Συνεχής σάρωση, όχι ετήσιο τεστ · Ιεράρχηση κατά εκμεταλλευσιμότητα — CVSS + EPSS + CISA KEV Ζητήστε baseline →
EN Ζητήστε baseline

VA · Συνεχής σάρωση · CVSS + EPSS + KEV

Αξιολόγηση τρωτότητας με ιεράρχηση κατά εκμεταλλευσιμότητα.

Δεν έχει νόημα να σας δώσουμε 4.000 ευρήματα. Έχει νόημα να σας δείξουμε ποια 12 είναι πραγματικά εκμεταλλεύσιμα, ποια πληρώνονται για να εκμεταλλευτούν, και ποια μπορούν να περιμένουν με καθαρή συνείδηση. Η διαφορά είναι στο triage — και εκεί κερδίζεται ο χρόνος της ομάδας σας.

Η αξιολόγηση τρωτότητας σαρώνει συνεχώς δίκτυο, cloud και κώδικα και ιεραρχεί τα ευρήματα κατά πραγματική εκμεταλλευσιμότητα (CVSS, EPSS και κατάλογος CISA KEV), ώστε η ομάδα σας να διορθώνει πρώτα τα λίγα που μετράνε. Η KodeX GRC την εκτελεί εβδομαδιαία ή μηνιαία, με dashboard, αναφορά PDF και απόκριση εντός 24 ωρών για τα κρίσιμα.

Ενημερώθηκε · Βασίλης Στάμος, ISO & NIS2 Lead Auditor

Ζητήστε baseline σάρωση Δείτε πώς φιλτράρουμε
Συχνότητα
Εβδομαδιαία / μηνιαία
Πρότυπα
CVSS · EPSS · KEV
Κάλυψη
Network · Cloud · Code
Παραδοτέο
Dashboard + PDF
01

Τι καλύπτει

Έξι κατηγορίες σάρωσης. Δεν σαρώνουμε τα πάντα με το ίδιο προφίλ — κάθε κατηγορία έχει τη δική της ένταση, τα δικά της εργαλεία, και τη δική της ιεράρχηση.

External surface

Εξωτερική επιφάνεια

Ό,τι φαίνεται από το internet — με συνεχή ανακάλυψη νέων assets, subdomain takeover checks, εκτεθειμένες υπηρεσίες.

Internal network

Εσωτερικό δίκτυο

Servers, endpoints, δικτυακές συσκευές, OT όπου υπάρχει — με προφίλ σάρωσης ανά κατηγορία asset.

CIS Benchmarks

Cloud configuration

AWS, Azure, GCP, M365 — λάθος ρυθμίσεις που δεν εμφανίζονται σε CVE scan, με έλεγχο κάθε CIS ελέγχου.

Containers · K8s

Containers & Kubernetes

Images, registries, configurations, runtime — με έλεγχο από το base image μέχρι το runtime policy.

SCA · SBOM

Εξαρτήσεις λογισμικού

Software Composition Analysis σε κώδικα — βιβλιοθήκες, licenses, transitive dependencies, SBOM.

DAST · OWASP

Εφαρμογές web

Σάρωση για OWASP Top 10, με επιβεβαίωση από άνθρωπο — όχι απλώς output από scanner.

02

Σε ποιους απευθύνεται

Το VA έχει νόημα όταν υπάρχει μεγάλο αποτύπωμα και μικρή ομάδα — εκεί που η διαχείριση τρωτοτήτων είναι εφικτή μόνο αν γίνει εφαρμόσιμη.

Δουλεύουμε με ομάδες IT που έχουν ήδη εργαλεία — ή που τα δοκίμασαν και τα εγκατέλειψαν γιατί δεν μπορούσαν να διαχειριστούν τον όγκο των ευρημάτων. Ο κανόνας: το πρόβλημα δεν είναι η ανίχνευση. Είναι το triage και η παρακολούθηση.

Το VA λειτουργεί ως μόνιμη υπηρεσία — όχι ως εφάπαξ έργο. Σαρώνει, ιεραρχεί, ενημερώνει τους ιδιοκτήτες, παρακολουθεί SLA, και κάνει retest στα κρίσιμα. Η ομάδα σας διορθώνει — δεν ψάχνει.

