali: Essentials (gratuita, uso non commerciale, fino a 5 IP), Professional e Expert (a pagamento, IP illimitati da un singolo scanner).
• Copertura ampia: Tenable dichiara oltre 336.000 CVE coperte e più di 450 modelli di scansione preconfigurati.
• Installazione in locale su Windows, Linux, macOS e perfino Raspberry Pi: i dati delle scansioni restano sulla tua macchina.
• Prezzo da azienda: Professional parte da 4.790 dollari l'anno, Expert da 6.790 dollari l'anno.
• Limite principale: è pensato per un singolo scanner e un singolo operatore, senza gestione centralizzata né flussi di correzione integrati.

Come funziona Nessus nella pratica

Nessus si installa come applicazione su una macchina della tua rete: un server, una macchina virtuale, un portatile dedicato. Dopo l'installazione si apre un'interfaccia web nel browser, si inserisce il codice di attivazione e il programma scarica i plugin, cioè i controlli che userà per cercare le vulnerabilità. Il primo download può richiedere un po' di tempo, perché i plugin sono centinaia di migliaia. Le fonti indicano requisiti non banali: almeno 8 GB di RAM consigliati e circa 30 GB di spazio disco per lavorare con tranquillità.

La prima scansione

Il flusso è lineare. Scegli un modello di scansione (per esempio la scansione base della rete, quella per un singolo host o una verifica specifica), indichi gli obiettivi, cioè indirizzi IP, intervalli o nomi host, e avvii. Al termine Nessus mostra l'elenco degli host trovati e, per ciascuno, le vulnerabilità ordinate per gravità: critica, alta, media, bassa e informativa. Cliccando su una voce trovi la descrizione del problema, il riferimento CVE quando esiste, i sistemi coinvolti e la soluzione consigliata, che spesso è un aggiornamento o una modifica di configurazione.

Scansioni con e senza credenziali

Una scansione senza credenziali guarda i sistemi "da fuori": porte aperte, servizi esposti, versioni dichiarate. È utile, ma vede poco. Se fornisci a Nessus le credenziali di accesso ai sistemi (per esempio un account SSH sui server Linux o un account amministrativo su Windows), il programma può controllare le patch installate, il software presente e le impostazioni di sicurezza. I risultati diventano molto più completi e precisi. Per una PMI è la differenza tra un elenco di porte aperte e una fotografia reale dello stato degli aggiornamenti.

Come Nessus ti aiuta a scegliere cosa correggere prima

Il problema tipico di chi fa la prima scansione è trovarsi davanti a centinaia di segnalazioni. Nessus Professional ordina i risultati usando CVSS (il punteggio standard di gravità), EPSS (la probabilità stimata che una vulnerabilità venga sfruttata) e il VPR, l'indice di priorità calcolato da Tenable. Ci sono poi la vista raggruppata, che riunisce problemi simili, e la funzione per posticipare temporaneamente una segnalazione che hai già preso in carico. In pratica puoi partire dalle poche vulnerabilità davvero pericolose invece di inseguire tutto.

Controlli di configurazione e conformità

Professional ed Expert includono policy già pronte per verificare la configurazione dei sistemi rispetto a standard riconosciuti come i benchmark CIS. Per chi deve dimostrare di aver adottato misure di sicurezza adeguate, per esempio verso un cliente, un'assicurazione o in vista di un audit, è uno degli aspetti più utili. Le fonti terze citano l'uso di Nessus in contesti legati a standard come PCI DSS. Nella versione gratuita questi controlli non ci sono.

Report e Live Results

I report sono configurabili ed esportabili in più formati, tra cui PDF e HTML, adatti sia al tecnico sia a chi deve solo capire il quadro generale. La funzione Live Results mostra nuove vulnerabilità rilevate sui dati delle scansioni già fatte non appena arrivano plugin aggiornati, senza dover rilanciare subito la scansione. Molti utenti apprezzano proprio la chiarezza dei report e la facilità con cui si avvia una scansione.

