Еще несколько лет назад на расследование серьезного киберинцидента уходили сутки. Аналитик вручную просматривал журналы событий, сопоставлял входы, сессии и подключения и к концу дня выстраивал цепочку, которая приводила к точке взлома. Сегодня такого запаса времени у компаний нет. Счет идет на минуты. Что изменилось и какие инструменты помогают не отставать?

От восьми часов до 22 секунд

По данным компании Mandiant, специализирующейся на расследовании кибератак, за последние три года окно, в котором защита еще успевает среагировать, сократилось на порядки. Если в 2022 году передача первичного доступа в скомпрометированную сеть от одной группы злоумышленников к другой занимала в среднем восемь часов, то сейчас — 22 секунды. Рынок доступов у киберпреступников устроен как распределенный бизнес. Одни находят способ проникнуть в компанию, другие покупают этот доступ и уже внутри занимаются шифрованием и выводом данных.

Изменилось и другое — атаки перестали быть изощренными, сегодня речь не идет про сложные вредоносные программы и уязвимости нулевого дня, о которых еще не знает производитель софта. Работает простое и быстрое сочетание известных уязвимостей, забытых паролей и забытых доступов. Например, кто-то не отключил учетную запись, другой сотрудник оставил ключ там, где не следовало. Получается, что все происходит легально и штатно, поэтому классическому анализу здесь просто не за что зацепиться.

Я помню наш внутренний тест на проникновение, который показал всю уязвимость старой парадигмы. В одной из наших дочерних компаний специалисты по проникновению за 10 минут прошли путь от входа в сеть до полного контроля над инфраструктурой. Причина уязвимости банальна: один администратор забыл в системе учетную запись, которую собирался удалить, но не успел. Белые хакеры использовали эту легальную учетную запись, зашли на сервер инвентаризации, а с него — по всем серверам, до которых у инвентаризации есть доступ. Если смотреть на каждое событие отдельно, все выглядит абсолютно нормально. Ни одна уязвимость не была использована, ничего аномального с точки зрения классических средств защиты не происходило. Такую активность в теории мог бы поймать аналитик, но взлом занял 10 минут, а аналитику требуются данные за сутки — он бы просто не успел.

Компании массово ставят системы защиты рабочих станций и корпоративных сетей (EDR, XDR и подобные). Чтобы продолжать взламывать, атакующим приходится искать другие пути. Также важно, что злоумышленники действуют в рабочее время, когда работают настоящие администраторы, чтобы не выделяться на фоне ночной тишины, которую любая система мониторинга сразу пометит как аномалию. Получается, что хакер, работающий легальными инструментами, и администратор, работающий теми же инструментами и теми же учетными записями, для классических систем сбора и анализа событий безопасности почти неотличимы. Число целевых атак на корпоративные сети растет ежегодно. По данным «Лаборатории Касперского», только в первом квартале 2026 года число атак на российские компании выросло на 68% год к году.

Система, которая видит связи

Ситуация «взлом без взлома» заставила нас искать другой инструмент, который мог бы своевременно определять проникновение. Мы смотрели на большие языковые модели, но для ситуационного центра они не годятся, потому что слишком часто выдают выдуманные результаты. Даже 20% ложных срабатываний в этой задаче означают, что решение можно закрывать как неэффективное — аналитики просто не будут ему доверять.

Поэтому мы пошли в сторону классического машинного обучения и наткнулись на графовые нейросети. Они устроены принципиально иначе, чем классические средства защиты, которые проверяют конкретные события на аномальность. Графовая нейросеть смотрит не на события, а на связи между ними. Сеть компании в ее «голове» представлена как граф. Его узлы — это учетные записи, серверы, сегменты сети, а ребра — соединения между ними, с дополнительными атрибутами вроде времени подключения, длительности, ритмичности. Модель обучается на нормальном поведении сети без заранее прописанных правил, просто улавливая, как обычно устроены переходы между объектами.

Дальше она находит отклонения, например нетипичные траектории, нарушение привычного ритма соединений. Взлом за 10 минут, о котором говорилось выше, графовая сеть поймала бы почти сразу. Система инвентаризации заходит на серверы по расписанию, сеть выучивает его, и, если подключение происходит в другое временное окно, она мгновенно подает сигнал об аномалии.

Ключевая идея нашего решения — не одна модель, а ансамбль из пяти, где каждая — узкий специалист. Одна хорошо ловит сбой ритма учетной записи, вторая — перемещение между сегментами сети. Третья модель отвечает за нетипичные маршруты, четвертая — за резкий веер подключений, когда взломанная рабочая станция вдруг начинает обращаться сразу к множеству серверов, хотя для нее это нехарактерно. Пятая модель выявляет связи без истории или смену ролей, когда, например, учетная запись инвентаризации внезапно начинает ходить не с ее сервера, а с обычной рабочей станции.

