Сканеры уязвимостей: как выбрать решение с сертификатом ФСТЭК

Сканер уязвимостей – один из базовых инструментов информационной безопасности. Он автоматически проверяет серверы, рабочие станции, сетевое оборудование и приложения, находит известные уязвимости и неверные настройки и помогает расставить приоритеты по их устранению. Для организаций, которые работают с государственными информационными системами, персональными данными и критической информационной инфраструктурой (КИИ), выбор сканера связан еще и с требованиями регуляторов.

Зачем нужен сканер уязвимостей

Новые уязвимости появляются ежедневно, а инфраструктура постоянно меняется: подключаются сервисы, обновляется программное обеспечение, появляются тестовые стенды. Проверять все это вручную невозможно. Сканер регулярно обходит ИТ-активы, сопоставляет найденные версии ПО и конфигурации с базами уязвимостей (БДУ ФСТЭК России, CVE, бюллетени производителей) и формирует отчет с оценкой критичности по шкале CVSS.

Меры анализа защищенности (группа АНЗ) предусмотрены приказами ФСТЭК России № 17, № 21 и № 239 – для государственных информационных систем, систем обработки персональных данных и значимых объектов КИИ соответственно. Поэтому регулярное сканирование – это не только хорошая практика, но и часть обязательной системы защиты.

Какие бывают сканеры

Сетевые сканеры проверяют открытые порты и сервисы снаружи. Сканеры с авторизацией заходят на узлы под учетной записью и анализируют установленное ПО и настройки изнутри, поэтому находят заметно больше. Агентные решения используют легкий агент на узле, что удобно для удаленных устройств. Отдельный класс – сканеры веб-приложений, которые ищут типовые ошибки вроде SQL-инъекций и XSS. Для АСУ ТП нужны специализированные продукты, поскольку активное сканирование может нарушить работу оборудования.

На российском рынке представлены ScanOVAL, RedCheck, MaxPatrol VM, Сканер-ВС, Security Vision VM и другие решения. Они различаются покрытием платформ, глубиной проверок, моделью лицензирования и наличием сертификатов.

Когда нужен сертификат ФСТЭК

Если сканер применяется в государственной информационной системе, на значимом объекте КИИ или в рамках аттестации, как правило, требуется сертифицированное средство. Статус продукта проверяют в государственном реестре сертифицированных средств защиты информации ФСТЭК России. Обратите внимание на срок действия сертификата и на то, какие версии продукта он охватывает.

На что смотреть при выборе

1. Покрытие: Windows, Linux, отечественные ОС (Astra Linux, РЕД ОС, ALT), сетевое оборудование, базы данных, контейнеры и виртуализация.

2. Актуальность баз: как быстро появляются проверки новых уязвимостей и используется ли БДУ ФСТЭК.

3. Контроль соответствия: проверка настроек по профилям безопасности, а не только поиск уязвимостей.

4. Приоритизация: учет критичности актива и наличия эксплойтов, а не только оценки CVSS.

5. Интеграции: API, выгрузка в SIEM, связка с системами заявок.

6. Отчеты: готовые формы для аудита и проверок.

7. Стоимость владения: лицензирование по узлам или адресам, поддержка и обновления.

Как внедрять

Начните с инвентаризации активов: без нее сканер проверит не все. Разделите сканирование на регулярное (еженедельно или ежемесячно) и внеплановое после крупных изменений. Заранее согласуйте с владельцами систем окна проверки. Результаты передавайте в процесс управления уязвимостями с понятными сроками устранения.

Подробное сравнение продуктов вы найдете в нашем материале: обзор продуктов ИБ по управлению уязвимостями. Если нужен более узкий выбор, изучите сравнение российских сканеров уязвимостей.