Привет! Меня зовут Денис, я руковожу группой мониторинга и анализа инцидентов информационной безопасности. Мы отслеживаем события в инфраструктуре, ищем подозрительную активность, расследуем инциденты, взаимодействуем с внешним SOC и помогаем сотрудникам разбираться с вопросами киберграмотности.
Денис
руководитель группы мониторинга и анализа инцидентов информационной безопасности
За последние пару лет стало особенно заметно: атаки меняются быстрее, чем процессы защиты успевают адаптироваться. Они становятся дешевле, масштабнее и доступнее — во многом за счет ИИ.
Один из показательных кейсов произошел в 2024 году в Гонконге. Сотруднику по видеосвязи позвонил человек, которого он принял за финансового директора компании — лицо знакомое, голос похожий, контекст правдоподобный, разговор срочный. После звонка сотрудник перевел 25 миллионов долларов.
Позже выяснилось, что на экране был дипфейк.
Такие истории раньше казались фантастикой. Сейчас — вполне рабочий инструмент атаки и, что важно, довольно доступный. На черном рынке продаются услуги создания аудио‑ и видеодипфейков в реальном времени — за 30–50 долларов.
Мы привыкли обсуждать ИИ как помощника для бизнеса, разработки или аналитики. Но в кибербезопасности он уже активно используется атакующими. И это напрямую влияет на то, как приходится выстраивать защиту.
В этой статье разбираю, какие именно изменения привнес ИИ в атаки, почему классическая модель защиты начинает давать сбои и где ИИ в защите действительно приносит практическую пользу.
Что именно поменял ИИ
Когда говорят, что ИИ «меняет кибербезопасность», это звучит слишком размыто. На практике все можно свести к трем изменениям: скорость, масштаб и порог входа.
Скорость
Раньше между публикацией новой уязвимости и ее реальным использованием в атаках у защитников было какое‑то время — день, неделя. Сейчас время стремительно сокращается.
Описание уязвимости появляется в открытом доступе, а следом почти сразу возникает попытка превратить ее в рабочий инструмент. Защита больше не может позволить себе роскошь долго думать, обсуждать и переносить реакцию. Если уязвимость затрагивает инфраструктуру, реагировать нужно быстро.
Масштаб
Раньше сложная атака требовала команды: разные роли, много ручной работы, длительная подготовка. Теперь часть задач можно переложить на ИИ. Один оператор с набором специализированных агентов способен делать то, для чего раньше нужна была группа людей.
В итоге:
-
меньше людей
-
меньше времени на подготовку
-
больше автоматизации
И что особенно неприятно для защиты — такую модель проще масштабировать.
Порог входа
Раньше сложные сценарии были доступны только опытным специалистам. Сейчас порог входа снижается.
Даже человек со средним уровнем подготовки может писать код, искать идеи для эксплуатации, собирать сценарии атак и делать фишинговые сообщения убедительнее.
Конечно, это не значит, что любой новичок завтра сможет повторить сложную целевую атаку. Но в любом случае атак становится больше.
Почему старая модель защиты начинает проигрывать
Долгое время безопасность строилась по понятной схеме:
-
защитные средства
-
SOC
-
аналитики
-
процессы
-
ручной разбор инцидентов
-
регламенты
В спокойной среде это работало, но проблема в том, что среда перестала быть спокойной.
-
Если атака стала быстрее, защита не может жить в темпе согласований.
-
Если атака стала дешевле, количество попыток растет.
-
Если атака стала доступнее, шум вокруг инфраструктуры тоже растет.
Теперь задача иная: нужно не просто что‑то обнаружить, а быстро понять, что из этого действительно важно, и отреагировать до того, как ситуация станет инцидентом.
Поэтому вопрос не в том, нужен ли ИИ в защите — он нужен.
Вопрос в другом: где он должен быть и какую работу брать на себя.
Почему один большой ИИ не спасет
Есть популярная идея: подключить большую модель к логам, и она сама во всем разберется. В реальности это не работает.
