Сканирование уязвимостей корпоративной сети: как мы автоматизировали аудит 200 серверов и что нашли в первый месяц
За годы работы проведены десятки аудитов корпоративных инфраструктур, и ни разу мы не уходили без списка критичных уязвимостей. На конкретном примере — что такое регулярное сканирование уязвимостей, зачем оно бизнесу и как этот процесс поставлен на конвейер на бесплатном OpenVAS.
Почему «у нас всё нормально» — самое опасное заблуждение
Представляете, когда я приезжаю на свой первый аудит к новому клиенту, то почти всегда слышу одну и ту же фразу: «Да у нас ничего такого интересного, нас ломать точно никому не нужно». А вот часа через два мой инженер уже показывает презентацию — и там, как правило, 30–40 слайдов с найденными дырами! Например, непропатченный SSH с прошлогодней уязвимостью, или открытый Redis без пароля, или, бывает, тестовая админка phpMyAdmin, о которой вообще забыли в продакшене аж три года назад.
Знаете, самое большое заблуждение в бизнесе — это вера, будто хакерам нужны исключительно «интересные» цели. На самом деле, львиная доля атак сегодня — это чистая автоматика. Боты без устали, 24/7, сканируют весь интернет, находят машину с открытым уязвимым сервисом, тут же ставят шифровальщик и, конечно, требуют выкуп. Им абсолютно всё равно, кто их жертва — крупный банк или, скажем, небольшой магазин канцтоваров. Для них главное — это открытый порт, на котором «висит» дырявая, устаревшая версия программы.
Сканирование уязвимостей — это, я бы сказал, такой профилактический медосмотр, но для серверов. Раз в неделю особая программа, словно врач, обходит все машины в сети, проверяет, что там установлено и какие известные дыры есть у этих программ, а потом сводит всё это в аккуратный отчёт. А вот закрыть то, что обнаружили, — это уже прямая задача системного администратора.
Кейс: MSP-компания и 200 серверов их клиентов
В январе 2026 года к нам обратилась компания «СекьюрИТ» — это такой крупный MSP-провайдер, который обслуживает целых 45 средних бизнесов только в одной Москве. Представляете, под их управлением 200 серверов и 80 единиц сетевого оборудования! И знаете, картина, которую мы застали до нашего прихода, была, к сожалению, абсолютно типичной для российского рынка:
- Сканирование делалось вручную — инженер раз в квартал запускал nmap и записывал результаты в Excel.
- Реально проверялось 30–40 серверов из 200 — на остальные не хватало времени.
- nmap находит открытые порты, но не знает о свежих CVE в установленном софте.
- Клиенты MSP начали запрашивать отчёты для аудиторов, а Excel-таблица с тремя колонками для серьёзного аудита не подходит.
- Никакого трекинга закрытия уязвимостей не было: нашли — записали — забыли.
Нам поставили чёткую задачу: нужно было автоматизировать еженедельное сканирование всех 200 серверов, предоставлять клиентам аккуратные PDF-отчёты, которые можно было бы показать аудиторам, и, конечно, контролировать, чтобы все критические уязвимости закрывались строго в срок.
Чем мы сканируем и почему именно этим
На рынке сканеров уязвимостей есть три класса инструментов:
| Инструмент | Стоимость в год | Кому подходит |
|---|---|---|
| OpenVAS / GVM | 0 ₽ | Небольшие и средние компании, MSP-провайдеры с собственной командой |
| Tenable Nessus Pro | ≈ 350 000 ₽ (один сканер) | Корпоративный сектор с готовностью платить за поддержку |
| MaxPatrol VM (Positive Technologies) | от 1 200 000 ₽ | Госкомпании и предприятия с требованиями ФСТЭК |
| RedCheck (АЛТЭКС-СОФТ) | от 600 000 ₽ | Сертифицированное решение под российские требования |
Для «СекьюрИТ» выбор для нас был очевиден — конечно же, OpenVAS (полное имя Greenbone Vulnerability Management, или GVM). Это ведь бесплатное ПО, да ещё и с открытым кодом: там больше 180 тысяч проверок на известные уязвимости, у него активное сообщество и, что немаловажно, подробная документация. А самое главное, у самого MSP-провайдера уже была своя сильная техкоманда, которая вполне могла бы его сопровождать.