Cosa aggiunge Nessus Expert

Expert comprende tutto Professional e aggiunge tre funzioni pensate per chi lavora anche sul web e sul cloud. La scansione delle applicazioni web, fino a 5 applicazioni ogni 90 giorni secondo la documentazione di licenza. La scoperta della superficie di attacco esterna, cioè la ricerca di domini e servizi esposti su internet che magari avevi dimenticato, fino a 5 domini ogni 90 giorni. Infine la scansione dell'Infrastructure as Code, utile solo se gestisci l'infrastruttura con file di configurazione come Terraform. Per un'agenzia web o un consulente che segue siti di clienti, le prime due funzioni sono le più interessanti.

Prezzi di Nessus: Essentials, Professional ed Expert

Tenable pubblica i prezzi in dollari statunitensi sul proprio negozio online. Le licenze sono annuali, con sconto per chi acquista due o tre anni insieme.

Prezzi verificati il 4 ottobre 2026: possono cambiare, controlla il listino aggiornato sul sito ufficiale.

Le licenze pluriennali riducono il costo annuo: Professional costa 13.637,54 dollari per tre anni, Expert 19.304,19 dollari per tre anni. A parte si possono aggiungere il supporto avanzato (400 dollari l'anno, con assistenza 24 ore su 24 via telefono, email e chat) e la formazione on demand (da 275 dollari l'anno). I prezzi in euro e il trattamento dell'IVA dipendono dal canale di acquisto, quindi conviene verificarli al momento dell'ordine sulla pagina di acquisto di Tenable. Prima di comprare puoi provare Professional ed Expert con una versione di prova gratuita, che ha però alcune limitazioni (per esempio niente pianificazione delle scansioni e niente controlli di conformità).

Un chiarimento importante su Essentials: secondo la pagina ufficiale è riservata all'uso personale o non commerciale. Non è quindi una scorciatoia legittima per mettere in sicurezza la rete di un'azienda, anche piccola. Va benissimo per imparare, per fare pratica su un laboratorio di casa o per capire se lo strumento ti piace.

Nessus opinioni: pro e contro segnalati dagli utenti

Mettendo insieme la documentazione ufficiale e le recensioni pubblicate su piattaforme come Capterra e su siti specializzati, emergono punti ricorrenti.

Pro

• Copertura molto ampia delle vulnerabilità note e aggiornamenti dei plugin frequenti.
• Interfaccia considerata semplice: la prima scansione si avvia in pochi minuti.
• Report chiari ed esportabili, utili da consegnare a un cliente o alla direzione.
• IP illimitati con una sola licenza: per un consulente che lavora su molte reti il costo per cliente scende.
• Installazione locale, anche su hardware modesto come un Raspberry Pi, con i dati che restano sotto il tuo controllo.
• Controlli di conformità già pronti, basati su standard riconosciuti.

Contro

• Prezzo alto per una piccola azienda, soprattutto se la scansione si fa poche volte l'anno.
• Un solo scanner e nessuna console centrale: per più sedi o più scanner serve un prodotto superiore di Tenable.
• Niente agenti da installare sui dispositivi e storico limitato: seguire l'andamento delle vulnerabilità nel tempo è scomodo.
• Nessun sistema integrato di ticket o di assegnazione delle correzioni.
• Alcuni utenti segnalano falsi positivi occasionali, in particolare su sistemi Linux molto personalizzati.
• Le possibilità di automazione via API sono giudicate limitate da chi vuole integrarlo in flussi di sviluppo continui.

Per chi è adatto Nessus e per chi no

È adatto a consulenti di sicurezza e system integrator che fanno assessment per più clienti, a fornitori di servizi IT gestiti, ai reparti IT interni di aziende medie che vogliono controlli periodici e report documentati, e alle aziende che devono rispondere a richieste di conformità da parte di clienti, partner o assicurazioni. Per un'agenzia web che gestisce molti siti, Expert ha senso perché aggiunge la scansione delle applicazioni web e la mappatura dei domini esposti.

