Autor: [Adam Nadolny](/autorzy/adam-nadolny) Ekspert DevOps i infrastruktury · Zweryfikowano Kwiecień 2026

1.  [Strona główna](/) ›
2.  [Baza wiedzy](/baza-wiedzy/) ›
3.  OpenVAS/GVM — skanowanie podatności

# OpenVAS/GVM — skanowanie podatności serwerów i aplikacji

Opublikowano: 10 kwietnia 2026 · Kategoria: Bezpieczeństwo

Czy Twój serwer ma znane podatności? OpenSSH z przestarzałą wersją, Apache bez łatki na CVE z ubiegłego roku, PHP 7.4 po EOL — skaner podatności to odpowiedź na pytanie "co powinienem naprawić". GVM (Greenbone Vulnerability Management), często nazywany OpenVAS, to kompletna platforma skanowania podatności z bogatą bazą ponad 60 000 testów NVT (Network Vulnerability Tests). Ten artykuł pokazuje instalację przez Docker, tworzenie pierwszego skanu i interpretację raportu.

## Instalacja GVM przez Docker

Instalacja GVM bezpośrednio na systemie jest skomplikowana (wiele zależności). Docker to zdecydowanie najprostsze podejście. Wymagania: min. 4 GB RAM (rekomendowane 8 GB) i ~20 GB wolnego miejsca na dysku (baza NVT jest duża):

\# Uruchom GVM przez oficjalny kontener Greenbone
docker run -d \\
  --name gvm \\
  -p 9392:9392 \\
  -e PASSWORD="admin\_haslo" \\
  -v gvm-data:/data \\
  greenbone/community-edition

# Pierwsze uruchomienie pobiera baze NVT (20-40 min!)
# Monitoruj postep:
docker logs -f gvm 2>&1 | grep -E "sync|feed|NVT|Starting"

# Gdy zobaczysz "Starting Greenbone Security Assistant" - gotowe
# Dashboard: https://TWOJE-IP:9392
# Login: admin / admin\_haslo

# Sprawdz status feedow (NVT, SCAP, CERT)
docker exec gvm gvm-cli --gmp-username admin --gmp-password admin\_haslo \\
  socket --xml "<get\_feeds/>"

# Jesli wolisz docker-compose:
cat > docker-compose.yml << 'EOF'
version: '3'
services:
  gvm:
    image: greenbone/community-edition
    ports:
      - "9392:9392"
    environment:
      - PASSWORD=admin\_haslo
    volumes:
      - gvm-data:/data
    restart: unless-stopped
volumes:
  gvm-data:
EOF
docker compose up -d

## Tworzenie pierwszego skanu

Po zalogowaniu do dashboardu GSA (Greenbone Security Assistant) możesz stworzyć skan przez kreator. Poniżej opis kroków przez UI i alternatywnie przez API:

1.  **Scans → Tasks → New Task** — lub użyj Wizard (ikona różdżki) dla uproszczonego kreatora.
2.  **Name:** Wpisz czytelną nazwę (np. "Web Server Audit 2026-04-10").
3.  **Scan Config:** Wybierz typ skanu — "Full and fast" jest rekomendowany dla kompletności; "Discovery" jest szybki ale powierzchowny.
4.  **Target:** Stwórz nowy target: Configuration → Targets → New Target. Wpisz IP lub zakres (np. 10.0.0.1 lub 10.0.0.0/24).
5.  **Credentials (opcjonalnie):** Dla authenticated scan — stwórz credentials w Configuration → Credentials (typ SSH key lub password).
6.  **Start scan:** Kliknij Play. Monitoruj postęp w Scans → Tasks.

\# Alternatywnie przez gvm-cli (command line)
docker exec -it gvm gvm-cli \\
  --gmp-username admin --gmp-password admin\_haslo \\
  socket --xml "<get\_tasks/>"

# Lub przez API REST (OpenAPI 3.0)
curl -k -u admin:admin\_haslo \\
  https://localhost:9392/api/v1/tasks

# Sprawdz dostepne konfiguracje skanowania
docker exec gvm gvm-cli \\
  --gmp-username admin --gmp-password admin\_haslo \\
  socket --xml "<get\_scan\_configs/>" | \\
  grep -o '<name>\[^<\]\*</name>'

## Typy skanów — kiedy używać którego

Konfiguracja skanu

Czas (1 host)

Dokładność

Kiedy używać

Discovery

5-15 min

Niska

Inwentaryzacja hostów, otwarte porty

Host Discovery

1-3 min

Bardzo niska

Tylko czy host jest żywy (ping)

System Discovery

10-20 min

Średnia

OS fingerprint, otwarte usługi

Full and fast

30-90 min

Wysoka

Standardowy audit bezpieczeństwa

Full and fast ultimate

60-180 min

Bardzo wysoka

Compliance, pełny pentest wstępny

Web Application Abridged

20-60 min

Wysoka (web)

Skanowanie aplikacji webowych

## Interpretacja raportu i CVSS scores

Po zakończeniu skanu przejdź do Scans → Reports → kliknij raport. Każda podatność ma: CVSS Score, opis, CVE numer i zwykle rekomendowane działanie. Priorytetyzuj:

-   **Critical (9.0-10.0) — natychmiast.** Podatności takie jak zdalne wykonanie kodu bez uwierzytelnienia. Przykład: log4shell, shellshock.
-   **High (7.0-8.9) — pilnie, max kilka dni.** Zdalne wykonanie kodu z uwierzytelnieniem lub lokalna eskalacja uprawnień.
-   **Medium (4.0-6.9) — planowo, np. w ciągu miesiąca.** XSS, CSRF, ujawnienie informacji, przestarzałe algorytmy kryptograficzne.
-   **Low (0.1-3.9) — tech debt, w ramach normalnych aktualizacji.** Informacje diagnostyczne, przestarzałe nagłówki HTTP.

