W większości MŚP nikt nie wie, ile znanych dziur jest dzisiaj otwartych w firmowym serwerze, routerze i stacjach handlowców. Nie dlatego, że ich nie ma. Dlatego, że nikt ich nie policzył.
Zarządzanie podatnościami brzmi jak hasło z korporacyjnego slajdu. W praktyce to bardzo prosta rzecz: regularnie sprawdzasz, co masz, pytasz publicznej bazy, które z tych rzeczy mają znane dziury, i łatasz je po kolei według tego, która boli najmocniej. Trzy kroki, które w 25-osobowej firmie zajmują około dwóch godzin tygodniowo. Przy dobrym miesiącu — mniej.
U jednego z naszych klientów — 25-osobowej firmy produkcyjnej z branży metalowej z Dolnego Śląska — pierwszy skan wykazał 847 podatności, w tym 23 oznaczone jako krytyczne. Serwer plików z Windows Server 2016 bez pół roku łatek, drukarka sieciowa z firmware'em z 2019 roku wystawiona do internetu przez „bo trzeba było z zewnątrz drukować", router MikroTik z CVE sprzed trzech lat, 11 stacji roboczych z nieaktualnym Firefoxem. Nic z tego nie było podejrzane — po prostu nikt nigdy nie zapytał. Po sześciu miesiącach systematycznej pracy mieli 180 podatności w sumie, 0 krytycznych i mniej więcej 2 godziny roboty tygodniowo.
Przez ten czas nic się złego nie wydarzyło. To jest właśnie sedno — robota, której się nie widzi, jest robotą, która chroni Was przed widowiskową katastrofą.
Krok 1 — Policz, co masz
Nie da się załatać czegoś, o czym się nie wie, że istnieje. Dlatego pierwszym krokiem — zanim włączysz jakikolwiek skaner — jest zrobienie listy wszystkiego, co ma adres IP w Waszej firmie. Komputery, serwery, drukarki, kamery, kontrolery drzwi, telewizory w sali konferencyjnej, UPS-y z interfejsem sieciowym, kasa fiskalna z WiFi.
Nie trzeba do tego CMDB. Wystarczy jedna tabela w Excelu albo w Notion. Dla każdego urządzenia zapisujecie: nazwę, adres IP, system/firmware, kto jest „właścicielem" (czyli: do kogo dzwonić, jak zostanie wyłączone), kiedy ostatnio aktualizowany. To jest ta sama lista, która służy do inwentaryzacji IT i do planowania budżetu — więc nie zrobicie jej dwa razy, jeśli raz zrobicie ją porządnie.
Dla samych stacji roboczych wystarczy raport z Microsoft 365 Business Premium albo z Intune — jeśli macie. Dla serwerów i urządzeń sieciowych — godzina z laptopem po biurze i magazynie. U wspomnianej firmy metalowej znaleźli przy okazji cztery urządzenia, o których nikt już nie pamiętał: starą kamerę po byłym kierowniku magazynu, drukarkę z recepcji, która została po remoncie, i dwa stare laptopy w szufladzie z WiFi wciąż próbującym się łączyć do firmowej sieci.
Krok 2 — Zapytaj, co jest dziurawe
Mając listę urządzeń, puszczacie na nie skaner podatności. Nie potrzebujecie licencji Qualys za 50 tys. zł rocznie. Dla firmy 10–50-osobowej wystarczy jedno z darmowych albo tanich narzędzi:
- Nessus Essentials — darmowe do 16 adresów IP. Dla jednego biura w zupełności wystarczy.
- OpenVAS / Greenbone Community — open-source, trochę więcej konfiguracji, bez limitu adresów.
- Qualys Community Edition — ograniczona wersja ich platformy, też bezpłatna.
Pierwszy skan uruchamiacie z sieci wewnętrznej — bo większość podatności i tak będzie na urządzeniach, które z zewnątrz są niewidoczne. Potem, w drugim przebiegu, skanujecie wszystko, co firma wystawia do internetu (strona, VPN, OWA, panel administracyjny routera) — zazwyczaj kilka adresów IP.
Pierwszy raport jest przerażający. Setki pozycji, każda z zielonymi, żółtymi i czerwonymi flagami, każda z linkiem do bazy CVE. To normalne. Większość to historia zaniedbań, nie dowód, że ktoś zaraz Was zhakuje. Nie panikujcie. Przejdźcie do następnego kroku.
