Specjalista IT analizuje wyniki skanowania sieci wewnętrznej firmy przy szafie sieciowej.

Opublikowano: · Autor:

Skanowanie sieci wewnętrznej to kontrolowane sprawdzenie, jakie urządzenia i usługi są faktycznie dostępne oraz czy mają znane podatności albo ryzykowne konfiguracje. Nie jest testem penetracyjnym, certyfikatem bezpieczeństwa ani jednorazowym „raportem do szuflady”. Jest elementem zarządzania podatnościami: od inwentaryzacji, przez ocenę ryzyka i zmianę techniczną, po retest.

W firmowej sieci często działają zasoby niewidoczne w prostym spisie: przełączniki, punkty Wi-Fi, drukarki, NAS-y, serwery, hypervisory, kamery, urządzenia IoT, systemy kontroli dostępu i stare maszyny używane przez konkretny dział. Część nie jest wystawiona do internetu, ale może stać się celem po przejęciu konta VPN, stacji roboczej lub po wejściu atakującego do sieci lokalnej. Dlatego skan wewnętrzny uzupełnia ochronę poczty, endpointów i firewalla.

Skan podatności a test penetracyjny — czego oczekiwać?

Skaner porównuje informacje o hostach, usługach, wersjach oprogramowania i konfiguracji z zestawem testów podatności. Wynik jest wskazówką do sprawdzenia, a nie automatycznym potwierdzeniem exploitable błędu. Może zawierać fałszywie dodatnie wyniki, nie oceniać pełnego kontekstu biznesowego albo nie widzieć podatności specyficznej dla aplikacji.

Test penetracyjny ma inny cel: sprawdza, czy i jak konkretne słabości można połączyć w realistyczną ścieżkę ataku. Zwykle wymaga odrębnego zakresu, reguł zaangażowania i zgody. Skanowanie podatności może być regularnym procesem operacyjnym, lecz nie powinno bez uzgodnienia przechodzić w próby eksploatacji, łamania haseł czy zakłócania usług.

Kto powinien wykonywać skanowanie sieci?

Za decyzję odpowiada właściciel środowiska — zazwyczaj osoba zarządzająca IT lub wyznaczony właściciel biznesowy systemu. To on akceptuje cel, zakres i termin. Wykonawcą może być kompetentny zespół wewnętrzny albo zewnętrzny partner IT, pod warunkiem że zna architekturę, potrafi ograniczyć ryzyko i działa na podstawie pisemnego upoważnienia.

Dobry podział ról jest prosty:

Nie należy rozpoczynać skanu „na próbę”, skanować cudzych zakresów adresów ani ukrywać go przed operatorem sieci. Producent Greenbone wyraźnie wskazuje potrzebę weryfikacji autoryzacji przed skanem, ponieważ narzędzie musi komunikować się z badanymi systemami.

Jakie narzędzia wykorzystuje się do skanowania?

Nmap: rozpoznanie hostów, portów i usług

Nmap jest narzędziem do rozpoznania sieci: pomaga ustalić, które hosty odpowiadają, jakie porty są otwarte i jakie usługi mogą za nimi działać. To dobry etap porządkowania inwentaryzacji oraz sprawdzania, czy segmentacja rzeczywiście ogranicza niepotrzebną komunikację. Sam wynik Nmapa nie jest jednak kompletnym programem zarządzania podatnościami ani potwierdzeniem, że konkretna podatność istnieje.

Greenbone i OpenVAS: skanowanie podatności

Ekosystem Greenbone/OpenVAS służy do skanów podatności oraz pracy z wynikami, zasobami i testami podatności. Greenbone udostępnia dokumentację dla rozwiązań komercyjnych oraz Community Edition. Wybór pomiędzy samodzielnie utrzymywaną instalacją a rozwiązaniem ze wsparciem powinien uwzględniać nie tylko koszt, lecz także aktualność feedów, zasoby serwera, kopie konfiguracji, kontrolę dostępu, monitoring i odpowiedzialność za obsługę alertów.

Ważna jest aktualność skanera i jego komponentów. Zgodnie z dokumentacją Greenbone nieobsługiwana wersja może ograniczyć pokrycie skanu i niezawodność testów. Nie oznacza to jednak, że należy bezrefleksyjnie instalować każdą nową wersję w środowisku produkcyjnym — aktualizację planuje się, testuje i dokumentuje jak każdą istotną zmianę.

