Audyt IT open source: 12 narzędzi do samodzielnego audytu w MŚP

W rozmowach z dyrektorami compliance średnich firm regularnie pojawia się pytanie typu: “konsultanci chcą 200 tys. zł za audyt cyber, a my mamy 50 tys. budżetu, co możemy zrobić sami?”. Odpowiedź jest pragmatyczna: dużo. Większość obszarów technicznych można sprawdzić samodzielnie używając narzędzi open-source lub niedrogich komercyjnych. Niektóre obszary (kultura, niezależna ocena strategiczna) wymagają zewnętrznej perspektywy, ale nawet tam istnieją narzędzia self-service redukujące koszt do ułamka pełnego audytu.

Ten tekst opisuje dwanaście konkretnych narzędzi pogrupowanych w sześć kategorii. Dla każdego: zastosowanie, dostawca, model licencji, koszt, krzywą uczenia się, ograniczenia.

Kategoria 1: skanowanie podatności

Narzędzie 1: OpenVAS / Greenbone Vulnerability Manager.

OpenVAS to flagowy open-source skaner podatności. Skanuje sieć, identyfikuje znane podatności (CVE), priorytetyzuje na podstawie CVSS score. Aktualizowana baza ~80 000 testów.

• Dostawca: Greenbone Networks (GmbH).
• Licencja: open-source (GPL) dla społeczności, plus komercyjne wersje z dodatkowymi funkcjami.
• Koszt: 0 zł dla wersji społecznościowej. Komercyjne wersje 15 000-80 000 zł rocznie.
• Krzywa uczenia: średnia. Wymaga znajomości linii poleceń i sieci.
• Zastosowanie: regularne (kwartalne) skanowanie infrastruktury.

Narzędzie 2: Nessus Essentials.

Komercyjny skaner od Tenable, ale wersja Essentials darmowa do 16 adresów IP. Łatwiejszy w użyciu niż OpenVAS, profesjonalnie wsparte testy.

• Dostawca: Tenable.
• Licencja: Essentials darmowa (do 16 IP), Professional 14 500 zł rocznie, Expert 24 000 zł.
• Koszt: 0-24 000 zł zależnie od skali.
• Krzywa uczenia: niska.
• Zastosowanie: dla firm do 16 serwerów, Essentials wystarcza. Większe, Professional.

Kategoria 2: zarządzanie tożsamością i dostępem

Narzędzie 3: Active Directory Audit (DSACLS, dsquery).

Wbudowane narzędzia Microsoft AD do audytu uprawnień. Skanowanie struktury OU, GPO, członkostwa w grupach, uprawnień do obiektów.

• Koszt: 0 zł (część systemu Windows Server).
• Krzywa uczenia: średnia (PowerShell, scripting).
• Zastosowanie: audyt struktury AD, identyfikacja przeuprawniwionych kont.

Narzędzie 4: BloodHound.

Open-source narzędzie do analizy ścieżek ataków w Active Directory. Wizualizuje, kto może eskalować uprawnienia do kogo.

• Dostawca: SpecterOps (open-source) plus BloodHound Enterprise (komercyjny).
• Licencja: open-source MIT.
• Koszt: 0 zł.
• Krzywa uczenia: średnia-wysoka (wymaga zrozumienia AD).
• Zastosowanie: pen-testowe podejście do AD, identyfikacja ścieżek ataku.

Kategoria 3: zarządzanie compliance i ryzykiem

Narzędzie 5: OneTrust Privacy.

Platforma GRC zorientowana na RODO. Rejestr czynności przetwarzania, zarządzanie zgodami, DPIA, obsługa praw podmiotów danych.

• Dostawca: OneTrust LLC.
• Licencja: SaaS, modułowa.
• Koszt: 30 000-200 000 zł rocznie zależnie od skali firmy i modułów.
• Krzywa uczenia: niska-średnia.
• Zastosowanie: dojrzałe firmy z dużą ilością procesów RODO.

