Введение
Vulnerability Scan (сканирование уязвимостей) – автоматизированная процедура обнаружения известных уязвимостей в ПО, операционных системах, сетевых сервисах и конфигурациях путём сравнения их с базами данных уязвимостей (CVE, NVD, БДУ ФСТЭК). Является фундаментальным инструментом управления уязвимостями (Vulnerability Management).
В отличие от пентеста, сканирование не эксплуатирует уязвимости – оно только обнаруживает их наличие. Результат – отчёт с перечнем уязвимостей, оценками по CVSS и рекомендациями.
История и контекст
Первые сканеры уязвимостей появились в конце 1990-х: SATAN (1995), Nessus (1998). Коммерческий рынок сформировали Qualys (1999) и Tenable (Nessus). В России популярны MaxPatrol (Positive Technologies) – корпоративный сканер с поддержкой российских систем и БДУ ФСТЭК, а также RedCheck (ALTX-Soft). Банк России в рамках ГОСТ Р 57580.1 требует регулярного сканирования уязвимостей финансовых организаций.
Как работает сканирование
Процесс включает несколько этапов:
- Discovery – обнаружение активных хостов и открытых портов (ICMP, TCP SYN scan).
- Asset Profiling – определение ОС, версий ПО, сетевых сервисов (через banner grabbing, service fingerprinting).
- Vulnerability Check – сравнение версий с CVE-базой, проверка конфигурации на соответствие benchmark (CIS, ГОСТ).
- Reporting – выгрузка отчёта с CVSS-оценками, техническими деталями, рекомендациями.
Аутентифицированное vs неаутентифицированное сканирование: аутентифицированное (credentialed) сканирование предоставляет сканеру учётные данные и обнаруживает значительно больше уязвимостей (в установленных пакетах, конфигурации сервисов). Неаутентифицированное показывает только то, что видно извне.
Где применяется
- Корпоративные сети – еженедельное/ежемесячное сканирование всего периметра и внутренней сети.
- Финансовые организации – обязательное требование ГОСТ Р 57580.1 и PCI DSS.
- КИИ – как часть системы защиты значимых объектов по Приказу ФСТЭК №239.
- DevSecOps – встроенное сканирование в CI/CD перед выпуском релиза (DAST/SAST).
Преимущества и ограничения
Автоматизация, масштабируемость, регулярность, дешевизна относительно пентеста. Ограничения: ложные срабатывания и пропуски; не проверяет реальную эксплуатируемость уязвимостей; не обнаруживает Zero-day; требует актуальной базы CVE.
Связь с другими понятиями
Результаты сканирования уязвимостей – входные данные для Патч-менеджмента. Уязвимости оцениваются по CVSS и идентифицируются через CVE. Более глубокий анализ выполняется через Pentest. Hardening и Baseline снижают число обнаруживаемых уязвимостей конфигурации.