Blog / Skanowanie podatności
OpenVAS i inne darmowe skanery a ciągłe testy zewnętrzne
OpenVAS, Nikto i WPScan to znane, darmowe narzędzia, z których korzystają administratorzy na całym świecie. Same w sobie są dobre, ale uruchomienie skanera to jeszcze nie proces bezpieczeństwa.
Do czego służy każde z tych narzędzi
OpenVAS to skaner podatności ogólnego przeznaczenia, który sprawdza hosty i usługi pod kątem znanych luk. Nikto koncentruje się na serwerach WWW i wykrywa m.in. niebezpieczne pliki oraz przestarzałe komponenty. WPScan jest wyspecjalizowany w witrynach opartych na WordPressie.
Każde z nich robi swoją pracę dobrze, o ile wiesz, jak je skonfigurować i jak czytać wyniki. To narzędzia dla osób technicznych, a nie gotowe rozwiązanie dla zarządu.
Gdzie kończą się możliwości jednorazowego skanu
Skan uruchomiony raz pokazuje stan na dany dzień. Jutro może pojawić się nowa subdomena, nowa wersja aplikacji albo nowa luka opisana publicznie, a wynik z wczoraj już tego nie ujmie.
Dodatkowo narzędzia zwracają surowe wyniki, często z wieloma fałszywymi alarmami. Ktoś musi je ocenić, posortować według ryzyka i przełożyć na zadania. To czasochłonne, a przy braku wyspecjalizowanej osoby w firmie zwykle się nie dzieje.
Ukryte koszty samodzielnego skanowania
Sam program jest darmowy, ale praca człowieka już nie. Trzeba utrzymywać serwer ze skanerem, aktualizować bazy sygnatur, pilnować zakresu, dokumentować każdy przebieg i pisać raport.
- Czas administratora na konfigurację i weryfikację wyników.
- Brak ciągłości, gdy osoba odpowiedzialna odejdzie lub zmieni obowiązki.
- Brak raportu, który zarząd i audytor mogą przyjąć jako dowód.
- Ryzyko, że skan aktywny uruchomiony bez uzgodnienia zakłóci działanie usługi.
Dowód działania dla zarządu i audytora
Dyrektywa NIS2 (2022/2555) w art. 21 wymaga regularnej oceny skuteczności środków bezpieczeństwa. Polska nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa weszła w życie 3 kwietnia 2026 roku, a szczegóły zawsze trzeba weryfikować w aktualnym tekście w Dzienniku Ustaw.
Audytor będzie pytał o historię testów, wnioski i naprawy. Wydruk z pojedynczego skanu rzadko jest wystarczającą odpowiedzią. Więcej o oczekiwaniach znajdziesz na stronie wymagania NIS2 oraz w opisie audytu NIS2.
Jak połączyć narzędzia z procesem
Dobrym podejściem jest traktowanie darmowych narzędzi jako dodatku dla zespołu technicznego, a regularny test zewnętrzny jako podstawy raportowania. Zespół IT może dalej korzystać z ulubionych skanerów do głębszej analizy konkretnych systemów.
W Hakowaniu skaner podatności działa na zasadzie stałej usługi: testy pasywne (TLS, nagłówki, poczta SPF, DMARC, DKIM, security.txt) oraz aktywne po weryfikacji własności domeny, zawsze z raportem.
Czego nie zrobi żaden skaner
Żaden skaner, darmowy ani płatny, nie oceni logiki biznesowej aplikacji. Nie wykryje, że użytkownik może zobaczyć cudze zamówienie po zmianie numeru w adresie, jeśli odpowiedź technicznie wygląda poprawnie. Do tego potrzebny jest ręczny test.
Dlatego uczciwie traktujemy automatyczny pentest jako uzupełnienie ręcznych przeglądów, a nie ich zamiennik. Opisujemy to szerzej na stronie o testach penetracyjnych.
Ile to kosztuje
Automatyczny pentest zewnętrzny z raportem pod NIS2 i KSC kosztuje od 590 zł netto miesięcznie. Szczegóły i warianty znajdziesz w cenniku. Dla porównania oszacuj roboczogodziny własnego zespołu na utrzymanie, weryfikację i raportowanie samodzielnych skanów.
Pytania i odpowiedzi
Sprawdź swoją domenę teraz
Wpisz domenę i zobacz w kilkanaście sekund, co widzi atakujący.