Nejlepší nástroje pro správu útočné plochy (2026)
Krátká odpověď: pokud potřebujete vědět, co vaše organizace vystavuje na internetu a získat důkazy, podle kterých můžete jednat, vybírejte nástroj podle toho, jak sestavuje seznam aktiv, ne podle počtu kontrol. Týmy s vlastním bezpečnostním oddělením a podnikovým rozpočtem využijí velké platformy. Malé týmy a poskytovatelé služeb obvykle získají více z nástroje, který začíná u vlastního DNS místo odhadování majetku. AYAsec, který vytváříme, je určen pro druhou skupinu - a tato stránka otevřeně ukazuje, kdy není správnou odpovědí.
Jak jsme nástroje porovnávali
Jeden z těchto produktů vyrábíme. AYAsec je náš. Nechat ho v seznamu je poctivější než ho vynechat, proto uvádíme i část, ve které vysvětlujeme, kdy se nehodí.
Každé kritérium platí pro každý nástroj. Používáme stejných šestnáct otázek ve stejném pořadí, aby rozdíl v tabulce odrážel rozdíl mezi produkty, ne rozdíl v tom, co jsme se rozhodli zmínit.
Tvrzení mají zdroj a datum. Fakt z dokumentace nebo ceníku dodavatele uvádíme s datem, protože obojí se mění. Pokud se nám něco nepodařilo potvrdit, tabulka uvádí „n/a“ místo hádání. Prázdná buňka je užitečnější než nesprávná.
Rychlé porovnání
| Nástroj | Nejvhodnější pro | Jak objevuje aktiva | Import poskytovatele / zóny | Rozsah skenování | Bezplatná úroveň | Cenový model | Náročnost nastavení |
|---|---|---|---|---|---|---|---|
| AYAsec | Malé týmy a MSP, které potřebují inventář i důkazy | Vlastní DNS, Certificate Transparency a pasivní DNS | Ano - 8 poskytovatelů a nahrání zóny | 6 typů: objevování, TLS, HTTP, porty, DNS, důvěryhodnost domény | Ano, navždy zdarma | Paušál za organizaci | Minuty; vyžaduje ověření domény |
| Attaxion | Široké objevování a účtování za aktiva | Objevování z internetu | n/a | Široký EASM rozsah na každé úrovni | Community Edition po zkušební verzi | Za aktivum: 129 / 349 / 949 USD pro 40 / 120 / 360 | n/a |
| Microsoft Defender EASM | Týmy navázané na Azure | Objevování zdrojů dostupných z internetu | n/a | Objevování internetové expozice | n/a | Na vyžádání přes Azure | n/a |
| Censys ASM | Týmy, které chtějí data v internetovém měřítku | Dataset v internetovém měřítku | n/a | n/a | n/a | Kredity od 100 USD; plány přes obchod | n/a |
| Detectify | AppSec týmy, které chtějí také testování aplikací a API | Monitoring plochy; apex discovery od Professional | n/a | Monitoring, aplikace a API | Start od 0 € za platformu | Roční poplatek + cena za aktivum | n/a |
| Intruder | Malé týmy pro externí, interní i cloudové cíle | Objevování neznámých aktiv | n/a | Skenování zranitelností; porty podle plánu | 5 cílů, týdně, porty 80 a 443 | Základní poplatek + cíl | n/a |
| ProjectDiscovery | Technické týmy, které si skládají vlastní postup | Vlastní open-source nástroje | n/a | Pentesting, ASM, red teaming a automatizace | Community úroveň | Cenová nabídka / objednávka | n/a |
| Cortex Xpanse | Velké podniky | Internetové měřítko: 500 mld. portů denně | n/a | Správa podnikové expozice | Ne | Na vyžádání | n/a |
| Tenable Nessus Expert | Týmy, které už používají Nessus | Zahrnuté externí skenování | n/a | Zranitelnosti, web, externí plocha | Ne | 6 790 USD / 1 rok, 13 208,13 / 2 roky, 19 304,19 / 3 roky | n/a |
| Invicti Web + API | Týmy, jejichž hlavním problémem je bezpečnost aplikací | Není hlavním úkolem | n/a | Hloubkový autentizovaný DAST | Ne | Na vyžádání | n/a |
| UpGuard a SecurityScorecard | Třetí strany, dodavatelé a riziko partnerů | Externí aktiva a monitoring dodavatelů | n/a | Riziko dodavatelů, ratingy a threat intelligence | Existuje bezplatná úroveň | Na vyžádání | n/a |
Nástroje podrobně
AYAsec
Nejvhodnější pro: týmy bez vlastního bezpečnostního oddělení a MSP nebo MSSP, které spravují více klientů.
