Что делает сканер уязвимостей
Сканер уязвимостей опрашивает объекты проверки — узлы сети, серверы, рабочие станции, сетевое оборудование, сайты — и сопоставляет найденное с базами известных недостатков: например с международным перечнем CVE, а отечественные продукты — и с банком данных угроз ФСТЭК России. На выходе получается перечень находок с оценкой опасности; во многих продуктах к находке прилагается указание, чем она закрывается — обновлением, изменением настройки, отключением лишней службы. Важно понимать границу: сканер показывает слабое место, но не устраняет его и не отражает атаку. Подтверждение находок, расстановка приоритетов и сами правки — отдельная работа, и часть срабатываний окажется ложной.
Какие бывают сканеры
Инфраструктурные, они же сетевые, проверяют узлы сети и их настройки — с ними работают, когда нужно увидеть периметр и внутреннюю сеть целиком. Сканеры веб-приложений проверяют сам сайт: формы, параметры запросов, обработку данных; сюда относится и проверка на внедрение SQL-кода. Отдельно стоят анализ состава программного обеспечения и образов контейнеров, который ищет уязвимые сторонние библиотеки, и анализаторы исходного кода. Различают и режимы работы: сканирование без учётных данных смотрит на систему снаружи, как посторонний, а с учётной записью — изнутри и точнее; проверка бывает разовой и по расписанию, с установкой агента на узел и без него. На полке встречаются и российские коммерческие продукты, и открытые инструменты, и средства, которые распространяются на особых условиях; действующий статус сертификата и порядок получения уточняют у поставщика и по реестрам ФСТЭК России.
Граница с соседними полками каталога
Сканер — инструмент проверки: разовой или по расписанию. Система управления уязвимостями решает другую задачу: она ведёт учёт активов, собирает находки из разных источников, расставляет приоритеты, ставит задачи на устранение и контролирует результат. Часть поставщиков продаёт и сканер, и такую платформу, поэтому смотреть надо на состав поставки, а не на название. Системы обнаружения вторжений работают с другой стороной: они разбирают трафик и реагируют на признаки атаки, когда та уже идёт. Тестирование на проникновение — ручная работа специалиста, который проверяет, можно ли найденное действительно использовать. Антивирус и средства защиты от несанкционированного доступа тоже лежат отдельно: они закрывают устройство, а не ищут в нём известные недостатки.