Ομάδες IT με πολλά CVEs που δεν ξέρουν από πού να αρχίσουν
Όσοι έχουν ISO 27001 και χρειάζονται A.8.8 σε συνεχή βάση, με τεκμήρια
Software teams με απαίτηση SCA και διαχείρισης εξαρτήσεων
Cloud-first οργανισμοί όπου η ρύθμιση μετράει περισσότερο από CVE
Μεταξύ pentests — κάλυψη του κενού 12 μηνών με συνεχή εικόνα
03

Πώς δουλεύουμε

Τρεις φάσεις. Το VA δεν είναι έργο — είναι λειτουργία. Ξεκινά με baseline και μετά λειτουργεί συνεχώς, με μηνιαίες αναφορές και τριμηνιαία ανασκόπηση.

i / iii

Baseline

Τι έχετε, τι φαίνεται

Ανακάλυψη assets, πρώτη σάρωση, ρύθμιση προφίλ ανά κατηγορία, ορισμός SLA με βάση τη κρισιμότητα. Ο πελάτης βλέπει την πλήρη εικόνα.

1 εβδομάδα
ii / iii

Συνεχής κύκλος

Και ιεράρχηση

Σαρώσεις ανά εβδομάδα ή μήνα, εμπλουτισμός με EPSS/KEV, ιεράρχηση κατά εκμεταλλευσιμότητα, ειδοποίηση ιδιοκτητών, retest στα κρίσιμα.

Συνεχώς
iii / iii

Αναφορές & ανασκόπηση

Και SLA tracking

Μηνιαία σύνοψη για διοίκηση, ζωντανό dashboard, SLA status ανά εύρημα, τριμηνιαία ανασκόπηση προφίλ και προσαρμογή σε αλλαγές.

Μηνιαία
04

Πώς φιλτράρουμε 4.000 ευρήματα σε 12 που μετράνε

Ίδιο scan, δύο εικόνες. Αριστερά η ακατέργαστη έξοδος του scanner. Δεξιά η ίδια λίστα μετά το triage — με EPSS scores, CISA KEV flags, και πραγματικό context.

RAW SCAN OUTPUT 4.128 ευρήματα
CVE-2024-… OpenSSL medium — informational Medium
CVE-2023-… Apache HTTP — banner disclosure Low
CVE-2024-… TLS 1.0 supported — deprecated Medium
CVE-2022-… ICMP timestamp response Low
CVE-2024-… SMB signing not required Medium
CVE-2023-… SSH weak MAC algorithms Low
CVE-2025-… Nginx version disclosure Medium
CVE-2024-… DNS zone transfer allowed Low
CVE-2024-… Weak cipher suites enabled Medium
CVE-2023-… HTTP TRACE method enabled Low
CVE-2024-… Missing security headers Medium
CVE-2023-… SNMP public community string Low
+4.116 ακόμη ευρήματα, ταξινομημένα κατά CVSS.
Χωρίς context, χωρίς ιδιοκτήτες, χωρίς προτεραιότητα.
TRIAGED · ΕΝΕΡΓΑ 12 ευρήματα
CVE-2025-… Fortinet SSL-VPN — RCE, εκμεταλλεύσιμο KEV · 9.8
CVE-2025-… Confluence — auth bypass, ενεργή εκμετάλλευση KEV · 9.1
CVE-2024-… MOVEit Transfer — SQLi, ευρύτερη καμπάνια EPSS 84%
CVE-2024-… Chrome V8 — sandbox escape, ενεργή εκμετάλλευση KEV · 8.8
CVE-2025-… Ivanti Connect Secure — auth bypass KEV · 9.8
CVE-2024-… Citrix NetScaler — session hijack EPSS 71%
CVE-2024-… GitLab CE — account takeover σε self-hosted EPSS 62%
CVE-2024-… Windows CLFS — privilege escalation KEV · 7.8
CVE-2025-… Palo Alto PAN-OS — auth bypass KEV · 8.7
CVE-2024-… PostgreSQL — privilege via extension EPSS 34%
CVE-2024-… Kubernetes kubelet — container escape EPSS 28%
Cloud config S3 bucket χωρίς logging — auditability gap CIS
+4.116 ευρήματα ταξινομημένα ως deferred.
Διορθώνονται σε τακτικό κύκλο patch, όχι σε emergency.
05

Χρόνοι απόκρισης (SLA)

Κάθε εύρημα έχει συγκεκριμένο SLA που συμφωνείται από την αρχή. Δεν είναι στόχος — είναι σύμβαση που παρακολουθείται και αναφέρεται μηνιαία.