AYAsec vychází z toho, že seznam aktiv, který jste dodali, má větší hodnotu než seznam, který jsme odhadli. Připojíte Cloudflare, AWS Route 53, Azure DNS, Google Cloud DNS, DigitalOcean, GoDaddy, Hetzner nebo Contabo, případně nahrajete zónový soubor. Tato aktiva se monitorují a Certificate Transparency spolu s pasivním DNS hledají to, co zóna neobsahuje.
Před skenováním prokážete kontrolu nad doménou přes DNS záznam, soubor nebo meta tag. Ověření kořenové domény pokryje subdomény. Neověřená aktiva se neskenují.
Běží šest typů skenů: objevování, TLS/SSL, HTTP s OWASP ZAP, porty s korelací CVE, DNS včetně autentizace pošty a důvěryhodnost domény. Pět z nich vytváří skóre 0-100 se známkou A+ až F. Reporty exportujete do PDF a můžete je sdílet veřejným odkazem bez účtu.
Nálezy doprovází AYA, asistent, který vysvětluje význam a další krok. Cena je paušál za organizaci a závisí na frekvenci skenů, velikosti týmu a počtu pracovních prostorů, ne na počtu aktiv. Free je trvale zdarma s jedním členem a týdenními skeny; placené plány jsou od 96 do 450 € měsíčně.
Slabší stránky jsou jasné: nástroj je pouze externí, nenahrazuje úplný skener webových aplikací a ověření vlastnictví zpomaluje první pohled ve srovnání s nástroji, které skenují na požádání.
Attaxion
Nejvhodnější pro: týmy, které chtějí široké externí objevování a přijímají cenu podle počtu aktiv.
Attaxion je široká externí ASM platforma. Všechny úrovně obsahují mapování aktiv, objevování technologií, exportovatelné reporty, cloudové integrace, upozornění přes e-mail, Slack a Jira, pasivní i aktivní skenování, prioritizaci, RBAC a API.
Cena se určuje podle počtu aktiv: 129 USD měsíčně do 40, 349 USD do 120 a 949 USD do 360 aktiv; Enterprise je na vyžádání. Po 30denní zkušební verzi účet klesne do bezplatné Community Edition s měsíčním skenem, 40 aktivy a polovinou viditelných výsledků. Čím lépe objevování funguje, tím více může stát.
Zdroj: ceník Attaxion, ověřeno v září 2026.
Microsoft Defender EASM
Nejvhodnější pro: organizace pevně navázané na Azure, kde má bezpečnostní nástroj být ve stejném portálu a na stejné faktuře.
Defender EASM objevuje zdroje vystavené na internetu a zapadá do širšího bezpečnostního ekosystému Microsoftu. Pokud už používáte Microsoft pro identitu, cloud i endpointy, integrace je silný argument. Cena není veřejná a závisí na regionu, typu dohody a kurzu.
AYAsec importuje aktiva z osmi DNS a hostingových poskytovatelů místo jednoho cloudu. Pokud je vše v Azure, rozdíl je malý; pokud máte DNS v Cloudflare a hosting jinde, je podstatný.
Zdroj: ceník Microsoft Defender EASM, ověřeno v září 2026.
Censys ASM
Nejvhodnější pro: týmy, které potřebují internetová data v obrovském měřítku.
Censys si vybudoval pozici na datech v internetovém měřítku a právě tento dataset je důvodem k výběru. Plány směřují ke kontaktu s obchodem a kreditové balíčky začínají na 100 USD.
Nebudeme tvrdit, že máme lepší dataset - nemáme pro to důkaz. Rozdíl je v začátku seznamu aktiv: Censys vychází z toho, co pozoruje na internetu, AYAsec z toho, co mu předáte přes DNS nebo zónový soubor.
Zdroj: ceník Censys, ověřeno v září 2026.
Detectify
Nejvhodnější pro: engineering a AppSec týmy, které chtějí vedle monitoringu i testování aplikací a API.
Detectify účtuje roční poplatek za platformu a cenu za aktiva. Platforma stojí od 0 € pro Starter po 15 000 € pro Enterprise, aktiva a doplňkové skenování se účtují zvlášť. Apex discovery, IP rozsahy a interní skenování začínají až u Professional.
Jejich aplikační testování je hlubší a netvrdíme opak. Rozdíl je v tom, že u nás je objevování vstupem, ne funkcí vyšší cenové úrovně.
Zdroj: ceník Detectify, ověřeno v září 2026.
Intruder
Nejvhodnější pro: malé týmy, které chtějí z jednoho místa skenovat externí, interní i cloudové cíle.