Narzędzie 6: VeraDoc / lokalne polskie alternatywy.

Polskie narzędzia do zarządzania RODO często tańsze i lepiej dostosowane do polskiego kontekstu. VeraDoc, eDoc, ProteGo One, ApplicationManager, różne profile.

• Koszt: 8 000-40 000 zł rocznie.
• Zastosowanie: średnie polskie firmy, gdzie OneTrust jest zbyt drogi.

Kategoria 4: monitoring i SIEM

Narzędzie 7: Wazuh.

Open-source SIEM (Security Information and Event Management). Zbiera logi, detekcja anomalii, dashboardy.

• Dostawca: Wazuh Inc.
• Licencja: open-source.
• Koszt: 0 zł software, plus koszt infrastruktury (serwer 5 000-20 000 zł rocznie) i czasu zespołu.
• Krzywa uczenia: wysoka (wymaga eksperta security).
• Zastosowanie: średnie firmy bez budżetu na komercyjny SIEM.

Narzędzie 8: Splunk Free.

Komercyjny SIEM, ale wersja Free do 500 MB dziennie. Profesjonalnie wsparta, łatwiejsza w nauce niż Wazuh.

• Dostawca: Splunk.
• Licencja: Free do 500 MB/dzień, Enterprise od 2 000 USD/GB/rok.
• Koszt: 0 zł dla małych firm. Pełna licencja: od 50 000 zł rocznie.
• Krzywa uczenia: średnia.

Kategoria 5: backup i ciągłość działania

Narzędzie 9: Veeam Backup & Replication Community Edition.

Komercyjny backup, ale wersja Community do 10 instancji workload za darmo. Profesjonalne odzyskiwanie po awarii.

• Dostawca: Veeam.
• Licencja: Community Edition darmowa, komercyjne licencje od 5 000 zł.
• Koszt: 0-60 000 zł rocznie zależnie od skali.
• Krzywa uczenia: niska-średnia.
• Zastosowanie: backup serwerów wirtualnych, odzyskiwanie po awarii.

Narzędzie 10: Bareos.

Open-source enterprise-grade backup. Fork Bacula z aktywnym wsparciem.

• Dostawca: Bareos GmbH.
• Licencja: open-source (AGPL).
• Koszt: 0 zł software, plus support komercyjny opcjonalny (15 000-60 000 zł rocznie).
• Krzywa uczenia: wysoka.
• Zastosowanie: większe firmy z kompetencjami Linux.

Kategoria 6: testowanie phishingu i edukacja

Narzędzie 11: GoPhish.

Open-source platforma do prowadzenia symulowanych kampanii phishingowych w celu szkolenia personelu i pomiaru świadomości.

• Dostawca: GoPhish (open-source).
• Licencja: MIT.
• Koszt: 0 zł.
• Krzywa uczenia: średnia.
• Zastosowanie: regularne (kwartalne) testy phishingowe wewnątrz firmy.

Narzędzie 12: KnowBe4.

Komercyjna platforma szkolenia z security awareness. Profesjonalne treści, testy phishingowe, dashboardy.

• Dostawca: KnowBe4.
• Licencja: SaaS.
• Koszt: 30-80 zł na użytkownika rocznie. Dla 100-osobowej firmy: 3 000-8 000 zł rocznie.
• Krzywa uczenia: niska.
• Zastosowanie: firmy szukające gotowego programu szkoleniowego.

Strategia wdrażania narzędzi

Etap 1 (miesiące 1-2): podstawy techniczne. Nessus Essentials lub OpenVAS dla skanowania, Wazuh dla podstawowego SIEM. Koszt: do 5 000 zł.

Etap 2 (miesiące 3-6): compliance i procesy. OneTrust lub polska alternatywa dla RODO, GoPhish dla testów phishingu, BloodHound dla AD. Koszt: 20 000-60 000 zł.

