Wiele firm kojarzy skanowanie podatności z rocznym audytem bezpieczeństwa: raz w roku przyjeżdżają audytorzy, uruchamiają skaner i oddają raport pełen czerwonych komórek, a dział IT przez kilka tygodni to naprawia. Potem spokój do następnego roku.
Problem w tym, że między dwoma audytami mija dwanaście miesięcy. W tym czasie producenci publikują tysiące nowych podatności, a atakujący zaczynają je wykorzystywać w ciągu dni, nie miesięcy. Raport roczny pokazuje przeszłość, a nie aktualny stan.
W tym artykule wyjaśniamy, czym naprawdę są podatność i CVE, czym skanowanie różni się od testu penetracyjnego, jak ustalać priorytety, żeby zespół IT nie utonął w liście, i dlaczego cykl miesięczny jest w audycie NIS2 lub DORA nie luksusem, lecz minimum.
Czym jest podatność i co oznacza CVE
Podatność to błąd w oprogramowaniu lub konfiguracji, który można wykorzystać do czegoś niechcianego: wejścia bez hasła, uruchomienia cudzego kodu, odczytu cudzych danych. Może być w systemie operacyjnym, przeglądarce, aplikacji serwerowej, urządzeniu sieciowym, a nawet drukarce.
CVE (Common Vulnerabilities and Exposures) to publiczny rejestr znanych podatności. Każda dostaje identyfikator, na przykład CVE-2026-12345, opis i ocenę ważności w skali CVSS od 0 do 10. Ocena pokazuje, jak dużą szkodę można wyrządzić i jak łatwo to zrobić.
Praktyczny problem: ocena CVSS nic nie wie o Twojej firmie. Dziesiątka w izolowanym systemie, do którego nie ma dostępu z internetu, może być mniej pilna niż siódemka w publicznie dostępnym urządzeniu VPN.
Inny częsty błąd to założenie, że podatności są tylko na serwerach. Z naszego doświadczenia większość krytycznych ustaleń dotyczy urządzeń sieciowych, których oprogramowanie sprzętowe nie było aktualizowane od zakupu, oraz stacji roboczych ze starymi wersjami przeglądarek lub czytników PDF.
Skanowanie i test penetracyjny to różne narzędzia
Te dwie usługi są często mylone, ale odpowiadają na inne pytania.
Skanowanie podatności jest automatyczne. Skaner sprawdza każde urządzenie w sieci, porównuje znalezione wersje oprogramowania i konfiguracje z rejestrem CVE i tworzy listę: co, gdzie, jak poważne. Jest szybkie (godziny), powtarzalne i stosunkowo tanie, więc nadaje się do regularnego stosowania.
Test penetracyjny to praca ręczna. Specjalista zachowuje się jak atakujący: próbuje połączyć kilka podatności w prawdziwy atak, przejść z jednego systemu do drugiego i osiągnąć konkretny cel. Trwa dni lub tygodnie i odpowiada na pytanie „czy ktoś może się włamać”, a nie „jakie słabości istnieją”.
| Pytanie | Skanowanie | Test penetracyjny |
|---|---|---|
| Kto to robi | Oprogramowanie | Człowiek |
| Częstotliwość | Co miesiąc lub częściej | Raz w roku lub po dużych zmianach |
| Wynik | Lista podatności z ocenami | Scenariusz ataku i skutki |
| Odpowiada na pytanie | Co trzeba zaktualizować | Czy zabezpieczenia działają jako całość |
Jedno nie zastępuje drugiego. Test penetracyjny bez regularnego skanowania znajdzie luki, które skaner pokazałby pół roku wcześniej. Skanowanie bez testu nie pokazuje, czy kilka małych luk nie składa się na dużą.
Dlaczego co miesiąc
Z naszego doświadczenia najważniejsze są trzy powody.
Po pierwsze, cykl aktualizacji. Microsoft, producenci przeglądarek i większość innych wydają poprawki co miesiąc. Skan po każdym cyklu pokazuje, co zainstalowano, a co nie. Bez niego o brakującej aktualizacji dowiadujesz się dopiero po incydencie.
Po drugie, środowisko się zmienia. Co miesiąc pojawia się nowy komputer, nowy serwer lub nowa aplikacja, a ktoś „tymczasowo” otwiera port. Skan roczny nie widzi tych zmian przez jedenaście miesięcy.
Po trzecie, czas między ujawnieniem a wykorzystaniem podatności. Gdy krytyczna podatność zostaje opublikowana w popularnym VPN lub systemie pocztowym, masowe próby jej wykorzystania zaczynają się w ciągu dni. Jeśli dowiesz się o niej z raportu rocznego, jest już za późno.
