Acunetix / Invicti: что это, сколько стоит в Казахстане и чем заменить в 2026

Acunetix — это сканер уязвимостей веб-приложений и API класса DAST (динамическое тестирование): он атакует работающее приложение снаружи, как злоумышленник, и находит SQL-инъекции, XSS, ошибки авторизации и уязвимые компоненты. С 2018 года Acunetix принадлежит Invicti Security, которая объединила его с Netsparker под брендом Invicti. Genius Systems поставляет и внедряет Invicti (ex-Acunetix), Tenable и Rapid7 для организаций Казахстана — в Усть-Каменогорске, Астане, Алматы, Караганде, Павлодаре и Семее — и в этой статье отвечает на три вопроса, которые чаще всего задают перед закупкой: что именно покупать, сколько это стоит и есть ли альтернативы.

Что такое Acunetix и чем он отличается от Invicti

Оба продукта работают на одном движке с ключевой функцией — proof-based scanning: сканер не просто сообщает «возможна инъекция», а безопасно эксплуатирует уязвимость и прикладывает доказательство. Это снижает долю ложных срабатываний, которые в других DAST-инструментах приходится разбирать вручную.

	Acunetix Premium	Invicti Enterprise / Invicti Platform
Для кого	Одна команда, до 10–20 сайтов	Десятки и сотни приложений, несколько команд
Лицензия	По числу целей (FQDN), минимум 5	По числу целей, корпоративный договор
Установка	Облако или локально (Windows/Linux)	Облако или локально, единая платформа
Дополнительно	IAST-агент AcuSensor, интеграция с Jira, GitLab, Jenkins	Роли и подразделения, SCA, управление постурой (ASPM), API-обнаружение
Ориентир цены, год	4 500–7 000 $ за 5 целей	от 15 000–25 000 $

Важное изменение 2026 года: локальные установки Acunetix Invicti переводит на единую Invicti Platform. По данным партнёров вендора, обязательная миграция для on-premises стартовала 29 апреля 2026. Лицензии продолжают действовать, цели, профили сканирования и история переносятся штатным экспортом и импортом. Если у вас стоит старый Acunetix на сервере — планируйте переход при продлении, а не в аварийном режиме.

Сколько стоит Acunetix в Казахстане

Invicti не публикует прайс-лист. Ориентиры ниже собраны по открытым маркетплейсам и партнёрским предложениям на 2026 год — считайте их отправной точкой для бюджета, а не офертой.

• Единица лицензирования — цель (FQDN). Сайт, личный кабинет и API на разных доменах — три цели. Поддомены считаются отдельно.
• Минимальный пакет — 5 целей, типовая подписка на 1–2 года с ежегодной оплатой. Стоимость одной цели падает с масштабом: примерно 1 400 $ при 5 целях и около 740 $ при 50.
• Acunetix Premium (облако) на AWS Marketplace указан за 7 000 $ в год за 5 целей; Invicti Enterprise — 37 000 $ за 50 целей.
• Локальная поставка в Казахстан идёт через дистрибьютора: к цене вендора добавляются курс на день счёта и НДС. Для госорганов и квазигоссектора — закупка через goszakup.gov.kz или портал Самрук-Казыны с техспецификацией.

Итого для компании с 5–10 публичными приложениями бюджет первого года — порядка 3–6 млн тенге с внедрением. Для сравнения: средний срок устранения уязвимости на периметре по Verizon DBIR 2026 — 43 дня, а эксплуатация уязвимостей стала вектором атак номер один. Одна закрытая вовремя SQL-инъекция в личном кабинете окупает подписку.

Кому Acunetix нужен, а кому — нет

Покупать DAST стоит, если выполняется хотя бы одно условие:

1. Есть собственная веб-разработка, портал клиентов или публичный API, и релизы выходят чаще раза в месяц.
2. Регулятор требует контроль уязвимостей: Единые требования по ИБ (постановление Правительства РК № 832) для госорганов и КВОИКИ, требования Нацбанка и АРРФР для финансового сектора.
3. Обрабатываются персональные данные: с 25 августа 2026 уведомить регулятора об утечке нужно за сутки, и «не знали об уязвимости» аргументом не будет.
4. Тендер, аудитор или головная организация просят отчёт о сканировании веб-приложений.

Если у вас один корпоративный сайт на WordPress и нет разработки — сканер веб-приложений не нужен. Достаточно инфраструктурного сканирования периметра в рамках аудита безопасности и защиты NGFW с IPS.

Чем заменить Acunetix в 2026

Инструмент	Класс	Плюсы	Минусы	Цена
Invicti Platform	DAST + IAST + SCA	Тот же движок, единая консоль, on-prem	Дороже Acunetix в 2–3 раза	от 15 000 $
Rapid7 InsightAppSec	DAST	Связка с InsightVM и SIEM InsightIDR, одна платформа для SOC	Только облако, слабее с SPA	По запросу, от 5 приложений
Tenable Web App Scanning	DAST	Единая консоль с Nessus и Tenable VM, отчёты для аудита	Меньше проверок бизнес-логики	По числу FQDN
Qualys WAS	DAST	Облако, лицензия по приложениям, дешевле на масштабе	Требует Qualys-платформы	По запросу
Burp Suite Enterprise	DAST	Стандарт пентестеров, глубокая ручная работа	Нужен специалист, много ручного разбора	от ~10 000 $
OWASP ZAP, Nuclei	Open source	Бесплатно, CI/CD, шаблоны	Нет proof-based, высокая доля ложных срабатываний	0 $ + время инженера

Практическое правило, которое Genius Systems применяет на пилотах: если веб-приложений до пяти и есть Tenable или Rapid7 для инфраструктуры — берите модуль веб-сканирования того же вендора, одна консоль дешевле двух. Если приложений больше десяти и важна точность — Acunetix или Invicti Platform. Open source годится для тестовых стендов и как дополнение в CI/CD, но не как единственный инструмент для отчёта регулятору.

Как выбрать: пилот за 30 дней

Сравнивать сканеры по брошюрам бесполезно — результаты расходятся на ваших приложениях. Мы проводим бесплатный пилот на 1–2 приложениях: запускаем 2–3 продукта на одном стенде и сравниваем по четырём метрикам — найденные подтверждённые уязвимости, ложные срабатывания, покрытие SPA и API, время разбора одного отчёта. Дальше — спецификация, лицензии через дистрибьютора, интеграция с Jira или Bitrix24 и передача данных в SIEM. Подробно о процессе — на странице управления уязвимостями, а о том, как выстроить цикл без большого бюджета, — в статье с чего начать.

Нужен расчёт под ваш список доменов или пилот Acunetix против Tenable и Rapid7 — оставьте заявку на странице контактов, ответим в течение рабочего дня.