Язык уязвимостей
CWE, CVE и CPE; причины, проявления и идентификаторы.
День 1.
Уязвимости и Сканер-ВС 7
Утром — большая лекция о языке уязвимостей, приоритизации и классах решений. Затем четыре практических блока: установить, обнаружить, подключить, проанализировать и защитить вывод.
90 минлекция: уязвимости, приоритеты, рынок и метод
4 × 90последовательные практические блоки
1 отчётвоспроизводимый результат и план действий
01 / 09
Карта большой лекции
Лекция строится от понятия слабости до управляемого процесса: что найдено, насколько серьёзно, эксплуатируется ли сейчас, где находится актив и что делать первым.
Приоритизация
CVSS v4.0, CISA KEV и EPSS как разные, не взаимозаменяемые сигналы.
Классы решений
Локальная проверка, VA/Compliance, VM, Exposure Management и endpoint-native VM.
Метод проверки
Авторизация, область работ, обнаружение, подтверждение и фиксация результата.
Сканер-ВС 7
Пять типов задач и рекомендуемая последовательность их запуска.
Общая модель
Актив → экспозиция → свидетельство → приоритет → действие → повторная проверка.
02 / 09
Слабость, уязвимость, продукт
Одна таблица не заменяет модель угроз. Идентификаторы помогают связать данные, но отвечают на разные вопросы.
| Система | Что идентифицирует | Учебный вопрос | Пример применения |
|---|---|---|---|
| CWE | Класс слабости проектирования или реализации | Какой тип ошибки допустили? | CWE-787: запись за границами буфера |
| CVE | Публично известную уязвимость в конкретном контексте | Какая запись описывает проблему? | Связать бюллетень, оценки и исправление |
| CPE | Нормализованное наименование продукта и версии | К какому продукту относится запись? | Сопоставить инвентаризацию с источником уязвимостей |
Откуда возникла
Ошибка архитектуры или проектирования, дефект реализации, небезопасная конфигурация, уязвимая зависимость, слабые либо скомпрометированные учётные данные.
Где находится
ОС, сетевой сервис, веб-приложение, СУБД, встроенное ПО, контейнер, библиотека или средство администрирования.
Как эксплуатируется
Локально, из смежной сети или удалённо; с участием пользователя или без него; до либо после получения привилегий.
Что нарушается
Конфиденциальность, целостность и доступность, а также подлинность, подотчётность и возможность дальнейшего перемещения по инфраструктуре.
Что известно сейчас
Теоретическая применимость, наличие публичного PoC, наблюдаемая эксплуатация, исправление производителя и фактическое состояние целевого актива.
Почему это важно здесь
Экспозиция, ценность данных и сервиса, защитные меры, связность с другими системами, допустимый простой и требования к устранению.
Классификация уязвимостей многомерна
Их различают по происхождению, компоненту, вектору атаки, требуемым правам, влиянию на конфиденциальность, целостность и доступность, наличию эксплуатации и критичности затронутого актива. CVE и записи БДУ ФСТЭК России помогают связать сведения о конкретной уязвимости, а CWE — понять класс первопричины. Один идентификатор или балл не описывает весь риск.
03 / 09
CVSS v4.0 + KEV + EPSS
Правильный приоритет появляется только при совместном рассмотрении технической серьёзности, фактов эксплуатации, прогноза, экспозиции и бизнес-контекста.
Технические свойства
CVSS v4.0
Характеризует серьёзность уязвимости через группы Base, Threat, Environmental и Supplemental. Оценка 0–10 не является вероятностью атаки и не равна полному риску организации.
- CVSS-B: только базовые метрики
- CVSS-BT: Base + Threat
- CVSS-BE / BTE: добавлен контекст среды
Динамика эксплуатации
KEV и EPSS
KEV означает подтверждённую эксплуатацию в реальных атаках. EPSS оценивает вероятность наблюдаемой эксплуатации CVE в ближайшие 30 дней и обновляется ежедневно.
