Zaiflik skanini pentestga aralashtirmaslik kerak. Skaner — bu avtomatik vosita, u oldindan ma'lum bo'lgan zaifliklarni izlaydi va hisobot beradi. Pentester esa noma'lum, kreativ kamchiliklarni izlaydi. Ikkalasi bir-birini almashtirmaydi, aksincha to'ldiradi. Yaxshi xavfsizlik strategiyasida haftalik avtomatik skan plus yiliga ikki marta inson tomonidan o'tkaziladigan pentest kombinatsiyasi qo'llaniladi.
Network va web application skanerlari
Zaiflik skanerlari ikki katta toifaga bo'linadi. Network scanner butun tarmoqni, ochiq portlarni, eskirgan versiyalarni va noto'g'ri sozlangan xizmatlarni qidiradi. Web application scanner esa to'g'ridan-to'g'ri saytlar bilan ishlaydi: SQL injection, XSS, CSRF va boshqa OWASP zaifliklarini aniqlaydi. Korporativ muhitda har ikkala turi ham kerak bo'ladi, chunki ular boshqa-boshqa qatlamlarni qoplashadi.
Nessus — sanoat standarti
Tenable kompaniyasining Nessus mahsuloti zaiflik skanerlari orasida eng mashhur va keng tarqalgan vositadir. U 100 ming dan ortiq plagindan iborat, deyarli har kuni yangilanadi va MITRE CVE bazasi bilan to'liq sinxronlashtirilgan. Nessus Professional litsenziyasi yiliga 3990 dollar atrofida turadi, kichik shirkatlar uchun bu sezilarli xarajat. Nessus Essentials esa bepul versiya bo'lib, faqat 16 ta IP manzilni qoplaydi.
Acunetix va Invicti
Web application scanning sohasida Acunetix va Invicti (sobiq Netsparker) yetakchilik qiladi. Acunetix DeepScan texnologiyasi orqali JavaScript-og'ir SPA saytlarni ham to'g'ri tahlil qiladi. Invicti esa "proof-based scanning" deb nomlanuvchi yondashuv ishlatadi — har bir topilgan zaiflikni amalda isbotlaydi va false positive'ni minimumga tushiradi. Ikkala vosita ham yillik litsenziya bo'yicha 6 ming dollardan boshlanadi.
OpenVAS — ochiq kodli alternativ
Byudjeti cheklangan jamoalar uchun OpenVAS (hozir Greenbone Vulnerability Manager) eng yaxshi tanlov. U to'liq ochiq kodli, bepul va Nessus bilan funksional jihatdan raqobatlasha oladi. Vosita 80 ming dan ortiq zaiflik testini o'z ichiga oladi, har kuni yangilanadi va Linux server uchun bepul ishga tushirsa bo'ladi. Sayt.uz infratuzilmasining ichki audit jarayonlarida OpenVAS aynan shu maqsadda ishlatiladi.
False positive bilan kurashish
Har qanday avtomatik skanerning eng katta muammosi — false positive, ya'ni mavjud bo'lmagan zaifliklarni e'lon qilish. Yangi boshlovchi xavfsizlik mutaxassisi minglab false positive ostida ko'milib qolishi mumkin. Buning yechimi — har bir natijani qo'lda tekshirish, baseline o'rnatish va vaqt o'tishi bilan o'z muhitiga sozlash. Sayt.uz skanerlari mijoz uchun avval filtrlanadi, faqat haqiqiy zaifliklar ko'rsatiladi.
Sayt.uz amaliyot
Sayt.uz har bir mijoz sayti uchun haftalik avtomatik vulnerability scan o'tkazadi va critical darajadagi topilmalar mijozning kabinetida darhol ko'rsatiladi. Premium tariflarda kunlik skan va Nessus Professional asosidagi chuqur audit mavjud. Skan xizmati Premium tarifda bepul, alohida xizmat sifatida oylik 180 ming so'mdan boshlanadi. 2026 yil ma'lumotlariga ko'ra, biz tomonidan o'tkazilgan skanerlar mijozlarda 12 480 ta zaiflik aniqladi va shulardan 92 foizi 30 kun ichida tuzatildi.