По отдельности каждая из этих моделей за пределами своей специализации довольно часто ошибается. Но если правильно взвесить их сигналы, они дают результат, который по отдельности не получить. Готовых промышленных решений такого рода мы не нашли ни в России, ни за рубежом, поэтому пришлось разрабатывать все самостоятельно.

Мы проверяли модель не на синтетических данных, а на журналах аутентификации за год в системах на Linux. За этот же период у нас прошло 22 теста на проникновение и одна проверка Red Team, о которой не знал даже наш собственный центр мониторинга, а «белые» хакеры действовали как настоящие злоумышленники. Модель обучалась на данных, из которых события тестов по проникновению были вырезаны, а затем ей подавали данные с результатами тестов и оценивали, сможет ли ансамбль самостоятельно вывести эти события на первые места по уровню риска. Результат — обнаружено более 90% из 26 разных способов атак.

Границы метода и практика

Не обошлось и без слепых зон, о которых нужно говорить честно, потому что это важно для понимания границ технологии. Если атакующий завладевал компьютером администратора, на котором уже были открыты активные сессии, и просто пользовался ими в рабочее время, не создавая новых подключений и не выходя за привычные маршруты — такую активность графовая сеть не увидит. Но ее не увидят и классические системы мониторинга и защиты рабочих компьютеров. Это, по сути, предельный уровень мимикрии, где взлома в привычном смысле уже почти нет.

Похожая история с подстройкой под ритмичность. Если злоумышленник точно копирует расписание легального сервиса, отключая его собственный опрос на то же время, здесь модель промолчит. Но зато сразу забьет тревогу мониторинг самого этого сервиса, у которого пропадет активность. Графовый подход не заменяет классическую защиту — он закрывает ее слепые зоны.

Само по себе обнаружение без реакции работает как дорогая сигнализация, поэтому наше решение встроено в общий процесс реагирования. Наиболее рискованные события уходят в систему обработки инцидентов, а в части случаев мы отправляем администратору короткий вопрос — его это действие или нет. Если ответа нет в течение пары минут и есть признаки аномалии, происходит автоматическая блокировка. Тот самый взлом за 10 минут при таком раскладе просто не успеет развиться.

По количеству ложных срабатываний картина комфортная: из нескольких тысяч событий в сутки до аналитика или администратора доходят буквально единицы, а не сотни. Это принципиально меняет работу специалиста по безопасности. Раньше расследование начиналось с гипотезы аналитика после анализа журналов событий, теперь на входе уже есть готовая цепочка связей с контекстом, и человеку нужны секунды на то, чтобы ее проверить и принять решение. Финальное решение, инцидент это или нет, всегда остается за человеком.

Этот подход мы не превращаем в закрытое конкурентное преимущество и открыто рассказываем коллегам из других компаний, как он устроен. Чем быстрее методика распространится по рынку, тем лучше для всех, потому что злоумышленники своими инструментами и находками между собой обмениваются свободно и постоянно. Графовые нейросети уже несколько лет применяются в системах защиты от мошенничества, и там тоже есть смысл двигаться от одной модели к ансамблю — эффект должен быть заметно лучше.

Тот же подход применим к защите программных интерфейсов, через которые сервисы обмениваются данными. Вместо дорогих шлюзов и межсетевых экранов графовый анализ типового поведения запросов способен ловить попытки перебора методов или логические уязвимости, когда один пользователь получает доступ к данным другого. Вижу перспективу и в анализе доступов сотрудников и подрядчиков. У любого легального пользователя есть типовой рисунок поведения, и отклонение от него само по себе уже сигнал. Будущее кибербезопасности — за технологиями, которые видят не события, а смыслы.

И последнее — про доступность технологии. Крупные международные игроки только начинают внедрять графовые нейросети, и зарубежное решение с похожей эффективностью стоило бы сотни миллионов рублей в год. Мы пошли другим путем и разработали ансамбль силами одного специалиста за несколько сотен тысяч рублей, используя современные инструменты разработки и ИИ. Сегодня по-настоящему сильная защита не требует бюджета крупной корпорации. Достаточно сотрудника с техническим складом ума, способного разобраться в принципах работы, критически проверить результат и не поверить бездумно первому же ответу модели. А это, в отличие от денег, доступно куда большему числу компаний, чем кажется на первый взгляд.