Inwentaryzacja systemów operacyjnych stanowi pierwszy i jeden z najważniejszych etapów audytu cyberbezpieczeństwa. Organizacja nie może skutecznie chronić środowiska informatycznego bez pełnej wiedzy o wykorzystywanych zasobach. W praktyce wiele incydentów bezpieczeństwa wynika nie z braku odpowiednich zabezpieczeń, lecz z obecności urządzeń, serwerów lub systemów operacyjnych pozostających poza procesem zarządzania. Nieznane lub zapomniane zasoby nie otrzymują aktualizacji, nie podlegają monitorowaniu i nie są objęte polityką bezpieczeństwa. W rezultacie stają się łatwym celem dla atakujących.

Celem inwentaryzacji jest utworzenie kompletnego rejestru wszystkich systemów operacyjnych działających w organizacji. Rejestr powinien zawierać informacje o właścicielach systemów, ich przeznaczeniu biznesowym, poziomie krytyczności oraz aktualnym stanie technicznym. Inwentaryzacja nie stanowi jednorazowego zadania realizowanego wyłącznie na potrzeby audytu. Powinna być elementem stałego procesu zarządzania aktywami informacyjnymi. Organizacja powinna również regularnie aktualizować rejestr, aby odzwierciedlał rzeczywisty stan środowiska informatycznego.

Dlaczego inwentaryzacja jest tak istotna?

Każdy system operacyjny podłączony do sieci organizacji zwiększa potencjalną powierzchnię ataku. Dotyczy to serwerów produkcyjnych, komputerów użytkowników, maszyn wirtualnych, urządzeń testowych, komputerów laboratoryjnych, systemów przemysłowych oraz urządzeń Internetu Rzeczy (IoT). Nawet pojedynczy zapomniany serwer z nieaktualnym systemem operacyjnym może stanowić punkt wejścia do całej infrastruktury.

Audytorzy często identyfikują sytuacje, w których organizacja posiada więcej urządzeń, niż wskazuje prowadzona dokumentacja. Problem ten szczególnie często występuje w środowiskach rozwijanych przez wiele lat. W takich przypadkach kolejne projekty wdrażano bez regularnej aktualizacji ewidencji zasobów. W rezultacie w sieci mogą działać urządzenia o nieznanym przeznaczeniu, serwery pozostałe po zakończonych projektach oraz maszyny testowe, których nikt nie wyłączył.

Brak wiedzy o istnieniu takich systemów utrudnia ich aktualizowanie, monitorowanie oraz objęcie odpowiednimi politykami bezpieczeństwa. Z perspektywy cyberbezpieczeństwa prowadzi to do powstawania tak zwanych „ślepych punktów” (blind spots). Administratorzy nie widzą tych zasobów, natomiast osoby atakujące mogą je wykryć podczas rekonesansu.

Zakres inwentaryzacji

Profesjonalna inwentaryzacja nie polega wyłącznie na sporządzeniu listy komputerów. Powinna obejmować wszystkie systemy operacyjne działające w organizacji, niezależnie od miejsca instalacji oraz sposobu wykorzystania.

W pierwszej kolejności identyfikuje się serwery fizyczne oraz maszyny wirtualne obsługujące systemy biznesowe. Następnie analizuje się stacje robocze pracowników, komputery administracyjne, urządzenia mobilne, terminale cienkich klientów oraz komputery wykorzystywane przez podwykonawców.

Coraz większą uwagę należy zwracać również na systemy działające w środowiskach chmurowych. Organizacje coraz częściej uruchamiają maszyny wirtualne w usługach IaaS, kontenery aplikacyjne oraz klastry Kubernetes. Wszystkie te elementy wykorzystują określone systemy operacyjne i wymagają uwzględnienia w procesie zarządzania bezpieczeństwem.

Zakres inwentaryzacji powinien obejmować także urządzenia sieciowe wyposażone we własne systemy operacyjne. Należą do nich między innymi routery, przełączniki, zapory sieciowe, kontrolery sieci bezprzewodowej oraz urządzenia VPN. Choć często nie traktuje się ich jako klasycznych serwerów, ich podatności mogą umożliwić przejęcie kontroli nad ruchem sieciowym organizacji.

Nie należy pomijać urządzeń IoT, systemów automatyki przemysłowej (ICS/SCADA), rejestratorów monitoringu, drukarek sieciowych, telefonów VoIP ani urządzeń medycznych. Każde z tych urządzeń wykorzystuje oprogramowanie systemowe, które może zawierać podatności wymagające regularnego monitorowania i aktualizacji.

Jakie informacje powinny zostać zebrane?

Sama identyfikacja urządzenia nie wystarcza. Dla każdego systemu operacyjnego należy zgromadzić zestaw informacji, który umożliwi późniejszą ocenę ryzyka oraz zaplanowanie działań naprawczych.

