Осалдықтарды басқару: Қазақстан ұйымдары үшін осалдықтарды іздеу және жою

Осалдықтарды басқару (Vulnerability Management, VM) — үздіксіз процесс: активтерді түгендеу, серверлерді, жұмыс станцияларын, желілік жабдықты және веб-қосымшаларды тұрақты сканерлеу, табылғандарға нақты тәуекел бойынша басымдық беру, жою жөнінде тапсырмалар қою және мерзімдерді бақылау. Genius Systems осалдықтарды басқаруды Қазақстандағы банктерге, мемлекеттік органдарға, өнеркәсіптік кәсіпорындарға және өз веб-әзірлемесі бар компанияларға енгізеді — Өскемен, Астана, Алматы, Қарағанды, Павлодар, Семей. Веб-қосымшалар мен API үшін Invicti (ex-Acunetix), инфрақұрылым үшін Tenable және Rapid7, ал пилоттық жобалар мен шағын желілер үшін ашық OpenVAS сканерімен жұмыс істейміз.

Осалдықтарды басқару қашан қажет

• Периметрде Cisco ASA, Citrix NetScaler, Fortinet, Zimbra, VMware vCenter немесе орнатылған сәттен бері ешкім жаңартпаған басқа да сервистер тұр.
• Мемлекеттік орган, квазимемлекеттік сектор немесе ақпараттық-коммуникациялық инфрақұрылымның аса маңызды объектісі (АКИАМО, КВОИКИ): АКТ және ақпараттық қауіпсіздікті қамтамасыз ету саласындағы бірыңғай талаптар (№ 832 қаулы) және АҚЖО-ға (ОЦИБ) қосылу осалдықтарды тұрақты бақылауды және оларды жоюды көздейді.
• Банк, сақтандыру компаниясы немесе микроқаржы ұйымы (МҚҰ): Ұлттық банк пен ҚНРДА ақпараттық жүйелерді сканерлеуді және пентестті талап етеді, аудитор есептерді сұрайды.
• Өз веб-әзірлемеңіз, клиенттерге арналған порталыңыз немесе API бар — осалдықтар әр релизбен бірге пайда болады.
• Инциденттен кейін шабуылдаушы патчы бір жыл бұрын шыққан осалдық арқылы кіргені анықталды.
• Тендер, аудит немесе бас ұйым есептілігі бар осалдықтарды басқару процесін талап етеді.

Verizon DBIR 2026 деректері бойынша, осалдықтарды эксплуатациялау есептік деректерді ұрлауды алғаш рет басып озып, № 1 шабуыл векторына айналды (31 %). 2026 жылғы тамызда CISA KEV-ке эксплуатацияланғаны расталған 31 осалдық қосылды — бұл 2025 жылғы наурыздан бергі ең жоғары көрсеткіш, оның үстіне олардың 6-уы — 2015–2023 жылдардағы CVE. Талдау — 2026 жылғы тамыздағы ақпараттық қауіпсіздік дайджестінде.

Не ұсынамыз

	Invicti (ex-Acunetix)	Tenable	Rapid7	OpenVAS / Nessus Essentials
Бейіні	Веб-қосымшалар мен API сканері: эксплуатациялану мүмкіндігін растайтын DAST, AcuSensor IAST-агенті	Инфрақұрылым сканері: Nessus, Tenable Vulnerability Management, Tenable Security Center	Инфрақұрылым мен вебке арналған платформа: InsightVM, InsightAppSec, ден қоюмен байланыстыру	Ашық OpenVAS сканері және 16 мекенжайға дейінгі тегін Nessus Essentials
Өнімдер желісі	Бір командаға арналған Acunetix Premium, орталықтандырылған басқаруы бар, ондаған қосымшаға арналған Invicti	Аудиторларға арналған Nessus Professional, VPR басымдығы бар бұлттық және жергілікті платформа, жұмыс станцияларына арналған агенттер	Агенттері мен нақты уақыттағы панельдері бар InsightVM, вебке арналған InsightAppSec, жергілікті орнатуға арналған Nexpose	Пилоттық жобалар, тесттік орталар, шағын желілер
Күшті жақтары	Жалған дабылдар барынша аз, Jira және CI/CD-мен интеграция, SPA және REST/GraphQL API қолдауы	Тексерулердің ең кең базасы, аудиттерге арналған стандарт, реттеушілер талаптарына сәйкестік	SIEM және SOAR-мен біртұтас платформа (InsightIDR, InsightConnect), Active Risk тәуекел бағасы	Лицензия құны нөл, жылдам бастау
Кімге лайық	Өз веб-әзірлемесі бар компаниялар, банктер, мемлекеттік порталдар	Инфрақұрылымды тұтас қамтып, аудиторға есептер көрсетуі қажет ұйымдарға	SOC-ты бір платформада құратындарға	Сатып алу алдындағы пилоттық жоба, филиалдар, тесттік сегменттер

Үш коммерциялық вендордың бәрі Қазақстанда дистрибьюторлар арқылы қолжетімді, лицензиялар мен қолдау — шектеусіз. Әдетте екі өнімді ұштастырамыз: инфрақұрылымдық сканер және веб-қосымшалар сканері. Үлкен бюджетсіз процесті неден бастау керегі — Осалдықтарды басқару: неден бастау керек мақаласында.

