Управление уязвимостями по Приказу ФСТЭК №117: обзор российских решений

1 марта 2026 года вступает в силу Приказ ФСТЭК России №117, который устанавливает новые требования к защите информации в государственных органах, ГУПах и госучреждениях. Документ требует перехода от формальной защиты к управляемым процессам безопасности на протяжении всего жизненного цикла информационных систем.

Одним из ключевых мероприятий является управление уязвимостями — непрерывный процесс выявления, оценки и устранения недостатков, которые могут быть использованы злоумышленниками. Рассмотрим три ведущих российских продукта для решения этой задачи.

Ключевые продукты для управления уязвимостями

НПО Эшелон: Сканер-ВС

Сканер-ВС — это комплекс тестирования защищенности, позволяющий организовать постоянный контроль информационных ресурсов любого масштаба. Продукт включен в единый реестр российского ПО и сертифицирован ФСТЭК России и Минобороны России.

Ключевые возможности:

• Обширная база уязвимостей: еженедельно обновляемая база, совместимая с банком данных угроз (БДУ) ФСТЭК России, содержит более 45 000 проверок.
• Сетевой аудит: инвентаризация ресурсов сети, безагентное сканирование (как с учетной записью администратора, так и без нее), сетевой аудит стойкости паролей с поддержкой более 20 протоколов.
• Инструменты для пентеста: возможность реализации атак типа MITM (ARP poisoning, ICMP redirect, DHCP spoofing), перехват трафика, аудит беспроводных сетей с WEP, WPA, WPA-2 шифрованием.
• Аудит защищенных ОС: специализированные проверки настроек комплекса средств защиты «Astra Linux Special Edition».
• Локальные проверки: аудит стойкости паролей по хешам, поиск остаточной информации, гарантированное удаление данных, контроль целостности с расчетом контрольных сумм по 13 алгоритмам (включая ГОСТ).
• Режим Live USB/DVD: возможность работы с загрузочного носителя для проверки изолированных сетей без внесения изменений в инфраструктуру.
• Гибкая отчетность: конструктор отчетов с экспортом в HTML, PDF, DOC, CSV.

Поддержка Linux: полная поддержка любых дистрибутивов Linux, включая Astra Linux Special Edition, Red OS, Alt Linux и другие. Доступен режим работы с Live USB для Linux-систем.

АЛТЭКС-СОФТ: RedCheck

RedCheck — это комплексная система анализа и мониторинга защищенности IT-инфраструктуры, решающая широкий круг задач в повседневном цикле управления информационной безопасностью. Продукт сертифицирован ФСТЭК России и внесен в реестр отечественного ПО.

Ключевые возможности:

• Аудит уязвимостей: проверка хостов в режиме «белого ящика» на наличие уязвимостей ОС, общесистемного и прикладного ПО, а также сетевого оборудования.
• Аудит обновлений: обнаружение неустановленных обновлений безопасности с формированием ссылок для загрузки.
• Аудит конфигураций: контроль параметров безопасности и оценка соответствия стандартам (приказы №21/239/17, ГОСТ ЦБ 57580, CIS Benchmarks).
• Режим «Пентест»: сканирование портов, поиск уязвимостей и подбор паролей без привилегий.
• Специализированный аудит: проверка СУБД (парольная политика, аутентификация, резервное копирование), анализ Docker-контейнеров, аудит уязвимостей протоколов АСУ ТП.
• Контроль целостности: обнаружение несанкционированных изменений в конфигурационных файлах, папках данных и ветках реестра.
• База уязвимостей: собственная разработка OVALdb с ежедневным обновлением из различных источников (CVE, БДУ, НКЦКИ).
• Функция «Контроль»: сравнение новых отчетов с эталоном для отслеживания изменений на хосте.

Поддержка Linux: полная поддержка всех основных дистрибутивов Linux, включая возможность аудита конфигураций и контроля целостности в Linux-средах.