Podstawowe informacje obejmują nazwę hosta oraz jednoznaczny identyfikator urządzenia. Należy również zapisać adresy IPv4 i IPv6, lokalizację fizyczną lub logiczną, nazwę segmentu sieci, numer seryjny oraz producenta urządzenia.

Kolejny etap obejmuje dokładną identyfikację systemu operacyjnego. Należy uwzględnić jego nazwę, edycję, wersję, numer kompilacji oraz architekturę procesora. Przykładowe zapisy, takie jak „Windows Server 2022 Datacenter, build 20348” lub „Ubuntu Server 24.04 LTS, kernel 6.8”, pozwalają jednoznacznie określić stan środowiska.

Istotne znaczenie ma także określenie roli biznesowej systemu. Audytor powinien ustalić, czy urządzenie pełni funkcję serwera plików, kontrolera domeny, serwera aplikacyjnego, serwera baz danych, stacji roboczej działu księgowości lub elementu infrastruktury sieciowej. Informacja ta pozwala ocenić wpływ potencjalnego incydentu na działalność organizacji.

Każdy system powinien mieć przypisanego właściciela biznesowego oraz technicznego. Brak osoby odpowiedzialnej za zasób stanowi jedną z najczęściej występujących niezgodności podczas audytów.

Metody prowadzenia inwentaryzacji

Proces inwentaryzacji można realizować na kilka sposobów. Najlepsze rezultaty zapewnia połączenie różnych metod pozyskiwania informacji.

Pierwszym źródłem danych pozostaje dokumentacja organizacji. Obejmuje ona rejestry środków trwałych, systemy CMDB, dokumentację projektową oraz ewidencję urządzeń prowadzoną przez dział IT. Dokumentacja stanowi punkt wyjścia, jednak nie można zakładać, że zawsze pozostaje kompletna i aktualna.

Kolejny etap obejmuje automatyczne skanowanie sieci. W tym celu wykorzystuje się narzędzia identyfikujące aktywne hosty, otwarte porty oraz systemy operacyjne. Proces ten pozwala wykryć urządzenia, których wcześniej nie uwzględniono w dokumentacji.

Dodatkowe informacje dostarczają systemy katalogowe, takie jak Active Directory oraz Microsoft Entra ID. Umożliwiają one identyfikację komputerów dołączonych do domeny oraz urządzeń zarządzanych centralnie.

W środowiskach Linux wartościowym źródłem danych są systemy zarządzania konfiguracją, takie jak Ansible, Puppet oraz Salt. W środowiskach Windows organizacje wykorzystują natomiast Microsoft Configuration Manager, Intune oraz rozwiązania klasy Unified Endpoint Management.

Coraz większą rolę odgrywają także systemy EDR oraz XDR. Utrzymują one aktualną ewidencję chronionych urządzeń oraz dostarczają informacji o stanie zabezpieczeń i aktywności użytkowników.

Typowe niezgodności wykrywane podczas audytu

Do najczęściej spotykanych problemów należy brak zgodności pomiędzy dokumentacją a rzeczywistym stanem środowiska. W praktyce liczba urządzeń wykrytych podczas skanowania sieci jest często większa niż liczba urządzeń znajdujących się w ewidencji.

Audytorzy regularnie identyfikują serwery pozostawione po zakończonych projektach, nieużywane maszyny wirtualne, komputery testowe oraz urządzenia należące do byłych pracowników. Często okazuje się również, że część systemów działa pod kontrolą niewspieranych wersji systemów operacyjnych lub nie posiada przypisanego właściciela.

W środowiskach chmurowych typowym problemem jest pozostawianie nieużywanych maszyn wirtualnych uruchomionych przez zespoły projektowe. Zwiększa to koszty utrzymania infrastruktury i jednocześnie rozszerza powierzchnię potencjalnego ataku.

Ocena ryzyka

Brak pełnej inwentaryzacji należy traktować jako ryzyko wysokie. Nieznane zasoby nie są objęte procesem zarządzania podatnościami, nie są monitorowane pod kątem incydentów bezpieczeństwa i bardzo często nie posiadają aktualnych kopii zapasowych. W przypadku kompromitacji takich systemów organizacja może przez długi czas nie być świadoma naruszenia.

Z perspektywy modelu CIA skutki mogą obejmować utratę poufności danych, naruszenie integralności przetwarzanych informacji oraz zakłócenie dostępności usług biznesowych.

Zalecenia audytowe

Organizacja powinna wdrożyć centralny proces zarządzania aktywami informacyjnymi obejmujący wszystkie systemy operacyjne oraz urządzenia przetwarzające informacje. Każdy nowy system powinien zostać zarejestrowany jeszcze przed przekazaniem do eksploatacji, a wycofanie urządzenia powinno być odnotowane w dokumentacji wraz z potwierdzeniem bezpiecznego usunięcia danych.

