Problema scanării despre care nimeni nu vorbește
93% dintre mediile enterprise au cel puțin un CVE critic nepatat în producție chiar acum. Nu e o predicție — e din raportul Tenable State of Vulnerability Management 2026. Instrumentele există. Bugetele există. Atunci de ce echipele de securitate se înec în datorii de vulnerabilități?
Pentru că scanarea e ușoară. Să faci ceva util cu rezultatele e dificil. Majoritatea organizațiilor rulează un scan Nessus luni, primesc 40.000 de găsiri și petrec restul săptămânii argumentând care ticket să fie deschis primul. Ăsta nu e un program de vulnerability management. E teatru de vulnerabilități.
Acest ghid este pentru inginerul de securitate sau lead-ul AppSec care știe deja ce e un CVE și vrea să rezolve problemele cu adevărat. Acoperim peisajul instrumentelor, cadrele de prioritizare, scanarea specifică containerelor și cum să construiești un flux de lucru de scanare continuă care nu se prăbușește sub propria greutate.
Ce fac instrumentele de scanare a vulnerabilităților — și ce nu fac
Scanerele de vulnerabilități sunt esențial sisteme automate de interogare. Sondează sistemele tale — hosturi, rețele, containere, aplicații web, configurații cloud — și compară ce găsesc cu baze de date de vulnerabilități cunoscute: NVD, feed-uri CVE, avize ale furnizorilor și, din ce în ce mai mult, intelligence de amenințări proprietar.
Ce nu fac: să-ți spună care dintre acele 40.000 de găsiri va fi exploatată efectiv în următoarele 90 de zile. Acest decalaj dintre detectare și prioritizare e locul unde cele mai multe programe se destramă.
Instrumente de evaluare a vulnerabilităților de rețea
Nessus Professional și Qualys VMDR sunt incumbenții. Ambele fac scanare cu credențiale excelent. Qualys are avantaj pentru scanarea continuă la scară enterprise prin modelul bazat pe agenți. OpenVAS, astăzi ca Greenbone Community Edition, rămâne o opțiune solidă pentru echipele cu bugete reduse.
Scanarea vulnerabilităților aplicațiilor web
Scanarea aplicațiilor web merită propria categorie pentru că modelul de amenințare e fundamental diferit. Instrumente DAST precum OWASP ZAP, Burp Suite Enterprise și Invicti fac testare dinamică — interacționează efectiv cu aplicații rulate și sondează injecții, control de acces defectuos, SSRF și restul OWASP Top 10. ZAP e gratuit și excelent pentru integrarea CI/CD.
Scanarea securității containerelor
Scanarea imaginilor de container a devenit negociabilă. Când întreaga stivă de aplicații este livrată ca o imagine de container, fiecare bibliotecă vulnerabilă din acea imagine este un vector de atac potențial. Trivy de la Aqua Security a devenit standardul de facto pentru scanarea open-source a containerelor. Pentru medii enterprise, platformele de Container Image Scanning care se integrează direct cu registry-ul și pipeline-ul CI/CD sunt esențiale — capacitatea de a aplica policy gates la momentul build-ului face diferența între prinderea unui CVE înainte de deployment și urmărirea lui în producție.
Prioritizarea CVE: Nu mai trata fiecare Critical ca egal
NVD atribuie un scor CVSS fiecărui CVE. Un CVSS 9.8 pare înfricoșător. Dar CVSS măsoară severitatea teoretică, nu exploatabilitatea efectivă în mediul tău. Aproximativ 6% din CVE-uri primesc vreodată un exploit public. A trata fiecare CVSS 9.8 ca un incendiu de gradul cinci e modul în care echipele de securitate ajung la burnout.
Scorul EPSS în practică
Exploit Prediction Scoring System (EPSS) atribuie fiecărui CVE o probabilitate de a fi exploatat în sălbăticie în următoarele 30 de zile. EPSS v3 a îmbunătățit semnificativ acuratețea. În 2026, EPSS a devenit un input standard de prioritizare alături de CVSS. Fluxul de lucru care funcționează efectiv: filtrați output-ul scanerului după scor EPSS peste 0,1, apoi aplicați CVSS ca tiebreaker de severitate, apoi criticitatea activului.
Managementul vulnerabilităților bazat pe risc
Managementul vulnerabilităților bazat pe risc ia datele EPSS și KEV și adaugă context de afaceri. Platformele de Vulnerability Management care integrează inventarul activelor cu intelligence de amenințări și date de expunere demonstrează valoarea lor reală.
Attack Surface Management
Scanerele tradiționale de vulnerabilități găsesc doar ce le indici. Attack surface management începe din perspectiva atacatorului. Combinat cu un Cloud Inventory care urmărește fiecare resursă din conturile cloud, obții o imagine mult mai completă a suprafeței tale reale de atac.
Scanarea continuă a vulnerabilităților
Scanările programate sunt o abordare din 2015. Mediul tău se schimbă zilnic. Pentru infrastructura cloud, instrumentele CSPM monitorizează continuu driftul de configurație față de CIS Benchmarks și propriile tale baseline-uri de politici.
Strategia de patch management: Închiderea cercului
Scanarea vulnerabilităților fără o strategie de patch management e doar un mod foarte costisitor de a genera anxietate. Raportul IBM Cost of a Data Breach 2026 a constatat că organizațiile cu patch management automatizat au redus costurile breșelor cu o medie de 1,2 milioane USD. Pentru medii cloud, VM Scans integrate direct cu fluxul de lucru de patch management pot reduce dramatic timpul dintre detectare și remediere.
Integrarea scanării în ciclul de viață al dezvoltării
Programele de vulnerabilități cele mai eficiente tratează scanarea ca o integrare în fluxul de lucru al dezvoltatorilor. Analiza statică prin SAST în pipeline-urile CI prinde vulnerabilitățile la nivel de cod. Secret Detection în același pipeline prinde credențialele hardcodate — o clasă de vulnerabilitate pe care scanerele o ratează de obicei complet.
Construirea unui program realist de vulnerability management
Un program matur în 2026 are aceste componente care funcționează împreună: descoperire și inventar continuu al activelor, scanare automată pe hosturi, containere, aplicații web și configurații cloud, prioritizare bazată pe EPSS + KEV, fluxuri de lucru de patch conduse de SLA și metrici care contează. Începe cu inventarul activelor. Nu poți securiza ce nu știi că există.