Positive Technologies: XSpider

XSpider — это профессиональный сканер уязвимостей с более чем 15-летней историей, позволяющий оценить уровень защищенности сети компании, проверяя рабочие станции, серверы, сетевые устройства и веб-приложения. Продукт сертифицирован ФСТЭК и Минобороны РФ, входит в реестр российского ПО.

Ключевые возможности:

• Обширная база знаний: поддержка уязвимостей из банка данных угроз (БДУ) ФСТЭК России, база содержит свыше 20 000 проверок и пополняется ежедневно командой экспертов Positive Technologies.
• Эвристические алгоритмы: способность выявлять еще не опубликованные уязвимости, крайне низкий уровень ложных срабатываний.
• Полная идентификация сервисов: проверка серверов со сложной конфигурацией, когда сервисы работают на произвольно выбранных портах.
• Глубокий анализ веб-приложений: проверка на SQL-инъекции (SQLi), межсайтовое выполнение сценариев (XSS), запуск произвольных программ, получение файлов, расщепление HTTP-ответов.
• Аудит парольной защиты: оптимизированный подбор паролей по протоколам электронной почты, удаленного управления, служб передачи файлов и баз данных.
• Сбор информации о системе: обнаружение сетевых узлов, открытых портов, определение версий операционных систем и типов серверных приложений.
• Расширенная проверка Windows-систем: глубокая идентификация RPC-сервисов с определением детальной конфигурации компьютера.
• Проверки на DoS-атаки: выявление уязвимостей, приводящих к отказу в обслуживании.
• Детальная отчетность: различные виды отчетов с информацией об уязвимостях и рекомендациями по их устранению, ведение полной истории проверок.

Поддержка Linux: полная поддержка всех дистрибутивов Linux, возможность удаленного сканирования Linux-серверов и рабочих станций, идентификация версий ОС и установленных пакетов.

Сравнительная характеристика

Выводы: как выбрать инструмент для управления уязвимостями?

Выбор конкретного продукта зависит от масштаба инфраструктуры, специфики решаемых задач и требований к сертификации:

Сканер-ВС от НПО «Эшелон» — оптимальный выбор, если вам необходим комплексный анализ защищенности с возможностью тестирования на проникновение. Решение особенно актуально для организаций, работающих с изолированными сетями (благодаря режиму Live USB), использующих Astra Linux Special Edition, а также для госзаказчиков, которым требуется сертификация Минобороны. Уникальные возможности включают реализацию MITM-атак, аудит беспроводных сетей и широкий набор инструментов для пентеста.

RedCheck от АЛТЭКС-СОФТ — лучший выбор, если на первое место выходит контроль соответствия регуляторным стандартам (ГОСТ ЦБ 57580, CIS Benchmarks, приказы ФСТЭК) и работа с современными технологиями. Решение особенно сильно в аудите СУБД, Docker-контейнеров и АСУ ТП. Интеграция с системами управления процессами позволяет выстраивать полноценный процесс управления уязвимостями с приоритизацией и автоматическим реагированием.

XSpider от Positive Technologies — идеальный выбор, если ключевой приоритет — глубина анализа веб-приложений и максимальная точность обнаружения. Благодаря эвристическим алгоритмам и низкому уровню ложных срабатываний, XSpider эффективен для организаций с развитыми веб-сервисами и сложной сетевой инфраструктурой. Продукт также незаменим при необходимости идентификации сервисов на нестандартных портах и глубокого анализа RPC-сервисов.

Оптимальная стратегия для выполнения требований Приказа №117 часто предполагает комбинацию инструментов. Например, XSpider можно использовать для еженедельного глубокого сканирования веб-приложений и внешнего периметра, а Сканер-ВС — для периодического аудита изолированных сегментов и проверки защищенности Astra Linux. RedCheck хорошо подходит для автоматизации контроля соответствия стандартам и регулярной проверки конфигураций. Главное — помнить, что управление уязвимостями по Приказу №117 — это не разовое мероприятие, а непрерывный процесс, требующий регулярного проведения проверок и своевременного устранения найденных недостатков.