Ведь кибербезопасность — это не одна задача, а множество разных:
-
фильтрация шума
-
поведенческий анализ
-
контроль уязвимостей
-
поиск ошибок конфигурации
-
анализ вложений
-
сетевые аномалии
-
принятие решений
Поэтому эффективнее не один «магический мозг», а система специализированных агентов, где у каждого — своя роль. Поверх них нужен механизм, который собирает общую картину и расставляет приоритеты.
Где ИИ в защите действительно полезен
Если убрать громкие обещания и оставить только практику, самые понятные зоны применения выглядят так.
SOC-ассистент
SOC — это место, где больше всего рутины: поток событий, дубли, ложные срабатывания, необходимость вручную собирать контекст из нескольких систем, постоянные переключения между EDR, SIEM, журналами аутентификации, тикетами и внешними источниками.
Хороший SOC‑ассистент должен делать очень приземленные вещи: объединять связанные события, отсеивать шум, собирать краткое резюме по инциденту, подтягивать нужные логи и помогать с быстрыми действиями — например, изоляцией узла, блокировкой или постановкой тикета.
Его ценность не в том, что он «думает вместо аналитика»: он убирает лишнюю ручную работу и дает человеку время на принятие решений.
Поведенческий анализ
Часть современных атак внешне выглядит нормально: корректный логин, валидные учетные данные, официальный доступ. Но внутри этой «нормальности» есть странность, которую сигнатура не всегда увидит.
Например:
-
Пользователь входит ночью, хотя обычно этого не делает.
-
Активность идет от учетной записи, которая уже должна быть неактивна.
-
Тестовый контур внезапно начинает обращаться к критичной системе.
Здесь особенно важен поведенческий слой, который строит профиль пользователя или сервиса и ищет отклонения. Полезно, когда к этому подтягивается еще и кадровый контекст: отпуск, больничный, увольнение.
Такие вещи трудно отлавливать вручную в большом объеме, но для ИИ это как раз подходящая работа.
Контроль уязвимостей
Отдельная история — постоянный мониторинг CVE, KEV и zero‑day с привязкой к реальной инфраструктуре.
Но проблема не в том, чтобы узнать о новой уязвимости. Проблема в том, чтобы быстро ответить на вопрос: это вообще касается нас или нет?
Если система умеет сопоставлять данные об уязвимостях с CMDB, данными сканеров и составом активов, находить уязвимые сервисы и оборудование, создавать тикеты и хотя бы временно усиливать защиту через WAF или IPS, это уже реальная помощь, а не просто мониторинг новостной ленты.
Поиск мисконфигураций
Многие инциденты начинаются с банальных вещей:
-
открытый публичный сервис
-
лишние права
-
слабая настройка IAM
-
отсутствие MFA
-
панель управления, торчащая наружу
-
ошибка в ACL
-
экспонированная база
-
слабые шифры
-
открытый bucket
Проверять такие вещи вручную можно, но это плохо масштабируется. А вот автоматизированный агент, который регулярно ищет подобные отклонения, сопоставляет их с данными о реально эксплуатируемых уязвимостях и сразу ставит задачу на исправление, действительно полезен.
Защита веба и API
Для многих компаний основной фронт атаки сегодня — это веб‑приложения и API.
Здесь важен слой, который:
-
отслеживает уязвимости веб‑приложений
-
генерирует fuzz‑нагрузки на новые формы и методы API
-
обновляет временные правила защиты
-
помогает быстро закрывать риск
Хорошо, если такой агент не просто замечает проблему, но и усиливает временную защиту, либо оперативно отправляет уведомление владельцу.
Сетевой уровень
Сеть никуда не исчезла — просто анализ стал сложнее.
Один слой режет известные эксплойты. Другой ищет аномалии — например, DNS‑туннели, каналы управления или попытки lateral movement. А дальше все это нужно не просто увидеть, а связать с событиями из других источников: EDR, поведенческого анализа, песочницы.