Narzędzia uzupełniające, nie zamienniki

Inwentaryzacja z systemu RMM, EDR, katalogu tożsamości, DHCP, przełączników czy narzędzia do zarządzania aktualizacjami może uzupełnić obraz skanera. Dane z tych źródeł warto porównywać: host obecny w DHCP, lecz nie w raporcie, może być wyłączony, źle opisany, poza zakresem albo zablokowany przez reguły sieciowe. Z kolei dane o poprawkach nie zwalniają z weryfikacji, czy usługa naprawdę została usunięta lub zabezpieczona.

Skan uwierzytelniony: dlaczego zwykle widzi więcej?

Skan bez poświadczeń ocenia to, co host udostępnia z sieci. Skan uwierzytelniony może dodatkowo sprawdzić lokalną wersję pakietu, poziom aktualizacji, wybrane ustawienia lub konfigurację systemu. Z tego powodu daje często dokładniejszy obraz serwerów Windows i Linux, ale wymaga szczególnej ochrony konta skanującego.

Poświadczenie powinno być dedykowane, imienne dla procesu technicznego, ograniczone do zatwierdzonego zakresu i przechowywane w kontrolowanym repozytorium sekretów. Należy ustalić jego uprawnienia, sposób rotacji, właściciela, logowanie użycia oraz procedurę odłączenia po zakończeniu projektu. Wysokie uprawnienia bywają potrzebne do części kontroli, ale nie są domyślnym ustawieniem dla każdego systemu. Zasada najmniejszych uprawnień pozostaje aktualna.

Jak przygotować bezpieczny skan sieci wewnętrznej?

  1. Ustal pisemny zakres. Zapisz sieci, hosty, nazwy systemów, środowiska, wyłączenia i cel. Osobno wskaż produkcję, laboratorium, urządzenia OT, medyczne, drukarki lub inne elementy wrażliwe.
  2. Wybierz okno i kontakty. Określ czas skanu, osobę dyżurną, właścicieli systemów, kanał eskalacji i warunek zatrzymania prac. Nie planuj intensywnego skanu w środku krytycznego procesu księgowego lub produkcyjnego.
  3. Przygotuj punkt startu i ochronę sieci. Umieść skaner w odpowiednim segmencie, przygotuj konieczne trasy i reguły, a jego adres IP dodaj do uzgodnionej listy dozwolonych źródeł. Nie oznacza to wyłączania monitoringu — logi i alerty powinny być obserwowane.
  4. Zacznij od pilotażu. Przeskanuj ograniczony, reprezentatywny zakres przy zachowawczych ustawieniach. Sprawdź obciążenie, logi, jakość wyników i komunikację z systemami ochronnymi, zanim rozszerzysz zakres.
  5. Dobierz intensywność. Limituj równoległość, tempo oraz typy testów stosownie do środowiska. Niektóre systemy mają słabe stosy sieciowe lub ograniczoną liczbę sesji.
  6. Monitoruj i dokumentuj. Zapisz wersję narzędzia, feedu, konfigurację zadania, czas, segment i ewentualne objawy. Dzięki temu wynik można odtworzyć i porównać w kolejnym cyklu.

To nie jest formalność. Dokumentacja Greenbone opisuje możliwe skutki skanów: alerty, wzrost opóźnień, aktywację zabezpieczeń, blokady kont, a w przypadku wrażliwych aplikacji nawet błędy lub awarie. Skanowanie przez IDS, IPS, WAF, proxy lub firewall może też dawać wyniki fałszywie dodatnie albo ujemne. Trzeba uzgodnić architekturę testu zamiast omijać mechanizmy ochronne.

Od wyniku do decyzji: jak ustalać priorytety?

Wysoka ocena CVSS jest ważnym sygnałem, ale sama nie ustala kolejności prac. Priorytet powinien łączyć co najmniej: krytyczność systemu dla firmy, ekspozycję sieciową, dostępność obejścia lub poprawki, potwierdzenie podatności, obecność mechanizmów kompensacyjnych oraz informację o znanym wykorzystaniu błędu w atakach.

Praktyczny raport nie kończy się listą setek rekordów. Dla każdej zaakceptowanej pozycji powinien wskazywać właściciela, zasób, opis ryzyka, dowód, zalecane działanie, termin, decyzję o akceptacji ryzyka albo uzasadnione odstępstwo. Po aktualizacji, zmianie konfiguracji lub wyłączeniu usługi wykonuje się retest. Dopiero jego wynik pozwala oznaczyć sprawę jako zamkniętą.