- Нет записи в KEV ≠ нет эксплуатации
- Низкий EPSS ≠ исправление не требуется
- Факт эксплуатации имеет приоритет над прогнозом
Формула принятия решения
Приоритет = факт/вероятность эксплуатации + техническая серьёзность + внешняя доступность + критичность актива + компенсирующие меры + последствия + стоимость и срочность исправления. Складывать CVSS и EPSS арифметически нельзя.
1. АктивКритичность, владелец, данные, внешний или внутренний контур.
2. ЭксплуатацияЗапись в KEV, подтверждённые атаки и другие проверенные сведения.
3. ПрогнозEPSS как вероятность наблюдаемой эксплуатации CVE в ближайшие 30 дней.
4. СерьёзностьCVSS и контекст среды: достижимость, права, последствия и защитные меры.
5. ДействиеИсправить, компенсировать или принять риск; назначить срок и повторную проверку.
04 / 09
Не все решения — просто сканеры
Локальный обзор от 14.11.2024 используется только как исторический снимок методики и набора продуктов. Текущие функции и статусы проверяются по официальным страницам на дату занятия.
| Класс | Главный результат | Российские примеры для обзора | Международные ориентиры |
|---|---|---|---|
| Локальный точечный анализ | Проверка установленного ПО одного хоста | ScanOVAL | — |
| VA / Compliance | Сетевое и системное сканирование, конфигурационный аудит | Сканер-ВС 7, MaxPatrol 8, RedCheck | Nessus, Greenbone/OpenVAS |
| Полный VM-цикл | Активы → приоритет → задача → контроль устранения | MaxPatrol VM, R-Vision VM | Qualys VMDR, Rapid7 InsightVM |
| Exposure / оркестрация | Объединение источников, бизнес-контекст, SLA и автоматизация | Security Vision VM, ScanFactory VM | Tenable One VM |
| Endpoint-native VM | Непрерывная оценка через endpoint-платформу | Рассматривается как отдельная архитектурная модель | Microsoft Defender VM |
Таблица — учебная классификация пересекающихся функций, а не рейтинг и не закупочная рекомендация. Доступность лицензий, сертификация и поддержка конкретных платформ проверяются отдельно.
Как сравнивать продукты без рекламного рейтинга
Для конкретной организации сопоставляют охват обнаружения и инвентаризации, глубину авторизованного анализа, источники уязвимостей и конфигурационных проверок, приоритизацию, жизненный цикл устранения, работу в изолированном контуре, API и интеграции, поддерживаемые платформы, сертификацию и сопровождение. Название класса само по себе не гарантирует наличие этих функций.
05 / 09
Рабочий цикл Сканер-ВС 7
Рекомендуемая последовательность документации: исследование сети → инвентаризация → поиск уязвимостей и аудит конфигурации. Проверка паролей проводится отдельно и только на учебных реквизитах.
Какие группы мер поддерживает средство
Официальное введение связывает функции Сканер-ВС с отдельными мерами защиты. Это карта функциональных возможностей, а не автоматическое подтверждение соответствия всей информационной системы.
Идентификация
ИАФ.1, ИАФ.3, ИАФ.4 и ИАФ.5: проверки, связанные с идентификацией и аутентификацией.
Управление доступом
УПД.1, УПД.2, УПД.10 и УПД.11: отдельные проверки управления доступом и сетевого взаимодействия.
События безопасности
РСБ.3 и РСБ.6: функции, используемые при анализе регистрации и событий безопасности.
Целостность
ОЦЛ.6 и ОЦЛ.7: контроль отдельных параметров целостности и конфигурации.
Анализ защищённости
АНЗ.1, АНЗ.3 и АНЗ.4: выявление, анализ уязвимостей и контроль состава технических средств и ПО.
Не аттестационное заключение
Отчёт фиксирует выбранные задачи в заданной области; полноту мер и соответствие системы обосновывает эксперт по совокупности доказательств.
01
Исследование сети
Задать разрешённые цели и исключения, интенсивность и лимиты; определить доступные узлы, TCP/UDP-порты, версии сервисов, признаки ОС и топологию. Перед запуском зафиксировать область работ.