È meno adatto alla piccola impresa con cinque PC e un sito vetrina, che non ha nessuno in grado di leggere i risultati e applicare le correzioni. In quel caso la spesa annua rischia di produrre un report che resta nel cassetto. Meglio partire dalle basi: aggiornamenti automatici, un buon antivirus aziendale come Bitdefender, password gestite in modo serio (ne parliamo nella guida su come gestire le password aziendali) e accessi remoti protetti, temi che trovi raccolti nella sezione VPN e sicurezza. Oppure affidare una scansione periodica a un consulente che ha già la licenza.

Non è adatto nemmeno alle aziende grandi o distribuite su molte sedi, che hanno bisogno di più scanner coordinati, agenti sui dispositivi e storico centralizzato: per loro Tenable propone piattaforme come Tenable Vulnerability Management o Tenable Security Center, con costi e logiche diverse.

Alternative a Nessus

• OpenVAS / Greenbone Community Edition: scanner open source e gratuito, nato proprio da una vecchia versione di Nessus. Richiede più competenza per installazione e manutenzione, ma azzera il costo di licenza. È l'alternativa più citata per chi ha budget ridotto e un tecnico interno.
• Qualys e Rapid7 InsightVM: piattaforme di gestione delle vulnerabilità in cloud, con agenti, dashboard centralizzate e storico. Più complete per aziende strutturate, ma con prezzi su preventivo.
• Prodotti superiori di Tenable: se ti serve gestire più scanner e seguire le correzioni nel tempo, il passo successivo naturale è Tenable Vulnerability Management.

Per un riepilogo con valutazioni sintetiche puoi consultare anche la nostra scheda di Tenable Nessus.

Domande frequenti

Nessus Essentials è ancora gratuito?

Sì. Essentials è ancora disponibile gratuitamente per uso personale o non commerciale, con un limite di 5 indirizzi IP e una licenza di 30 giorni che si può riscaricare (senza conservare i dati delle scansioni). Non include report, esportazioni, controlli di conformità e supporto, e riceve i plugin con 30 giorni di ritardo.

Posso usare Nessus Essentials nella mia azienda?

No, secondo la pagina ufficiale Essentials è riservato all'uso non commerciale. Per un'attività professionale serve Nessus Professional o Expert. Anche la versione Essentials Plus a 199 dollari l'anno è indicata per uso non commerciale.

Quanto costa Nessus Professional?

Il listino ufficiale indica 4.790 dollari per un anno, con IP illimitati da un singolo scanner. Expert costa 6.790 dollari l'anno. Supporto avanzato e formazione sono a pagamento a parte.

Nessus fa anche penetration test?

No. Nessus individua vulnerabilità note e configurazioni deboli, ma non tenta di sfruttarle come farebbe un penetration tester. Spesso le due attività si combinano: la scansione dà il quadro generale, il test manuale verifica i punti critici.

Ogni quanto conviene fare una scansione?

Non esiste una regola unica. Una buona pratica è scansionare dopo ogni modifica importante della rete o dei server e comunque a intervalli regolari, per esempio mensili. Con Professional puoi pianificare le scansioni in modo che partano da sole.

Verdetto finale

Le opinioni su Nessus convergono su un punto: è uno scanner maturo, preciso nella maggior parte dei casi e facile da avviare, con report che si capiscono. Il suo limite è il modello a singolo scanner, che lo rende ideale per consulenti e team IT interni, meno per aziende distribuite. Il prezzo è alto per una micro impresa, ma ragionevole per chi lo usa su molte reti o deve documentare la propria sicurezza.

Il consiglio pratico: prova Essentials o la versione di prova per capire se riesci a gestire i risultati, poi valuta Professional se ti serve uno scanner completo per la rete aziendale ed Expert se segui anche siti e applicazioni web. Trovi listino aggiornato e prova gratuita sul sito di Tenable Nessus.