## Eksport raportów i harmonogram automatyczny

\# Eksport raportu przez UI:
# Reports -> kliknij raport -> Download Report
# Formaty: PDF, HTML, XML, CSV, TXT, LaTeX

# Eksport przez gvm-cli
REPORT\_ID="uuid-raportu"
docker exec gvm gvm-cli \\
  --gmp-username admin --gmp-password admin\_haslo \\
  socket --xml \\
  "<get\_reports report\_id='$REPORT\_ID' format\_id='c402cc3e-b531-11e1-9163-406186ea4fc5'/>" \\
  > /tmp/raport.xml

# Harmonogram automatyczny:
# Scans -> Schedules -> New Schedule
# Ustaw: raz w tygodniu, co miesiac, etc.
# Powiaz schedule z taskiem (Task -> Edit -> Schedule)

# Konfiguracja alertow email po skanowaniu:
# Configuration -> Alerts -> New Alert
# Event: Task finished
# Condition: Severity at least High
# Method: Email -> podaj SMTP i adres odbiorcy

## Najczęstsze pytania

Czym jest OpenVAS i czym różni się od GVM? +

OpenVAS (Open Vulnerability Assessment System) to silnik skanera podatności — analizuje hosty, wykrywa otwarte porty i testuje je pod kątem znanych podatności z bazy NVT (Network Vulnerability Tests). GVM (Greenbone Vulnerability Management) to kompletna platforma zawierająca OpenVAS jako silnik plus interfejs webowy (GSA), menadżer zadań (gvmd) i system zarządzania feedem podatności. Pakiet "openvas" w Kali Linux to tak naprawdę GVM — nazewnictwo jest używane zamiennie.

Ile czasu zajmuje pełny skan GVM? +

Zależy od liczby hostów, otwartych portów i typu skanu. Pełny skan (Full and fast) jednego hosta z 20-50 otwartymi portami to typowo 30-90 minut. Skan sieci /24 (256 hostów) może trwać kilka godzin. Authenticated scan (z credentialami) jest dokładniejszy ale wolniejszy. Można przyspieszyć przez ograniczenie skanowanych portów lub wybór szybszej konfiguracji skanowania.

Co oznaczają poziomy CVSS w raporcie GVM? +

CVSS (Common Vulnerability Scoring System) to standaryzowana skala 0-10 oceniająca krytyczność podatności: 0.0 = None, 0.1-3.9 = Low, 4.0-6.9 = Medium, 7.0-8.9 = High, 9.0-10.0 = Critical. W GVM/OpenVAS podatności są wyświetlane z kolorem: zielony (niskie), żółty (medium), pomarańczowy (wysokie), czerwony (krytyczne). Priorytetyzuj naprawę Red i Orange — Critical zwykle oznacza możliwość zdalnego wykonania kodu bez uwierzytelnienia.

Jak działa authenticated scan i dlaczego jest ważny? +

Unauthenticated scan (bez credentiali) widzi tylko to co jest widoczne z zewnątrz: otwarte porty, banery usług, podstawowe podatności sieciowe. Authenticated scan loguje się do systemu (przez SSH, SMB lub credentiale webowe) i sprawdza wersje zainstalowanych pakietów, konfigurację systemową, uprawnienia plików, certyfikaty i setki innych wewnętrznych parametrów. Authenticated scan wykrywa 5-10x więcej podatności. W GVM skonfiguruj Credentials z kluczem SSH lub hasłem, a potem powiąż je z zadaniem skanowania.

Jak GVM porównuje się z Nessus? +

Nessus (Tenable) to komercyjny skaner podatności — lider rynku, uważany za standard przemysłowy. Nessus Essentials jest darmowy dla 16 hostów. GVM/OpenVAS to darmowa alternatywa open-source z szeroką bazą podatności. Główne różnice: Nessus ma często dokładniejszy feed, lepszy UX i wsparcie komercyjne; GVM jest darmowy, można go self-hostować bez limitów, ma aktywną społeczność. Dla małych środowisk GVM jest znakomitą opcją; dla enterprise compliance (PCI-DSS) Nessus/Qualys są standardem.

## Sprawdź oferty pasujące do tego scenariusza

Poniżej masz szybkie przejścia do ofert i stron z kodami rabatowymi tam, gdzie są dostępne.

Contabo

VPS 8 GB RAM pod GVM — skaner podatności wymaga zasobów

VPS + RAM

[Aktywuj rabat →](/out/contabo)

#Reklama · link partnerski

[Zobacz kod rabatowy →](/kody-rabatowe/contabo)

ProSerwer.pl

Polski VPS pod GVM — skanowanie infrastruktury w Polsce

Polski VPS

[Aktywuj rabat →](/out/proserwer-pl)

#Reklama · link partnerski

[Zobacz kod rabatowy →](/kody-rabatowe/proserwer)

Mikr.us

Budżetowy VPS jako target skanowania GVM

Audit Target

[Aktywuj rabat →](/out/mikrus)

#Reklama · link partnerski

[Zobacz kod rabatowy →](/kody-rabatowe/mikrus)

## Powiązane strony

-   [Lynis — audyt bezpieczeństwa Linux](/baza-wiedzy/lynis-audyt-bezpieczenstwa-linux)
-   [Bezpieczeństwo VPS — checklist](/baza-wiedzy/bezpieczenstwo-vps-checklist)
-   [CIS Benchmarks — hardening Linux](/baza-wiedzy/cis-benchmark-linux-hardening)
-   [Wszystkie artykuły](/baza-wiedzy/)