Не кіреді

• Активтерді түгендеу. Барлық хосттарды, сервистер мен веб-қосымшаларды, соның ішінде ұмыт қалған тесттік серверлер мен субдомендерді анықтау — оларды кибербарлаумен бірге іздейміз.
• Инфрақұрылымды сканерлеу. Windows және Linux серверлері, желілік жабдық, виртуализация, дерекқорлар, жұмыс станциялары — агентсіз және агентпен.
• Веб-қосымшалар мен API сканерлеу. Инъекциялар, XSS, авторизация қателері, осал компоненттер, эксплуатациялану мүмкіндігін растайтын OWASP Top 10 бойынша тексерулер.
• Басымдық беру. CVSS-ке қоса CISA KEV, EPSS, активтің орналасуы (периметр немесе ішкі желі) және оның бизнес үшін маңыздылығы.
• Тапсырмалар қою. Jira, Bitrix24 немесе ServiceDesk-те жауаптысы мен SLA бойынша мерзімі көрсетілген автоматты тапсырмалар.
• Жоюды бақылау. Қайта сканерлеу, тапсырмаларды автоматты жабу, мерзімі өткендерін эскалациялау.
• Есептілік. Басшылыққа, аудиторға және реттеушіге арналған есептер: динамика, мерзімінде жабылғандардың үлесі, жоюдың орташа мерзімі.
• SIEM-мен интеграция. Хосттардың осалдықтары туралы деректер SIEM жүйесіне беріледі — осал сервердегі оқиға жоғарырақ басымдық алады.
• Виртуалды патчинг. Патч орнатылғанға дейін осалдықты NGFW құрамындағы IPS жауып тұрады.

Қалай енгіземіз

1. Зерттеп-қарау. 1 апта: активтер мен қосымшалар тізімі, жаңартулардың қазіргі процесі, реттеуші мен аудитордың талаптары. Нәтижесі — сканерлеу шекаралары және пилоттық жобаның өлшемшарттары.
2. Пилоттық жоба. Сіздің периметріңіз бен 1–2 қосымшаңызда 30 күн: нақты осалдықтар көрсетілген есеп, жалған дабылдарды бағалау, 2–3 өнімді салыстыру.
3. Таңдау және лицензиялау. 1–2 апта: активтер мен қосымшалар саны бойынша спецификация, 1–3 жылға жазылым.
4. Өрістету. 1–2 апта: барлық сегменттердегі сканерлер, жұмыс станцияларындағы агенттер, авторизациямен тексеруге арналған есептік жазбалар.
5. Кестелер мен интеграциялар. 1–2 апта: сканерлеу кестесі, Jira немесе Bitrix24-тегі тапсырмалар, деректерді SIEM-ге беру, веб-қосымшалар үшін CI/CD-ге қосу.
6. Регламент. 1 апта: сыни деңгей бойынша SLA, жауаптылар, ерекше жағдайлар мен өтемдік шаралар, басшылыққа ай сайынғы есеп.
7. Сүйемелдеу. Жаңа KEV бойынша жоспардан тыс сканерлеулер, нәтижелерді талдауға көмек, жыл сайынғы пентест.

Неліктен Genius Systems

• Қазақстандағы Invicti, Tenable және Rapid7 серіктесіміз, ақпараттық қауіпсіздікпен 2012 жылдан бері айналысамыз: ресми лицензиялар, вендордың техникалық қолдауы, жазылымдарды жаңарту.
• Бірыңғай талаптарды, Ұлттық банк пен ҚНРДА талаптарын, ал 29.08.2026 бастап — АКИАМО-дан инциденттерге дайын болуды талап ететін Ұлттық дағдарысқа қарсы жоспарды ескереміз.
• Осалдықтарды басқару — кешенді қорғаудың бір бөлігі: онымен қатар NGFW, SIEM және кибербарлауды енгіземіз, пентесті бар қауіпсіздік аудитін жүргіземіз.
• Сатып алуға дейін 30 күндік пилоттық жоба: демонстрация үшін емес, желіңізден нақты осалдықтарды тапқан өнім үшін төлейсіз.
• goszakup.gov.kz және «Самұрық-Қазына» порталы арқылы сатып алуларға қатысамыз, тапсырыс берушінің талаптарына сай техникалық ерекшелік дайындаймыз.