Как мы это разворачивали — без перегруза техническими деталями
Расскажу по логике, без портянок команд. Нужны технические детали — мои инженеры покажут на демо.
- Выделили отдельный сервер под сканер. 4 ядра, 8 ГБ оперативной памяти, 50 ГБ SSD. GVM во время активного сканирования съедает почти все ресурсы, поэтому ставить его на машину с другими задачами нельзя.
- Запустили GVM в Docker-контейнере. Это упрощает обновления и резервное копирование. Первый запуск занял 50 минут — программа скачивала базу из 183 тысяч проверок.
- Сгруппировали серверы по клиентам. 45 клиентов — 45 групп, у каждой свой набор IP-адресов и расписание сканирования.
- Создали учётные записи для глубокого сканирования. Это важный момент: сканирование «изнутри» (с авторизацией по SSH или SMB) находит в 3–5 раз больше уязвимостей, чем «снаружи». На каждом сервере клиента создали read-only учётку, которая может только читать список установленных пакетов.
- Расписали сканирование на семь дней недели. 6–7 клиентов в день, начало в 02:00 ночи, чтобы не нагружать рабочую сеть.
- Подключили автоматическую отправку отчётов. Каждое утро технический директор клиента получает PDF с найденными за ночь уязвимостями и рекомендациями.
- Настроили трекинг закрытия. Если критическая уязвимость через 24 часа не закрыта — алерт в Telegram руководителю проекта.
На полное развёртывание всей системы ушло 22 рабочих дня. Установкой и интеграциями занимался один старший инженер, а ещё двое средних специалистов помогали заводить клиентов и тестировать учётные записи.
Что нашли в первую неделю работы — пугающая статистика
Как только мы провели первый еженедельный скан всех 200 серверов, система выдала нам в общей сложности 2 837 находок! И вот как они распределились по критичности:
| Уровень | Описание | Найдено | SLA на закрытие |
|---|---|---|---|
| Critical (CVSS 9–10) | Удалённый взлом без пароля | 34 | 24 часа |
| High (CVSS 7–8.9) | Серьёзный риск, нужен пароль или особые условия | 289 | 7 дней |
| Medium (CVSS 4–6.9) | Умеренный риск | 1 412 | 30 дней |
| Low (CVSS 0.1–3.9) | Минимальный риск | 1 102 | при следующем обслуживании |
Среди критичных находок были классические страшилки 2024–2026 годов:
- regreSSHion (CVE-2024-6387) — на 18 серверах стоял непропатченный OpenSSH, через который можно получить удалённый root-доступ.
- Бэкдор xz-utils (CVE-2024-3094) — на 4 серверах оказалась заражённая версия системной утилиты.
- HTTP/2 Rapid Reset (CVE-2023-44487) — на 12 серверах nginx был уязвим к DDoS-атаке.
- Старые версии PHP, MySQL и Apache, отказ от обновлений «потому что вдруг что-то сломается».
Уже за первую неделю команда «СекьюрИТ» смогла закрыть все 34 критические уязвимости. А к третьей неделе из 289 high-уязвимостей было закрыто целых 270! То есть, всего за месяц инфраструктура их клиентов перешла в совершенно другое, качественно новое состояние — оно ещё не идеальное, конечно, но уже измеримо, ощутимо более безопасное.
Кому действительно нужно регулярное сканирование
Знаете, я не отношусь к тем консультантам, которые стремятся продать абсолютно всё и всем без разбора. Поэтому скажу вам честно, кому это действительно нужно в первую очередь:
- Любая компания с публичными сервисами. Сайт, личный кабинет, API для мобильного приложения, корпоративная почта. Если что-то «торчит наружу» — оно сканируется ботами 24/7, и вопрос только в том, кто найдёт уязвимость первым: вы или они.
- Финансовый сектор. Требования ЦБ (положение 683-П) и PCI DSS прямо обязывают проводить регулярное сканирование уязвимостей.
- Компании с персональными данными клиентов. ФЗ-152 о персональных данных требует «применения средств защиты информации». Регулярный аудит уязвимостей — один из обязательных пунктов.
- Госкомпании и подрядчики госструктур. Требования ФСТЭК и приказ № 21 — без сканирования просто не пройдёте проверку.