Προτεραιότητα Κριτήριο SLA
P0 · Κρίσιμο Ενεργή εκμετάλλευση σε wild (CISA KEV) ή CVSS ≥ 9.0 σε εκτεθειμένο asset. 24 ώρες
P1 · Υψηλό EPSS ≥ 50% ή CVSS 7.0–8.9 ή παρουσία σε ευρύτερη καμπάνια. 7 ημέρες
P2 · Μεσαίο CVSS 4.0–6.9 με πραγματικό context ή ρύθμιση εκτός CIS baseline. 30 ημέρες
P3 · Χαμηλό Informational, best practice, ή CVSS < 4.0 χωρίς εκμεταλλεύσιμο σενάριο. Επόμενος κύκλος
06

Τι παραδίδεται

Έξι παραδοτέα που καλύπτουν τη λειτουργία, όχι μόνο την αναφορά. Κανένα δεν είναι αρχείο που θα συντάξετε μόνοι σας μετά.

Απογραφή εκτεθειμένων assetsΕξωτερικά και εσωτερικά, με συνεχή ενημέρωση καθώς εμφανίζονται νέα.
Ιεραρχημένη λίστα ευρημάτωνΚατά εκμεταλλευσιμότητα — EPSS, KEV, context — όχι κατά CVSS μόνο.
Dashboard παρακολούθησηςΖωντανή εικόνα — ποιος διορθώνει, τι μένει ανοιχτό, SLA status ανά εύρημα.
Μηνιαία σύνοψη για διοίκησηPDF — ποια κρίσιμα, τι κλείσαμε, τι εκκρεμεί, τάσεις ανά μήνα.
Επαλήθευση διορθώσεωνRetest στα κρίσιμα και υψηλά, με τεκμηρίωση — όχι «εμπιστευτείτε μας».
Τεκμήριο ISO A.8.8Το αρχείο που ζητά ο επιθεωρητής για τη διαχείριση τεχνικών τρωτοτήτων σε λειτουργία.
07

Χρονοδιάγραμμα λειτουργίας

Το VA δεν έχει «τέλος». Ξεκινά με baseline και λειτουργεί συνεχώς, με σταθερό ρυθμό αναφορών και ανασκόπησης.

ΕΒΔ. 01
Baseline
Ανακάλυψη assets, πρώτη σάρωση, ρύθμιση προφίλ, ορισμός SLA.
ΕΒΔ. 02+
Συνεχής κύκλος
Σαρώσεις ανά εβδομάδα ή μήνα, εμπλουτισμός, ειδοποίηση ιδιοκτητών, retest.
Μηνιαία
Αναφορά διοίκησης
Σύνοψη, SLA status, τάσεις, εκκρεμότητες, κλεισμένα ευρήματα.
Τριμηνιαία
Ανασκόπηση
Επανεξέταση προφίλ, προσαρμογή σε νέα assets, αναθεώρηση SLA αν χρειάζεται.
08

Συχνές ερωτήσεις

Οι ερωτήσεις που ακούμε πριν αναλάβουμε πρόγραμμα αξιολόγησης τρωτοτήτων.

Ποια η διαφορά vulnerability assessment και pentest;

Το VA σαρώνει ευρέως και συνεχώς — βρίσκει τι υπάρχει. Το pentest εκμεταλλεύεται σε βάθος, σε συγκεκριμένο στόχο — αποδεικνύει τι είναι πραγματικά εκμεταλλεύσιμο. Το VA είναι λειτουργία, το pentest είναι στιγμιότυπο. Χρειάζονται και τα δύο. Δείτε τη σελίδα Έλεγχος Διείσδυσης για το πώς συνδυάζονται.