Intruder má bezplatnou úroveň s pěti cíli, týdenními externími skeny a třemi uživateli. Placené částky se zobrazují po výběru plánu; Enterprise je vlastní. Cena je základní poplatek plus cíl. Automatické objevování shadow IT a neznámých aktiv je pouze v Enterprise.
Pokud nástroj kupujete právě kvůli objevování, zkontrolujte, ve které úrovni se nachází. Všech šest typů skenů AYAsec je na každém plánu včetně Free.
Zdroj: ceník Intruder, ověřeno v září 2026.
ProjectDiscovery
Nejvhodnější pro: technické týmy, které raději vytvářejí a automatizují, než kupují hotový postup.
ProjectDiscovery stojí za nástroji nuclei, subfinder a httpx, které používá velká část odvětví včetně nás. Komerční platforma směřuje na demo a poplatky se určují objednávkou. Pokrývá pentesting aplikací a API, ASM, red teaming a automatizaci.
Je to spíše jiná filozofie než jiná sada funkcí. Oni prodávají schopnost, kterou si poskládáte; my prodáváme postup, který běží. Pokud máte čas ho udržovat, jejich nástroje jsou výborné a můžete začít zdarma.
Zdroje: podmínky ProjectDiscovery a platforma ProjectDiscovery, ověřeno v září 2026.
Cortex Xpanse
Nejvhodnější pro: velké organizace s útočnou plochou příliš velkou na ruční soupis a s rozpočtem pro podnikový nástroj.
Cortex Xpanse od Palo Alto Networks funguje v internetovém měřítku. Společnost uvádí 500 miliard skenovaných portů denně a pokrytí 4,3 miliardy IPv4 adres. Cena není veřejná a cesta vede přes demo.
Xpanse skenuje celý internet a potom zjišťuje, co patří vám. AYAsec se zeptá přes vašeho DNS poskytovatele a současně skenuje internet. Ani jeden přístup není nesprávný; při velikosti, pro kterou Xpanse slouží, je externí enumerace jedinou možností.
Zdroj: Cortex Xpanse, ověřeno v září 2026.
Tenable Nessus Expert
Nejvhodnější pro: týmy, které už používají Nessus a chtějí přidat externí skenování plochy do známého nástroje.
Nessus Expert pokrývá skenování zranitelností, webových aplikací a externí útočné plochy. Cena v USA je 6 790 USD na rok, 13 208,13 na dva a 19 304,19 na tři roky; podpora a školení se účtují zvlášť.
Nessus je hlubší skener zranitelností než my a netvrdíme opak. Je také postaven pro bezpečnostní oddělení, které už existuje. Pokud takové oddělení nemáte, důležitější je, co vytvoří čitelný výsledek první den.
Zdroj: nákupní stránka Tenable Nessus, ověřeno v září 2026.
Invicti Web + API (dříve Acunetix)
Nejvhodnější pro: týmy, jejichž hlavním problémem je testování aplikací, ne inventář aktiv.
Invicti Web + API je dynamické testování bezpečnosti aplikací: hluboké, autentizované a zaměřené na aplikaci. Cena je na vyžádání.
Tyto produkty řeší odlišné problémy a spíše se doplňují. DAST řekne, co je špatně v aplikaci, o které víte. ASM řekne, které aplikace existují. Pokud používáte pouze jeden, mezera často zůstává na straně inventáře.
Zdroje: ceník Invicti a Invicti Web + API, ověřeno v září 2026.
UpGuard a SecurityScorecard
Nejvhodnější pro: organizace, které hodnotí riziko třetích stran, bezpečnost dodavatelů nebo externí expozici jako samostatné potřeby.
Oba poskytovatelé pokrývají riziko třetích stran. UpGuard přidává Breach Risk pro externí plochu první strany a threat intelligence. SecurityScorecard nabízí scorecards, dotazníky a registr dodavatelů. UpGuard pokrývá Vendor Risk, Breach Risk a Trust Exchange.
Naše platforma hodnotí vlastní aktiva až po prokázání kontroly - záměrně opačně než hodnocení dodavatele. Pokud se ptáte na dodavatele, toto je správná kategorie a tato stránka je nesprávná.
Zdroje: ceník SecurityScorecard, UpGuard Vendor Risk, Breach Risk a Trust Exchange, ověřeno v září 2026.
Open-source možnosti
Nejvhodnější pro: každého, kdo raději investuje čas inženýrů než rozpočet a tento čas má.