Warto też odróżniać wykrycie od pilności. Nieaktualna biblioteka na odizolowanym systemie testowym i podatność na serwerze obsługującym klientów mogą wymagać zupełnie innej kolejności, nawet jeśli automatyczna punktacja wygląda podobnie.

Najczęstsze błędy podczas skanowania

Jak często wykonywać skan?

Nie ma jednej liczby właściwej dla każdej firmy. Punkt odniesienia to skan bazowy po uporządkowaniu zakresu, cykliczna kontrola dopasowana do ryzyka oraz dodatkowe skany po istotnej zmianie infrastruktury, uruchomieniu nowej usługi, incydencie lub znaczącej zmianie konfiguracji. Im szybciej zmienia się środowisko i im wyższy jest skutek niedostępności lub ujawnienia danych, tym bardziej potrzebne są krótsze cykle oraz jasna obsługa wyników.

Regularność bez procesu naprawczego tworzy tylko kolejne raporty. Lepszy jest mniejszy, dobrze opisany zakres, dla którego firma naprawdę przypisuje działania i sprawdza rezultat, niż szeroki skan bez właścicieli i terminów.

Jak Partnerhosted może pomóc?

Partnerhosted może przygotować bezpieczne skanowanie jako element cyberbezpieczeństwa dla firm oraz administracji serwerami i siecią. Zaczynamy od uporządkowania zasobów, ustalenia zakresu i krytycznych wyłączeń, a następnie planujemy pilotaż, konfigurację narzędzia, raportowanie oraz retest po zmianach. Przy stałej obsłudze IT wynik może przejść do kontrolowanych zadań aktualizacyjnych i administracyjnych.

Jeżeli nie masz jeszcze aktualnego obrazu infrastruktury, dobrym punktem wejścia jest krótki audyt IT. Pozwala ustalić, co należy skanować, kto jest właścicielem systemów oraz jak wykonać prace bez ryzykownego działania na ślepo.

Chcesz sprawdzić podatności bez niekontrolowanego ryzyka?

Opisz środowisko i najważniejsze systemy. Ustalimy bezpieczny zakres, kolejność prac oraz sposób przekazania wyników do realnego planu naprawczego.

Zapytaj o skanowanie podatności

Najczęstsze pytania

Czy można skanować wewnętrzną sieć firmy bez zgody?

Nie. Skanowanie wykonuje się wyłącznie w środowisku należącym do firmy lub objętym jej administracją oraz na podstawie jasno udzielonego upoważnienia. Zakres powinien wskazywać adresy, okno serwisowe, wyłączenia, osoby kontaktowe i sposób postępowania w razie wpływu na działanie systemu.

Czym różni się Nmap od Greenbone lub OpenVAS?

Nmap służy przede wszystkim do rozpoznania hostów, portów i usług. Greenbone/OpenVAS realizuje szerszy proces skanowania podatności, korzystając z testów podatności, zarządzania zasobami i raportami. Narzędzia mogą się uzupełniać, ale żadne z nich nie zastępuje weryfikacji wyników ani naprawy.

Czy skan uwierzytelniony wymaga konta administratora?

Zakres uprawnień zależy od systemu i celu testu. Dostęp uwierzytelniony daje zwykle pełniejszy obraz poprawek oraz konfiguracji, lecz konto powinno być dedykowane, ograniczone do koniecznych uprawnień i chronione tak jak inne uprzywilejowane poświadczenie.

Czy skanowanie podatności może zakłócić pracę?

Tak. Skan może wywołać alerty, zwiększyć obciążenie, aktywować mechanizmy ochronne, a w słabo przygotowanych lub wrażliwych systemach ujawnić błąd działania. Dlatego wymaga autoryzacji, pilotażu, ograniczenia intensywności, monitoringu i wyłączenia systemów o podwyższonym ryzyku.

Jak często wykonywać skanowanie sieci wewnętrznej?

Częstotliwość należy dobrać do ryzyka i zmian w środowisku. Warto wykonać skan bazowy, powtarzać go cyklicznie oraz po istotnej zmianie infrastruktury, nowych usługach, incydencie albo zmianie konfiguracji. Najważniejsze jest, aby wynik prowadził do przypisanej naprawy i ponownej weryfikacji.

Źródła i materiały do dalszej analizy