По отдельности такие сигналы легко принять за шум, но вместе они уже дают внятную картину.
Утечки секретов
Пароли, токены, API‑ключи и другие секреты давно стали отдельным классом риска.
Самое неприятное здесь не только в том, что секрет может утечь, но и в том, что это нередко замечают слишком поздно. Поэтому полезен слой, который умеет:
-
находить утечки
-
проверять валидность найденного ключа или токена
-
быстро отзывать доступ и отправлять уведомление
Такая автоматизация заметно сокращает окно, в течение которого атакующий вообще может что‑то сделать с полученным доступом.
Песочница для вложений и бинарников
С вложениями все давно понятно: безопаснее сначала открыть их в контролируемой среде, чем потом разбирать последствия на рабочих станциях.
Если подозрительный файл можно быстро детонировать, извлечь из него IOC и разослать эти индикаторы дальше по защитным системам, выигрыш очевиден. Один объект становится источником защиты сразу для всего контура.
Автоматизированный внутренний пентест
ИИ можно использовать не только для защиты после атаки, но и до события — для проверки собственной инфраструктуры.
Например, если внутри есть агент, который в контролируемой среде моделирует атаки на приложения, API и сеть, генерирует PoC, сценарии lateral movement и предлагает приоритетные исправления, можно в любой момент посмотреть на свою инфраструктуру глазами атакующего.
Почтовые ловушки
Иногда полезный сигнал можно получить очень простым способом.
Отдельный почтовый ящик с большим количеством алиасов, куда не должна приходить нормальная переписка, может быть хорошим индикатором разведки, фишинга или спама. Если письма анализируются по SPF, DKIM, DMARC, содержимому и вложениям, а результаты уходят дальше в общую систему защиты, это дает ранний сигнал, который сам по себе может оказаться очень ценным.
Но есть ограничение
ИИ не решит проблему, если нет базы.
Нужны:
-
защита конечных точек — хотя бы на уровне антивируса или EDR;
-
SPF, DKIM, DMARC;
-
VPN и 2FA для доступа к критичным системам;
-
патч‑менеджмент — как реальный процесс, а не строка в регламенте;
-
межсетевые экраны, NGFW, IPS и IDS.
ИИ усиливает защиту там, где уже есть основа. Если основы нет, он не исправит ситуацию по щелчку — просто быстрее покажет, насколько все плохо.
И да, человек все еще остается уязвимым местом
Раньше достаточно было научить не доверять странному письму или подозрительному звонку. Теперь нужно объяснять еще и то, что знакомый голос, лицо и правдоподобный видеозвонок сами по себе уже ничего не гарантируют.
Нужны новые привычки:
-
перепроверка адреса отправителя через другой канал связи;
-
осторожность к «срочным» запросам и вложениям;
-
игнорирование подозрительных звонков и сообщений без дополнительной верификации.
Так кто победит
На мой взгляд, победит не тот, у кого «самый умный ИИ». Победит тот, кто быстрее встроит ИИ в реальные процессы защиты. Тот, кто не будет пытаться решить все одной волшебной моделью, а построит систему из нескольких слоев: мониторинг, поведенческий анализ, контроль уязвимостей, поиск мисконфигураций, защита веба и API, сетевой анализ, обработка вложений, поиск утечек и контролируемый внутренний пентест.
Но и этого может быть мало.
Поэтому критически важно, чтобы в порядке были и базовые вещи: доступы, почта, патчи, конечные точки, сеть, реакция на инциденты. Без этого любой ИИ останется дорогой надстройкой над плохо организованной защитой.
ИИ уже играет на стороне атакующих. Это не прогноз и не футурология. Это уже факт. У защиты остается только один нормальный вариант: учиться использовать его быстрее, точнее и практичнее.
Другого ответа на эту скорость у нас нет.
ссылка на оригинал статьи https://habr.com/ru/articles/1029000/