Open-source nástroje v této oblasti jsou výborné. subfinder a amass enumerují subdomény, httpx zjišťuje živé služby, nuclei spouští šablonované kontroly zranitelností a testssl.sh vytváří čitelné TLS hodnocení. Jsou zdarma a nejsou hračkou.
AYAsec používá pro TLS hodnocení testssl.sh. Říkáme to záměrně: výsledek není černá skříňka a inženýr si ho může ověřit stejným nástrojem proti stejnému hostiteli.
Za co produkt získává svou cenu, není skenování. Je to udržování inventáře, ukládání výsledků, porovnávání známek, report pro netechnického člověka a provoz v době, kdy člověk, který to nastavil, čerpá dovolenou. Pokud máte někoho na údržbu pipeline, vytvořte si ji. Pokud ne, po čtyřech měsících se může přestat spouštět a neudržovaný skener je horší než žádný.
Jak vybrat
Pokud nemáte vlastní bezpečnostní tým
Potřebujete úplný inventář a krátký seznam toho, co opravit jako první, ne platformu na správu. Hledejte import z vlastního DNS, výsledek první den a nálezy, které se vysvětlí samy. Ignorujte počet funkcí.
Pokud jste MSP nebo MSSP s více klienty
Rozhoduje oddělení klientů, reportování za klienta a přístupová práva. Ověřte, zda lze klienty izolovat, zda vzniknou reporty pro každého a zda cena netrestá přidávání klientů - účtování za aktiva to obvykle dělá.
Pokud potřebujete riziko třetích stran, ne vlastní plochu
Pokud otázka zní „jak bezpeční jsou naši dodavatelé“, je to nesprávná stránka. Potřebujete bezpečnostní hodnocení a řízení rizik dodavatelů. AYAsec hodnotí vaše vlastní aktiva až po prokázání kontroly, což je záměrně jiný problém.
Pokud potřebujete hluboké testování webových aplikací
ASM najde aplikaci a zkontroluje její konfiguraci. Nenahrazuje autentizované testování zaměřené na aplikaci. Pokud je to priorita, nakupujte podle ní a ASM používejte jako vrstvu, která řekne, kam testování nasměrovat.
Kdy AYAsec není správná volba
Říkáme to přímo, protože seznam, který doporučuje svého autora na všechno, nemá hodnotu:
- Interní sítě. AYAsec se dívá zvenku.
- Cloud posture management. Špatně nastavené úložiště a IAM jsou jiný problém.
- Hloubkové testování bezpečnosti aplikací. HTTP sken používá OWASP ZAP, ale nenahrazuje celý AppSec program.
- Potvrzení souladu. Dostanete nálezy, známky a důkazy, ne certifikát.
- Výsledek za deset sekund na doméně, kterou nekontrolujete. Ověření vlastnictví existuje právě proto, aby tomu zabránilo.
Často kladené otázky
Jaký je rozdíl mezi ASM a správou zranitelností?
ASM zjišťuje, co vystavujete na internetu. Správa zranitelností zjišťuje, co je špatně na aktivech, která už znáte. ASM pomáhá ověřit, zda je seznam úplný.
Potřebuji oboje?
Většina organizací skončí u obojího. Pořadí je důležité: neúplný inventář způsobí neúplnost všeho dalšího.
Kolik by to mělo stát?
Záleží více na modelu než na počtu. Attaxion a Detectify účtují za aktivum, Intruder má základní poplatek plus cíl, ProjectDiscovery nastavuje cenu objednávkou, Tenable prodává licenci a AYAsec paušál za organizaci. U každého se ptejte, co se stane s cenou po přidání padesáti subdomén.
Jak dlouho trvá nastavení?
Ptejte se, jak dlouho trvá první report. Některé nástroje zaberou minuty, jiné vyžadují úvodní hovor.
Který nástroj je nejlepší pro MSSP?
Ten, který správně odděluje klienty a neúčtuje za aktivum. Před rozhodnutím otestujte dva skutečné pracovní prostory.
Pokud chcete nejprve vidět vlastní útočnou plochu, začněte průvodcem správou útočné plochy nebo spusťte sken vlastní domény.
Poslední kontrola: září 2026. Zdroje: https://attaxion.com/pricing/ · https://www.intruder.io/pricing · https://detectify.com/pricing · https://projectdiscovery.io/terms · https://www.microsoft.com/en-us/security/pricing/microsoft-defender-external-attack-surface-management · https://censys.com/resources/pricing · https://www.upguard.com/pricing/vendor-risk · https://securityscorecard.com/pricing/ · https://www.acunetix.com/pricing/ · https://www.tenable.com/buy?main_page=create_account · https://www.paloaltonetworks.com/cortex/cortex-xpanse