W niektórych sytuacjach miesiąc to za długo: serwery i urządzenia sieciowe dostępne publicznie skanujemy co tydzień oraz natychmiast po krytycznych CVE.
Jak ustalać priorytety, żeby zespół nie utonął
Pierwszy raport dla typowej firmy z 50 stanowiskami ma kilkaset wierszy. Naprawienie wszystkiego naraz jest niemożliwe i niepotrzebne. Logika priorytetów:
- Dostępność z internetu. Wszystko z publicznym adresem IP lub otwartym portem idzie na pierwszy plan, niezależnie od oceny.
- Znane aktywne wykorzystywanie. CVE używane już w prawdziwych atakach są na drugim miejscu, nawet jeśli ocena CVSS jest średnia.
- Znaczenie systemu. Kontroler domeny, serwer księgowy i poczta przed serwerem testowym.
- Ocena CVSS to dopiero czwarte kryterium, gdy pierwsze trzy są równe.
- Stare podatności, które powtarzają się co miesiąc, to osobna kategoria: zwykle jest to system, którego nikt już nie aktualizuje, a rozwiązaniem nie jest poprawka, lecz wymiana lub izolacja.
Efektem jest lista dziesięciu czy dwudziestu pozycji, które można zamknąć w ciągu miesiąca, a nie trzystu, które przerażają i dlatego są odkładane.
Okno aktualizacji i co dzieje się po skanie
Skanowanie bez aktualizacji to tylko raport. Klientom ustalamy stałe okno aktualizacji: na przykład stacje robocze we wtorek w nocy po wydaniu poprawek przez Microsoft, serwery w czwartek w nocy po testach. Pracownicy wiedzą, kiedy ich komputer się uruchomi ponownie, a księgowość wie, kiedy serwer będzie niedostępny przez 20 minut.
Cykl wygląda tak: skan, lista priorytetów, aktualizacje w oknie, ponowny skan potwierdzający zamknięcie luk. To, czego nie da się naprawić od razu, zostaje w raporcie z uzasadnieniem i terminem.
Jeśli aktualizacji nie da się zainstalować (na przykład producent już nie wspiera systemu albo poprawka zawiodła podczas testów), stosujemy środek kompensujący: ograniczamy dostęp zaporą sieciową, włączamy dodatkową regułę EDR lub przenosimy system do izolowanego segmentu sieci. Jest to zapisane w raporcie jako decyzja, a nie jako praca niedokończona.
Raporty na potrzeby audytów NIS2 i DORA
Oba akty wymagają procesu zarządzania podatnościami, a nie jednorazowej kontroli. Audytor nie zapyta „czy skanowaliście”, tylko „jak często, kto przegląda wyniki, jak szybko usuwacie ustalenia krytyczne i gdzie to jest udokumentowane”.
Cykl miesięczny daje dokładnie to: dwanaście raportów rocznie, a w każdym informacja, co znaleziono, co naprawiono i co zostaje wraz z uzasadnieniem. Dla firm sektora finansowego objętych DORA ważne jest też wykazanie, że systemy krytyczne są skanowane częściej, a systemy stron trzecich (na przykład dostawcy chmury) są również objęte. Osobno piszemy o wymaganiach NIS2 i o tym, jak się do nich przygotować.
Jak to wchodzi w skład opieki IT
W naszej opiece IT skanowanie podatności nie jest dodatkową pozycją. Co miesiąc skanujemy wszystkie zarządzane stacje robocze, serwery i urządzenia sieciowe, budujemy listę priorytetów, instalujemy aktualizacje w uzgodnionym oknie, a kierownictwo klienta otrzymuje jednostronicowe podsumowanie i pełny raport, który można dołączyć do dokumentacji zgodności. Testy penetracyjne i szerszą ocenę wykonujemy osobno jako audyt bezpieczeństwa IT.
Od czego zacząć
- Znajdź najnowszy raport z podatności. Jeśli ma ponad trzy miesiące albo go nie ma, to już jest odpowiedź.
- Wypisz wszystko, co jest dostępne z internetu: VPN, pocztę, stronę internetową, pulpit zdalny. Skanowanie zaczyna się tam.
- Uzgodnij z działami okno aktualizacji, żeby poprawki nie były odkładane „do czasu, aż będzie wygodnie”.
- Zdecyduj, kto co miesiąc odpowiada za przegląd wyników, z imienia i nazwiska.
- Jeśli nie masz własnych zasobów, skontaktuj się z nami. Cykl miesięczny włączymy do opieki IT bez dodatkowej opłaty i zaczniemy od skanu początkowego.