Etap 3 (miesiące 7-12): zarządzanie zaawansowane. Veeam dla backupu, KnowBe4 dla szkoleń, ewentualnie pełna licencja Splunk lub komercyjna OpenVAS. Koszt: 30 000-100 000 zł.

Łącznie pierwszy rok: 50 000-165 000 zł na narzędzia. Plus czas zespołu na wdrożenie (200-500 godzin).

To znacząco mniej niż pełny zewnętrzny audyt (200 000-600 000 zł), a daje firmie ciągłą kontrolę zamiast jednorazowej diagnozy.

Czego narzędzia nie zastąpią

Mimo że narzędzia są potężne, nie zastąpią:

Niezależnej oceny strategicznej. Narzędzie pokaże, że masz 73 podatności kategorii High. Nie powie, czy Twoja strategia bezpieczeństwa jest właściwa.

Oceny kultury bezpieczeństwa. GoPhish pokaże, że 18% personelu klika na phishing. Nie powie, dlaczego, czy to brak szkoleń, presja czasowa, niejasne procedury.

Wiarygodności dla regulatorów. Self-audit nie ma ciężaru zewnętrznego audytora.

Zewnętrznej perspektywy w obszarach niszowych. Niszowe regulacje (DORA, AI Act, sektorowe) wymagają specjalistycznej wiedzy.

Audytu certyfikacyjnego. Certyfikacja (ISO 27001, SOC 2) zawsze wymaga niezależnej jednostki certyfikującej.

Dla tych obszarów, zewnętrzny audytor pozostaje konieczny, ale jego czas można dramatycznie skrócić, jeśli firma już wykonała self-audit narzędziami.

Najczęstsze błędy w wykorzystaniu narzędzi

Błąd 1: kupowanie narzędzi bez kompetencji. OpenVAS bez specjalisty dający wyniki, których nikt nie umie zinterpretować. Lepiej: prosty Nessus Essentials z osobą, która rozumie wyniki.

Błąd 2: brak follow-upu. Skanowanie wykonane, raport z 200 podatnościami otrzymany, leżący w segregatorze. Bez wdrożenia napraw narzędzie jest stratą.

Błąd 3: tylko techniczne narzędzia. Compliance kompletnie ignorowane. Cyber jest mocne, RODO papierowe.

Błąd 4: zbyt wiele narzędzi naraz. Próba wdrożenia 8 narzędzi w 6 miesięcy, żadnego nie wdrożone solidnie. Lepiej: 2-3 narzędzia, dobrze wdrożone.

Błąd 5: ignorowanie integracji. Każde narzędzie w silosie. Lepiej: narzędzia integrowane (np. Wazuh + Greenbone) dla holistycznego widoku.

Bibliografia

• OWASP Foundation. (2024). OWASP Vulnerability Scanning Tools. https://owasp.org/www-community/Vulnerability_Scanning_Tools
• Greenbone Networks. (2024). OpenVAS Documentation. https://greenbone.github.io/docs/
• Tenable. (2024). Nessus User Guide. https://docs.tenable.com/nessus/
• Wazuh Inc. (2024). Wazuh, Open Source Security Platform. https://wazuh.com/
• SpecterOps. (2024). BloodHound, Six Degrees of Domain Admin. https://github.com/BloodHoundAD/BloodHound
• NIST. (2023). SP 800-115: Technical Guide to Information Security Testing and Assessment. https://doi.org/10.6028/NIST.SP.800-115
• Verizon. (2024). 2024 Data Breach Investigations Report. Verizon Business. https://www.verizon.com/business/resources/reports/dbir/

---

Self-audit narzędziami dramatycznie obniża koszt diagnostyki. W cotygodniowym newsletterze SkanujFirme.pl publikujemy konkretne tutoriale i konfiguracje narzędzi audytowych. Zapisz się, bezpłatnie.