Начните взламывать себя сами: как бизнесу находить уязвимости раньше хакеров

Нет смысла угадывать дату атаки

Нас пытаются взломать круглосуточно. Пока мы обсуждаем кибербезопасность, кто-то уже ищет способ проникнуть в наши системы.

Поэтому я не вижу смысла гадать, нападут ли на нас через неделю. Гораздо полезнее начать взламывать себя самостоятельно: проверять инфраструктуру разными инструментами, привлекать специалистов и находить уязвимости, которыми могли бы воспользоваться злоумышленники.

Мы используем сканеры, приглашаем профессиональные команды и платим независимым исследователям за найденные слабые места. Следим за новыми угрозами и за тем, что обсуждают в даркнете. Это постоянная работа: нельзя проверить защиту один раз и считать вопрос закрытым.

Небольшой компании я тоже не советовал бы расслабляться. Языковые модели снизили порог входа в киберпреступность: они помогают готовить атаки людям, которым прежде не хватало знаний и навыков. У злоумышленника появился более доступный инструмент, а у небольшого бизнеса — ещё одна причина проверить свой сайт, личный кабинет или другой сервис, доступный через интернет. При этом мотивы атак тоже имеют значение. Если во многих случаях в мире злоумышленники пытаются взломать компанию, чтобы украсть деньги или данные, то в России, по моим наблюдениям, нередко цель — именно нанести ущерб: зашифровать данные, вывести из строя системы и остановить бизнес. Атаковать могут даже те компании, у которых нет каких-то суперданных.

Что защищать вместе с системой

У компании могут быть десятки сервисов, и начинать нужно с понимания, что произойдёт при отказе каждого из них. Какие системы позволяют выполнять заказы? Какие данные необходимы для работы? Что случится, если доступ к ним исчезнет? Ответы помогают определить, какие уязвимости устранять первыми.

Возьмём логистическую компанию. Если перестанет работать система управления перевозками, встанет сам бизнес. А если взломают сайт разовой рекламной акции и разместят там посторонние материалы, компания получит репутационный ущерб. Оба ресурса требуют защиты, но последствия у них разные. При ограниченных ресурсах я бы в первую очередь занялся системой, без которой невозможно выполнять заказы.

По мере роста бизнеса меняется и объём работы по защите. Небольшая компания часто пользуется готовыми сервисами и инфраструктурой облачного провайдера. Часть задач безопасности решает он. Когда появляются собственные программы и серверы, компании приходится самой заботиться об их защите. Одновременно растёт объём данных: они нужны для текущей работы, аналитики и восстановления после сбоя.

С резервными копиями есть особенно неприятная история. Мы наблюдаем случаи, когда злоумышленники после взлома остаются внутри инфраструктуры и читают чаты сотрудников, которые пытаются всё восстановить. Из переписки они узнают, где ещё сохранились данные, и пытаются уничтожить эти копии.

Поэтому сам факт, что компания делает бэкапы, ещё не повод успокаиваться. Нужно защищать и резервные данные, и процесс восстановления: в этот момент атакующие могут продолжать следить за действиями команды. Иначе можно лишиться именно тех копий, на которые рассчитывали при аварии.

Защитить бизнес, не разорив его

Принять риск потери всей компании никто не готов. Но потратить на защиту столько, чтобы бизнес умер от нехватки денег, тоже плохой выход.

Я бы начинал с аудита. Профессиональная команда может оценить системы и меры защиты, показать слабые места и примерно посчитать, во сколько обойдётся их устранение. После этого появляется предмет для разговора: насколько опасна уязвимость, какова вероятность, что ею воспользуются, какой ущерб это нанесёт и сколько стоит снизить риск.

Такой разговор требует участия руководства. Задача команды безопасности — полно описать риски и объяснить последствия. Руководители решают, какие потери компания готова допустить, а какие для неё неприемлемы. Затем специалисты выбирают и реализуют технические и организационные меры. При этом бизнесу и технической команде не нужно учить друг друга профессии: каждый отвечает за свою часть решения.

В нашем случае киберриски в принципе неприемлемы: речь идёт о деньгах и данных клиентов. Поэтому мы должны применять все необходимые меры, чтобы не допустить взлома.

Размер собственной команды тоже зависит от масштаба бизнеса. У нас сильная служба безопасности внутри, но мы постоянно привлекаем внешних экспертов для отдельных задач и обучения. Компания поменьше может передать подрядчикам больше работы. Однако решение о том, какие риски допустимы, всё равно остаётся за её руководством.

ИИ ищет следы атаки и проверяет код

Проверять инфраструктуру приходится постоянно, и здесь ИИ помогает уже защитникам. Мы используем его в нескольких задачах — от анализа трафика до поиска уязвимостей в программном коде.

Модели машинного обучения находят подозрительные закономерности в потоке данных. Например, помогают заметить, что кто-то пытается выгрузить информацию и маскирует это под обычную работу сервиса.

Мы используем ИИ-агентов для проверки сервисов, которые выходят в интернет. Агенты пытаются взломать их или вывести из строя — так мы ищем уязвимости, которыми могли бы воспользоваться злоумышленники.

Ещё одна задача — проверка кода во время разработки. Это особенно актуально с распространением вайб-кодинга — подхода, при котором разработчик описывает задачу словами, а ИИ генерирует программный код. Мы используем ИИ, чтобы находить в коде потенциальные уязвимости в дополнение к обычным средствам анализа. Эти технологии применяем и при создании инструментов безопасности — в том числе «Альфа-Сканера».

Нашли уязвимость — работа только началась

Из необходимости постоянно проверять безопасность собственной инфраструктуры вырос «Альфа-Сканер» — первый банковский продукт в сфере кибербезопасности. Он объединил технологии ИИ и инструменты для автоматического поиска угроз. В его основе — наши внутренние решения и практический опыт борьбы с атаками. Мы используем его сами, а теперь предлагаем клиентам инструмент защиты, разработанный с учётом высоких требований к безопасности банковской инфраструктуры.

Чтобы понять, есть ли в онлайн-сервисах критические уязвимости, необязательно сразу приглашать большую команду на длительный аудит. «Альфа-Сканер» позволяет проверить сайты, личные кабинеты и другие ресурсы, доступные из интернета. Он находит слабые места, ранжирует их по критичности и выдаёт рекомендации по устранению.

Важно отметить, что сканер помогает не просто находить уязвимости. Эксперты банка оценивают, какие из них представляют реальную угрозу бизнесу и требуют первоочередного внимания и затрат на устранение. Но я бы не хотел, чтобы кто-то воспринимал сканер как волшебную палочку: обнаруженная уязвимость не исчезает оттого, что попала в отчёт. Её ещё нужно устранить.

Есть и другая ценность — независимое второе мнение. Во-первых, даже если у компании уже есть собственная команда информационной безопасности и инструменты проверки, полезно взглянуть на свою инфраструктуру со стороны: это помогает перепроверить выводы и не упустить риски, которые могли остаться незамеченными. Во-вторых, если внутри не удаётся договориться о расходах на защиту, у руководства появляется дополнительная оценка того, насколько серьёзны проблемы.

Результаты разбирают наши специалисты: помогают клиенту определить приоритеты и составить план работ. Да, после сканирования руководителю может стать тревожнее. Ведь до проверки он не знал о проблемах и спокойно спал. А теперь у него есть список уязвимостей и понимание, чем придётся заняться. Но, на мой взгляд, это полезная тревога. Лучше узнать о слабом месте и закрыть его, пока компания работает, чем столкнуться с ним, когда бизнес уже остановился.