- MSP-провайдеры и аутсорсеры. Это часть базового сервиса, без которого клиенты уже не подписывают договоры.
А вот кому, на мой взгляд, можно и отложить: это маленький офис, у которого всего один файловый сервер где-то в локалке, который не «торчит» в интернет и не имеет никаких публичных сервисов. Хотя даже в таком случае я бы всё равно посоветовал хотя бы раз в полгода прогонять хотя бы разовый скан.
Сколько это стоит для среднего бизнеса
Конечно, стоимость сильно-сильно зависит от размера вашей инфраструктуры. Приведу вам типичные цифры, которые мы видим по нашим клиентам, актуальные на апрель 2026 года, уже с НДС:
| Размер инфраструктуры | Развёртывание под ключ | Ежемесячное сопровождение |
|---|---|---|
| До 20 серверов | 45 000 ₽ | 8 000 ₽ |
| 20–50 серверов | 72 000 ₽ | 14 000 ₽ |
| 50–150 серверов | 110 000 ₽ | 22 000 ₽ |
| 150+ серверов | от 180 000 ₽ | от 35 000 ₽ (индивидуально) |
В наше сопровождение входит еженедельный тщательный разбор отчёта, мы вместе с клиентом согласовываем приоритеты, контролируем закрытие всех критичных дыр и, конечно, готовим ежемесячный сводный отчёт для руководства. А если вы хотите, чтобы мои инженеры ещё и сами закрывали все найденные уязвимости, то это уже будут дополнительные часы по нашему обычному почасовому тарифу.
Подводные камни, о которых редко говорят
За три года работы с OpenVAS у клиентов мы наступили на все мыслимые грабли. Делюсь главными:
- Сканер находит, но не лечит. Это инструмент диагностики. Без команды, готовой закрывать найденные уязвимости, отчёты пылятся в почте, а инфраструктура остаётся дырявой.
- Глубокое сканирование без авторизации почти бесполезно. Если у сканера нет учётки на сервере, он увидит только то, что торчит наружу. Поверхностный взгляд снаружи показывает 10 % реальных проблем.
- Ложноположительные срабатывания случаются. Около 5–8 % находок — ложные. Без эксперта, который умеет читать отчёт и отделять реальные риски от шума, бизнес тонет в количестве.
- Базу проверок надо обновлять каждый день. Новые CVE появляются непрерывно. Если база устарела на месяц, сканер пропускает всё свежее.
- Не путайте сканер с пентестом. Сканер находит известные уязвимости. Зловредный хакер может найти свежую неизвестную дыру. Для серьёзной защиты нужно и то, и другое.
FAQ — частые вопросы
- Чем сканирование уязвимостей отличается от пентеста?
- Сканер — это автоматическая программа, которая ищет известные уязвимости по большой базе данных (CVE). Пентест — это работа живого специалиста, который находит свежие, нестандартные дыры. Сканер дешёвый и регулярный, пентест дорогой и точечный. Идеально — сочетать оба.
- Сколько стоит регулярное сканирование инфраструктуры?
- Развёртывание GVM/OpenVAS под ключ — от 45 000 руб. Дальше ежемесячно 8 000–25 000 руб. за разбор отчётов и закрытие найденных уязвимостей, в зависимости от размера инфраструктуры.
- Можно ли сломать рабочий сервер сканированием?
- При штатных настройках — практически нет, опасные проверки отключены. За три года использования OpenVAS у наших клиентов из 800+ просканированных серверов ни один не пострадал. Глубокое сканирование (Full and Deep) лучше запускать на тестовом контуре.
- Как часто нужно сканировать сеть?
- Раз в неделю — оптимально для большинства компаний. Новые уязвимости появляются каждый день, и квартальные проверки уже не работают. Мы у клиентов запускаем автоматический скан в ночь с пятницы на субботу, к понедельнику отчёт у клиента в почте.
- Сканер что-то найдёт у нас? У нас же ничего особенного нет.
- Найдёт. Из десяти первых аудитов у новых клиентов — десять с критическими уязвимостями. Это статистика. Самые частые: непропатченный OpenSSH, забытые тестовые админки, открытые порты с устаревшими версиями ПО.