Dobrą praktyką jest automatyczne porównywanie wyników okresowych skanów sieci z rejestrem aktywów oraz generowanie alertów w przypadku wykrycia nieznanych urządzeń. W organizacjach o podwyższonych wymaganiach bezpieczeństwa zaleca się prowadzenie ciągłej inwentaryzacji z wykorzystaniem narzędzi klasy Asset Management, CMDB oraz EDR/XDR, co pozwala na bieżąco monitorować zmiany w środowisku.

Inwentaryzacja powinna być traktowana jako proces ciągły, a nie jednorazowa czynność wykonywana wyłącznie podczas audytu. Tylko pełna i aktualna wiedza o zasobach umożliwia skuteczne zarządzanie podatnościami, planowanie aktualizacji, monitorowanie incydentów oraz ocenę ryzyka cyberbezpieczeństwa.

Powiązanie z normami i dobrymi praktykami

Kontrola inwentaryzacji systemów operacyjnych jest bezpośrednio związana z wymaganiami wielu uznanych standardów bezpieczeństwa. W szczególności odpowiada wymaganiom dotyczącym identyfikacji i zarządzania aktywami określonym w ISO/IEC 27001:2022, funkcji Identify w NIST Cybersecurity Framework 2.0 oraz pierwszemu zabezpieczeniu CIS Controls v8 – Inventory and Control of Enterprise Assets. Prawidłowo prowadzona inwentaryzacja stanowi fundament wszystkich kolejnych działań audytowych, takich jak zarządzanie podatnościami, aktualizacjami, konfiguracją oraz monitorowaniem bezpieczeństwa.

Podsumowanie

Inwentaryzacja systemów operacyjnych stanowi podstawowy element audytu cyberbezpieczeństwa oraz punkt wyjścia do oceny poziomu ochrony organizacji. Bez pełnej wiedzy o wykorzystywanych systemach, ich konfiguracji, przeznaczeniu i właścicielach nie można skutecznie zarządzać ryzykiem ani wdrażać odpowiednich zabezpieczeń.

Proces inwentaryzacji należy traktować jako stały element zarządzania aktywami informatycznymi, a nie jednorazowe działanie realizowane wyłącznie na potrzeby audytu. Środowiska IT stale się zmieniają – pojawiają się nowe serwery, aplikacje i urządzenia, a część systemów zostaje wycofana. Brak aktualnej ewidencji prowadzi do powstawania niekontrolowanych zasobów, które mogą stać się punktem wejścia dla atakujących.

Prawidłowa inwentaryzacja pozwala określić, jakie systemy działają w organizacji, gdzie się znajdują, kto odpowiada za ich utrzymanie, jakie dane przetwarzają oraz jaki mają poziom krytyczności. Informacje te wspierają kolejne etapy audytu, takie jak zarządzanie podatnościami, aktualizacje bezpieczeństwa, analiza konfiguracji i planowanie działań naprawczych.

Szczególną uwagę należy poświęcić systemom nieznanym, niewspieranym przez producenta, pozbawionym właściciela lub pomijanym w procesach bezpieczeństwa. Takie zasoby często nie otrzymują aktualizacji i pozostają poza zakresem monitorowania.

Dojrzała organizacja powinna wykorzystywać narzędzia umożliwiające automatyczne wykrywanie zmian, aktualizację rejestru aktywów oraz integrację informacji z procesami zarządzania ryzykiem. Rozwiązania klasy Asset Management, CMDB, EDR/XDR i systemy zarządzania konfiguracją pomagają utrzymać aktualną wiedzę o infrastrukturze.

Z perspektywy audytora inwentaryzacja systemów operacyjnych stanowi fundament oceny bezpieczeństwa. Organizacja musi najpierw znać swoje zasoby i zakres odpowiedzialności, aby skutecznie wdrażać zabezpieczenia, monitorowanie oraz kontrolę dostępu.

---

Dziękuję Ci, za poświęcony czas na przeczytanie tego artykułu. Jeśli był on dla Ciebie przydatny, to gorąco zachęcam Cię do zapisania się na mój newsletter, jeżeli jeszcze Cię tam nie ma. Proszę Cię także o “polubienie” mojego bloga na Facebooku oraz kanału na YouTube – pomoże mi to dotrzeć do nowych odbiorców. Raz w tygodniu (niedziela punkt 17.00) otrzymasz powiadomienia o nowych artykułach / projektach zanim staną się publiczne. Możesz również pozostawić całkowicie anonimowy pomysł na wpis/nagranie.

Link do formularza tutaj: https://beitadmin.pl/pomysly

Pozostaw również komentarz lub napisz do mnie wiadomość odpisuję na każdą, jeżeli Masz jakieś pytania:).