02
Подключение найденных активов
Для Windows основной маршрут занятия — WinRM с vendor-скриптом winrm.ps1; для Linux — SSH. Для полноты вендор указывает административные права и root, поэтому в лаборатории привилегированные реквизиты делают отдельными и временными. У одного актива должно быть одно корректное подключение.
03
Инвентаризация
Собрать программное обеспечение и версии, обновления, аппаратный состав и пользователей. Привилегии нужны для полноты результата; экспорт SPDX/CycloneDX затем отдельно валидируется.
04
Поиск уязвимостей
Сопоставить инвентаризацию с выбранным источником, проверить версию, применимость и возможные ложные срабатывания. Режим БДУ рассматривается как отдельный эксперимент: документация содержит оговорку об игнорировании других штатных источников, поэтому поведение проверяют на фактической сборке.
05
Подбор паролей
Использовать малый словарь, синтетические учётные записи, фиксированные цели и остановку после первого результата. Отчёт может содержать пароль открытым текстом — удалить его и сменить реквизиты после занятия.
06
Аудит конфигурации
Выбрать подходящий шаблон Best Practice, сравнить фактические настройки с требованиями и отделить небезопасную конфигурацию от уязвимости версии ПО.
07
Отчёт и повторная проверка
Зафиксировать параметры задачи, версию базы, время и область проверки; проверить критичные результаты вручную, назначить действия и повторить проверку после исправления.
06 / 09
Windows через WinRM, Linux через SSH
Удобство лаборатории не должно превращаться в постоянное ослабление. Реквизиты — отдельные, права — минимально достаточные, доступ — только от адреса сканера и только на время занятия.
Windows · базовый маршрут
Подготовить WinRM
Официальная документация предлагает winrm.ps1 из /var/lib/echelon/0/scanner/scripts либо со страницы https://<IP-сканера>/winrm/. Ожидаемый SHA-256 и ожидаемого издателя преподаватель получает из подписанного реестра вендора по аутентифицированному независимому каналу. Для полной проверки вендор указывает административные права; в лаборатории это отдельная временная запись, HTTPS WinRM на 5986 и правило брандмауэра только для IP сканера.
$WinrmScript = '.\winrm.ps1'
$ExpectedWinrmSha256 = '<64_HEX_ИЗ_ПОДПИСАННОГО_РЕЕСТРА>'
$ExpectedPublisher = '<SUBJECT_ИЗ_ПОДПИСАННОГО_РЕЕСТРА_ИЛИ_UNSIGNED>'
if ($ExpectedWinrmSha256 -notmatch '^[0-9A-Fa-f]{64}$') { throw 'STOP: expected SHA-256 is absent' }
if ((Get-FileHash -LiteralPath $WinrmScript -Algorithm SHA256).Hash -ne $ExpectedWinrmSha256) { throw 'STOP: SHA-256 mismatch' }
$Signature = Get-AuthenticodeSignature -LiteralPath $WinrmScript
if ($Signature.Status -ne 'NotSigned' -and ($Signature.Status -ne 'Valid' -or $Signature.SignerCertificate.Subject -ne $ExpectedPublisher)) { throw 'STOP: Authenticode publisher mismatch' }
Powershell.exe -NoProfile -ExecutionPolicy Bypass -File $WinrmScript
Любое несовпадение — STOP до ExecutionPolicy Bypass. Для точечного отката используйте поставляемый remove.ps1 после такой же проверки SHA-256/подписи и убедитесь, что удаляется только конфигурация этого запуска; Disable-PSRemoting не является точечной отменой.
Linux · контролируемый доступ
Создать SSH-подключение
Документация для полной инвентаризации и аудита указывает привилегии root. В учебном стенде создаётся отдельная временная запись с ключом RSA/ECDSA/ED25519 либо временным паролем и строго ограниченным сроком жизни; объём привилегий и отклонения от требований вендора фиксируются в отчёте.
