Управление уязвимостями звучит как задача для большой корпорации с отделом безопасности. На деле это обычный рабочий процесс, который нужен любой компании с сайтом, почтовым сервером или удалённым доступом. Многие подменяют его разовой проверкой. Раз в год приходит подрядчик, выдаёт отчёт на сотню страниц, часть пунктов закрывают, отчёт уходит в архив. Через месяц картина снова другая, а следующая проверка только через одиннадцать месяцев.
Почему уязвимости стали главной дверью
По данным Positive Technologies за первую половину 2025 года, 31% успешных атак на организации начинается с эксплуатации уязвимостей. По итогам 2025 года Россия вошла в тройку самых атакуемых стран, а эксплуатация уязвимостей в публичных приложениях названа одним из основных векторов вместе с фишингом (Anti-Malware.ru).
Злоумышленнику не нужно знать вашу компанию. Программы непрерывно перебирают адреса в интернете и ищут известные слабые места. Подробнее об этом механизме мы писали в статье о том, как хакеры находят маленькие компании. Автоматизация и искусственный интеллект сделали поиск уязвимостей быстрым и дешёвым для атакующих. Защищающейся стороне приходится отвечать тем же темпом.
Управление уязвимостями простыми словами
Процесс состоит из пяти шагов, которые повторяются по кругу. Пропуск любого из них ломает весь цикл.
- Инвентаризация. Сначала нужно знать, что у вас вообще есть. Какие адреса, домены, сайты, серверы смотрят в интернет. Часто именно здесь находится первая проблема, например забытый тестовый сервер или старый поддомен подрядчика.
- Поиск уязвимостей. Проверка каждого найденного сервиса на известные слабые места. Устаревшая версия программы, открытый порт, слабая настройка шифрования, панель администрирования без защиты.
- Приоритизация. Решение, что исправлять первым. Из сотни найденных пунктов реально опасны обычно единицы.
- Устранение. Обновление, закрытие порта, смена настройки. Это делает ИТ-специалист, и ему нужна понятная инструкция, а не номер в базе уязвимостей. Иногда исправление невозможно сразу, например производитель ещё не выпустил обновление. Тогда уязвимый сервис временно закрывают от интернета или ограничивают доступ к нему списком адресов.
- Проверка. Повторный скан подтверждает, что дыра закрыта, а исправление ничего не сломало.
После пятого шага цикл начинается заново. Инфраструктура меняется, появляются новые сервисы, выходят новые уязвимости. Поэтому управление уязвимостями это процесс, а не проект с датой окончания.
Сканирование уязвимостей онлайн, почему бесплатный сканер даёт шум
Инструменты для поиска уязвимостей давно есть в открытом доступе. Nmap показывает открытые порты, OpenVAS запускает полноценный анализ, Shodan покажет, что видно о ваших адресах из интернета. Любой администратор может запустить их за вечер.
Сложности начинаются после запуска. Сканер выдаёт 200 строк. Часть из них реальная угроза, часть особенность вашей конфигурации, часть ложное срабатывание. Открытый удалённый рабочий стол может оказаться катастрофой, а может быть запланированным доступом за VPN. Одна и та же уязвимость критична для одной версии программы и неопасна для другой.
Без опыта в безопасности такой отчёт превращается в список непонятных номеров. Можно неделю разбираться с некритичным и пропустить единственную строчку, через которую придёт шифровальщик.
Есть и организационная сторона. Системный администратор отвечает за то, чтобы всё работало. Специалист по безопасности отвечает за то, чтобы это нельзя было взломать. Это разные задачи с разными приоритетами, и просить одного человека совмещать их примерно то же, что поручить терапевту операцию.
Шум против результата
Ценность сканирования не в длине списка, а в трёх строках наверху. Что опасно именно для вас, насколько и что с этим сделать сегодня.
Почему приоритизация важнее количества находок
Компания без отдела безопасности не может закрыть всё сразу. У ИТ-специалиста есть основная работа, и на безопасность остаётся несколько часов в неделю. Если отдать ему полный отчёт, он начнёт сверху, и сверху редко оказывается самое важное.
Хорошая приоритизация учитывает несколько вещей. Доступен ли сервис из интернета. Есть ли для уязвимости готовый инструмент атаки. Что стоит за сервисом, например сервер 1С с бухгалтерией или страница-визитка. Насколько сложно исправление и не остановит ли оно работу.
Пример из типичного отчёта. Сканер нашёл устаревшую версию веб-сервера на странице-визитке и открытый порт удалённого рабочего стола на сервере 1С. По формальной оценке первая находка может выглядеть даже серьёзнее. На практике визитку можно обновить на следующей неделе, а удалённый рабочий стол нужно закрыть сегодня, потому что именно через него чаще всего приходят шифровальщики и за ним лежит учёт всей компании.
В результате вместо двухсот строк остаются пять задач на неделю с понятным порядком. Такой список реально выполнить, и он закрывает большую часть риска.
Почему разовой проверки мало
Пентест и аудит полезны, но это снимок на конкретную дату. Пентест обычно стоит около 1 млн ₽ и занимает от 6 недель, а устранение найденного остаётся на заказчике. Пока готовится отчёт, инфраструктура успевает измениться.
Между двумя ежегодными проверками происходит многое. ИТ-отдел открывает порт для подрядчика и забывает закрыть. Маркетинг запускает новый лендинг на старой CMS. Производитель публикует уязвимость в программе, которая стоит у вас на границе сети. Ни одно из этих событий не попадёт в прошлогодний отчёт. При этом каждое из них видно снаружи любому сканеру, который в этот день пройдёт по вашим адресам.
Даже хороший разовый аудит не отвечает на простой вопрос директора, безопасно ли у нас сегодня. Он отвечает только на вопрос, было ли безопасно в день проверки. Контроль внешнего периметра должен работать так же непрерывно, как работают сканеры злоумышленников. Тогда новая открытая дверь становится видна в тот же день, а не через год.
Как выстроить процесс без своего отдела ИБ
Для компании с ИТ-специалистом, но без безопасника, мы сделали Кибер.Радар. Сервис постоянно контролирует внешний периметр, отделяет реальные угрозы от шума и выдаёт через SMART-помощника пошаговые инструкции, что и в каком порядке исправлять. Стоимость 25 000 ₽ в месяц. За год это около 300 000 ₽, примерно треть цены одного пентеста.
Если нужно больше, чем периметр, платформа 4sec добавляет защиту серверов, облачные копии и восстановление за 48 часов. Контроль уязвимостей закрывает вход, но не отменяет остальные слои защиты, об этом мы писали в статье о том, почему антивируса недостаточно.
Короче говоря, управление уязвимостями держится на пяти шагах, то есть инвентаризации, поиске, приоритизации, устранении и проверке. Бесплатные сканеры решают только второй шаг и дают сырой список. Главная ценность в приоритизации и в регулярности. Проверка раз в год показывает, какой была инфраструктура в день проверки, а атакующих интересует, какая она сегодня.