Krok 3 — Priorytetyzacja, czyli co łatać najpierw
W pierwszym skanie dostaniecie listę 300–1500 pozycji. Nie da się ich załatać w tydzień, a próbowanie zrobi więcej szkody niż pożytku (zdziwiłbyś się, co się dzieje, kiedy ktoś w panikę wgrywa 40 łatek naraz na produkcyjny serwer). Priorytetyzacja jest kluczowa.
Trzy filtry, w tej kolejności:
- Czy ktoś naprawdę używa tego exploita? Patrzycie, czy CVE jest na liście CISA KEV (Known Exploited Vulnerabilities). Jeśli tak — łatamy w tym tygodniu. Reszta — potem. KEV ma dziś około 1200 pozycji; w pierwszym Waszym skanie zwykle wychodzi 5–15 trafień. To Wasza pierwsza praca.
- Czy to urządzenie jest w ogóle wystawione? CVE 9.8 na drukarce schowanej za NAT-em jest mniej pilne niż CVE 7.5 na routerze z publicznym IP. Weźcie pod uwagę ekspozycję, nie tylko ocenę CVSS.
- Czy łatka istnieje i czy coś popsuje? Jeśli łatka wymaga restartu produkcyjnego ERP, planujecie okno. Jeśli jest to tylko firmware drukarki — robicie w porze lunchu.
W efekcie z 847 pozycji wspomniana firma metalowa dostała realną listę: 12 rzeczy do zrobienia w pierwszym tygodniu, 40 w pierwszym miesiącu, reszta na kwartał. Reszta — to głównie pozycje typu „wersja biblioteki w Pythonie z 2021, nieużywana", które można zamknąć razem przy najbliższej aktualizacji systemu.
Rutyna, która to podtrzyma
Pierwszy skan to łatwa część. Trudniejsza — żeby za pół roku nie wróciliście do punktu wyjścia. Potrzebujecie czterech rzeczy, każda prosta:
- Skan raz w miesiącu, w ten sam poniedziałek. Nie „kiedy znajdziemy czas". Wpisane w kalendarz, przypomnienie, 15 minut na uruchomienie.
- Przegląd nowych pozycji w tym samym tygodniu. 1–2 godziny z osobą, która to łata. Co ląduje do zrobienia teraz, co można odłożyć.
- Alert, kiedy pojawi się coś na KEV dotyczące Waszego sprzętu. Większość skanerów to umie. Jeśli nie — subskrypcja CISA KEV RSS i pół godziny z kalendarzem co tydzień.
- Prosty log: co, kiedy, kto załatał. Jedna kolumna w tej samej tabeli, co inwentaryzacja. Potrzebna, kiedy ubezpieczyciel cyber zapyta „jak zarządzacie podatnościami" albo kiedy ktoś spróbuje Was obwinić po incydencie.
To wszystko. Nie SIEM, nie SOC, nie dyrektor bezpieczeństwa. Tabela, skaner i dwie godziny tygodniowo.
Czego nie robić
Kilka pułapek, w które widzieliśmy, jak firmy wpadają — zwykle po przeczytaniu artykułu takiego jak ten:
- Nie kupujcie narzędzia, zanim nie zrobicie pierwszego skanu darmowym. Decyzja o Qualys/Rapid7 za 30 tys. zł rocznie ma sens dopiero wtedy, kiedy wiecie, czego nie potrafi Essentials/OpenVAS. U 90% firm wielkości 10–50 osób nie potrafi niczego, co by Wam przeszkadzało.
- Nie łatajcie wszystkiego naraz. Łatanie 40 rzeczy w jedną sobotę to przepis na weekend z awarią, której nie można szybko cofnąć. Rozłóżcie w czasie. Zacznijcie od tych, które realnie są wykorzystywane.
- Nie róbcie z tego projektu bez właściciela. „Trzeba to zrobić" bez konkretnej osoby, dla której to jest w rocznych celach — oznacza, że nie zostanie zrobione. Potrzebny jest ktoś, kto odpowiada za liczbę krytycznych podatności „na dziś" i może o nią zostać zapytany w każdej chwili.
- Nie udawajcie, że pentester Was obroni. Test penetracyjny raz w roku to migawka, nie proces. Jeśli między testami nie macie rutyny łatania, test pokaże to samo, co pokazał rok temu.
Jeśli chcecie zrobić pierwszy skan w swojej firmie, ale nie macie pewności, od którego urządzenia zacząć — pół godziny rozmowy wystarczy, żeby ułożyć konkretny plan na pierwszy miesiąc. Bez względu na to, czy skończy się to współpracą.
Większość ataków nie wykorzystuje nieznanych 0-dayów. Wykorzystuje luki, które są publicznie znane od miesięcy — i nikt ich nie załatał, bo nikt o nich nie wiedział.