- Ограничить вход адресом сканера
- Сохранить строгие права на ключи и
authorized_keys - Не переносить
StrictModes noв Linux и production - Отозвать ключ и удалить временную запись после работы
Только разрешённая инфраструктура
Все действия выполняются только на собственных или письменно разрешённых учебных системах. Диапазоны, время, методы, учётные записи, пороги блокировки и ответственный за остановку фиксируются до начала работы.
07 / 09
Установка по предоставленной учебной инструкции
Обязательные команды перенесены из предоставленной учебной инструкции, страницы 3-5, и сверены с текущей официальной документацией Сканер-ВС 7.x. Переносы строк из PDF нормализованы в исполнимые однострочные команды.
Сначала получите свежий дистрибутив и лицензию
Имена файлов в конкретной выдаче могут отличаться. Получайте файл только по прямой ссылке производителя, а ожидаемый SHA-256 — от производителя либо из подписанного преподавателем реестра по независимому аутентифицированному каналу. Без доверенного хеша или проверяемой подписи действует STOP: файл не исполнять.
Подготовить WSL и Ubuntu
Запустите PowerShell от имени администратора. Приглашение PS C:\> вводить не нужно. После включения WSL может потребоваться перезагрузка.
wsl --install wsl --install Ubuntu wsl -d Ubuntu wsl --list --verbose
Если имя дистрибутива отличается от Ubuntu, используйте имя из списка. Текущая документация также рекомендует выполнить wsl --version и убедиться, что дистрибутив работает как WSL 2.
Распаковать, положить лицензию, установить
Скопируйте выданные файлы в Ubuntu через \\wsl$\. Лицензия должна попасть в созданный каталог pkg до запуска installer.
INSTALLER='./scanner-signed-deb.run'
EXPECTED_INSTALLER_SHA256='<64_HEX_ИЗ_АУТЕНТИФИЦИРОВАННОГО_РЕЕСТРА>'
ACTUAL_INSTALLER_SHA256="$(sha256sum -- "$INSTALLER" | awk '{print $1}')"
test "${ACTUAL_INSTALLER_SHA256,,}" = "${EXPECTED_INSTALLER_SHA256,,}" || { echo 'STOP: SHA-256 mismatch' >&2; exit 1; }
bash -- "$INSTALLER"
cp license.lic pkg/
cd pkg/
./installer install
Для нативной Astra Linux/Debian в PDF строка сокращена до sudo bash scanner.... Многоточие не является частью команды: подставьте полное имя свежего .run-файла. Каждый запрос установщика нужно читать, а не подтверждать вслепую.
Открыть 443 только через проверяемый runbook
Для работы только на самом Windows-компьютере используйте https://localhost и не создавайте сетевые правила. Если нужен доступ из лабораторной сети, выполняйте только пошаговый WSL-runbook: он делает STOP при коллизии слушателя, создаёт уникальное правило с маркером владельца, до изменения сохраняет долговечное состояние, ограничивает доступ лабораторной подсетью и предусматривает проверяемую очистку только объектов текущего запуска. Не переносите отдельные команды из runbook вручную.
Проверить и затем убрать временный доступ
Проверьте systemctl status scanner, смените первоначальный пароль и завершите runbook его режимом очистки. Успех — только когда правило с уникальным идентификатором запуска и принадлежащее ему перенаправление отсутствуют, а файл состояния удалён после подтверждённого отката. При частичной ошибке — STOP, состояние сохраняют для восстановления; общий сброс чужих правил запрещён.
08 / 09
Четыре практических блока
Каждый блок длится 90 минут и заканчивается артефактом, который нужен для следующего шага. После первого блока — обед; между остальными — короткие перерывы.
До занятия получите свежий учебный дистрибутив у производителя
Заполните официальную форму демоверсии. Производитель вышлет на указанную почту ссылку на актуальную демоверсию Сканер-ВС 7 Base и файл лицензии. На 05.08.2026 форма сообщает о лицензии на 4 IP до 30.09.2026 и сборках для Astra Linux, Windows 10/11 через WSL, Альт СП и РЕД ОС; это изменяемые условия, поэтому их проверяют перед каждым потоком. Включение «Инспектора» не предполагается без отдельного подтверждения производителя.