Πόσα ευρήματα θα πάρω από μια σάρωση VA;

Πολλά — αυτό είναι το σημείο. Ένα τυπικό περιβάλλον 500 hosts βγάζει 3.000–6.000 raw ευρήματα. Η αξία δεν είναι στη λίστα, είναι στο triage — πόσα είναι πραγματικά εκμεταλλεύσιμα, πόσα έχουν EPSS ≥ 50%, πόσα είναι σε CISA KEV. Συνήθως καταλήγουμε σε 10–30 ενεργά. Το υπόλοιπο πάει σε τακτικό κύκλο.

Θα επιβαρυνθεί το δίκτυό μου κατά τη σάρωση;

Όχι, αν ρυθμιστεί σωστά. Ρυθμίζουμε τα προφίλ σάρωσης με βάση τη κρισιμότητα των συστημάτων — πλήρης σάρωση σε ώρες εκτός λειτουργίας όπου χρειάζεται, πιο ελαφριά σε production. Υπάρχει πάντα διαδικασία άμεσης διακοπής αν κάτι επηρεαστεί.

Χρειάζομαι δικό μου εργαλείο για VA;

Δεν χρειάζεστε δικό σας εργαλείο. Χρησιμοποιούμε δικά μας, με άδειες που καλύπτουν το εύρος σας. Αν έχετε ήδη εργαλείο (Tenable, Qualys, Rapid7), μπορούμε να το αξιοποιήσουμε και να προσθέσουμε το triage και το SLA tracking που συνήθως λείπει.

Πόσο κοστίζει μια υπηρεσία vulnerability assessment;

Βάσει αριθμού IP και συστημάτων στο εύρος. Τυπικά λιγότερο από το ετήσιο κόστος ενός pentest, γιατί η σάρωση είναι αυτοματοποιημένη — αυτό που κοστίζει είναι το triage και το SLA tracking, και αυτά τα κάνουμε σε κλίμακα. Μετά τη baseline παίρνετε σταθερή μηνιαία τιμή.

09

Σχετικές υπηρεσίες

Το VA είναι συμπληρωματικό — σπάνια στέκεται μόνο του. Συνήθως συνδυάζεται με τα παρακάτω, γιατί μοιράζεται ευρήματα και τεκμήρια.

05 · Pentest

Σε βάθος

Το VA βρίσκει πού να κοιτάξετε. Το pentest αποδεικνύει τι είναι εκμεταλλεύσιμο — με απόπειρα, όχι θεωρία.

 07 · Cloud

CIS Benchmarks

Οι λάθος ρυθμίσεις cloud δεν εμφανίζονται σε CVE scan. Ελέγχουμε κάθε CIS έλεγχο σε AWS, Azure, GCP, M365.

 01 · ISO 27001

A.8.8 συνεχώς

Το VA είναι το τεκμήριο που ο επιθεωρητής θέλει να δει σε λειτουργία — όχι σε μία ετήσια αναφορά.

Γράφει και ελέγχει

Βασίλης Στάμος

ISO & NIS2 Lead Auditor · KodeX GRC · M.Sc. Κυβερνοασφάλεια

Κάθε σελίδα υπηρεσίας τη γράφει και την ελέγχει ο ίδιος, με βάση την ισχύουσα νομοθεσία και τα πρότυπα. Αν κάτι άλλαξε και δεν το έχουμε ενημερώσει, γράψτε μας.

Τελευταία ενημέρωση · LinkedIn

Ξεκινήστε

Πείτε μας το αποτύπωμά σας.

Σε μία σύντομη κλήση — 10 λεπτά — ορίζουμε μαζί το εύρος, τα προφίλ σάρωσης, τα SLA και το χρονοδιάγραμμα. Παίρνετε baseline σάρωση σε μία εβδομάδα, με πλήρη εικόνα και σταθερή μηνιαία τιμή. Χωρίς δέσμευση.

Κλείστε κλήση scoping Δείτε δείγμα αναφοράς
Χωρίς δέσμευση Εμπιστευτικά Read-only πρόσβαση