Base и Enterprise нельзя смешивать в одном задании
На дату проверки продукта Base содержит штатные шаблоны аудита, но создание, редактирование и импорт собственных шаблонов относится к Enterprise. Практика на демоверсии строится только на реально доступном шаблоне; число шаблонов и состав редакций сверяются перед занятием.
Контрольная точка установки
Официальная базовая конфигурация указывает 4 процессорных ядра, 8 Гбайт ОЗУ и SSD 100 Гбайт. Документированы варианты для поддерживаемых Linux-дистрибутивов, WSL 2 и контейнерного развёртывания; перед установкой сверяются именно актуальная инструкция для выбранной ОС, первый вход, смена первоначального пароля и загрузка выданной лицензии.
Основная лабораторная инструкция
Четыре практических блока, адаптированные с полезной последовательности методички версии 6 к задачам Сканер-ВС 7.x.
Все варианты одним архивом
Внутри находятся офлайн-лендинг и материалы `.md`: общий сценарий, ScanOVAL, WSL 2, VirtualBox, Live USB и отчет. Полностью распакуйте ZIP и откройте `index.html`.
Практика дня 14 × 90 минут
Блок 1
Подготовка и установка
Убедиться, что слушатель получил демоверсию Сканер-ВС 7 Base и файл лицензии через официальную форму; затем выбрать вариант: ScanOVAL, WSL 2, VirtualBox или Live USB. До исполнения или записи обязательно сверить SHA-256 с производителем либо подписанным преподавателем реестром по независимому аутентифицированному каналу; при отсутствии подтверждения — STOP. Проверить условия лицензии, снимок ВМ и отсутствие мостового подключения. Артефакт: паспорт стенда.
Блок 2
Исследование сети и подключения
Создать проект и задачу исследования сети, сверить найденные активы, подготовить Windows через WinRM и Linux через SSH. Артефакт: карта активов и журнал подключений.
Блок 3
Инвентаризация и поиск уязвимостей
Собрать ПО и аппаратный состав, запустить задачу поиска, выбрать несколько результатов и проверить версии, CVE/БДУ, CVSS, KEV/EPSS и применимость. Артефакт: реестр проверенных находок.
Блок 4
Пароли, конфигурации и отчёт
Провести контролируемую проверку синтетической учётной записи, запустить аудит конфигурации по подходящему шаблону, сформировать отчёт и план повторной проверки. Артефакт: защищаемый вывод.
Четыре варианта развертывания
01
ScanOVAL
Локальная проверка поддерживаемой Windows. Это не сетевой сканер и не VM-система. До запуска требуются SHA-256 из подписанного реестра по независимому каналу и действительная Authenticode-подпись ожидаемого издателя; отсутствие или несовпадение — STOP. Дистрибутив не включается в курс.
02
Сканер-ВС в WSL 2
Поддержаны Windows 10/11 и WSL 2. Сразу сменить стандартный пароль, не публиковать HTTP и ограничить 443 лабораторной подсетью.
03
VirtualBox
Astra Linux со сканером, Metasploitable 2 и учебная Windows размещаются в Host-only/Internal Network. Снимок создаётся до изменения конфигурации.
04
Live USB
Вендор документирует носитель от 32 ГБ. Без Persistence результаты исчезают после перезагрузки; с Persistence носитель содержит чувствительные данные и требует защиты.
09 / 09
Первоисточники к занятию
Проверено по официальным материалам 05.08.2026. Перед проведением курса преподаватель повторно сверяет версии, условия демолицензии и доступность образов.
Сканер-ВС 7
Таксономии и приоритизация
Контроль актуальности
Нельзя обещать обнаружение всех уязвимостей, отсутствие ложных срабатываний, одновременное объединение всех баз, наличие CVSS v4-вектора в конкретной сборке или включение «Инспектора» в демолицензию без проверки фактического стенда. Введение указывает сертификат ФСТЭК России № 2204, 4-й уровень доверия, срок действия до 13.11.2029; сертификат продукта не доказывает соответствие проверяемой системы.