MaxPatrol SIEM
Встроенный ML-помощник повышает эффективность обнаружения атак
В каждой второй организации обнаружены следы присутствия известных APT-группировок
Специалисты департамента комплексного реагирования на киберугрозы, Positive Technologies, подвели итоги1 расследований кибератак и ретроспективного анализа за последний год. Эксперты отмечают, что спрос на такие проекты остается высоким, при этом организации в два раза чаще обращались за ретроспективным анализом. Эксплуатация уязвимостей веб-приложений и доверительные отношения стали основными исходными векторами проникновения злоумышленников в инфраструктуру организаций. Доля атак, в которых хакерам удалось нарушить непрерывность бизнеса, достигла 55%.
По данным специалистов департамента комплексного реагирования на киберугрозы экспертного центра Positive Technologies (PT ESC IR), ландшафт атакованных организаций заметно изменился. Если в предыдущем аналогичном периоде к экспертам чаще других обращались промышленные предприятия, то теперь на первое место вышли ИТ-компании (24%). Такой рост связан с тем, что компрометация одного ИТ-провайдера может стать точкой входа во внутреннюю сеть сразу нескольких клиентских организаций. Лидерство по количеству обращений (24%) с ними делят госучреждения.
Кроме того, в сравнении с прошлым годом почти в два раза (с 15% до 28%) увеличилась доля атак через подрядные организации. Как отмечается в отчете, в подобных случаях двухфакторная аутентификация могла бы усложнить путь злоумышленника к конечной цели и увеличить вероятность обнаружения атаки на ранних этапах. Самым распространенным способом проникновения в корпоративную инфраструктуру остается эксплуатация уязвимостей в веб-приложениях на периметре (36%).
Согласно отчету, также выросло число инцидентов с компрометацией сетевых устройств. Например, в одном из расследованных кейсов киберпреступники воспользовались некорректной настройкой сетевых маршрутизаторов и продолжительное время перехватывали сетевой трафик.
Более чем в четверти инцидентов (26%) киберпреступники смогли проникнуть во внутреннюю сеть организаций, воспользовавшись ее недостаточной сегментацией. Другим не менее опасным недостатком киберзащиты компаний стали устаревшие версии ОС и ПО, в частности на узлах сетевого периметра (25%). В 23% рассматриваемых в отчете проектов атакующие воспользовались отсутствием двухфакторной аутентификации на узлах. Еще в 21% случаев успеху кибератак способствовало пренебрежение антивирусными решениями или их эффективной настройкой.
1 За отчетный период с IV квартала 2024-го по III квартал 2025 года команда выполнила более 100 проектов по расследованию инцидентов и ретроспективному анализу, преимущественно в странах СНГ. В отчете представлены ключевые цифры, тренды и практические выводы.
«В инфраструктуре почти половины (43%) организаций были обнаружены следы известных APT-группировок, при этом в прошлом периоде этот показатель составлял 39%. Увеличилась и доля атак, в результате которых были нарушены бизнес-процессы, — с 32% до 55% в сравнении с отчетом за 2021–2023 года. По итогам проектов мы видим, что организациям, которые вовремя обратились к нашим специалистам, удалось избежать непоправимого ущерба, остальным мы помогли расследовать причины успешных атак и восстановить бизнес-процессы. Чтобы предотвратить колоссальные финансовые и репутационные потери в будущем, компаниям необходимы не просто точечные улучшения, а фундаментальный пересмотр подходов к ИБ с фокусом на измеримости результатов».
Илья ДенисовСтарший специалист департамента комплексного реагирования на киберугрозы экспертного центра безопасности Positive Technologies (PT ESC IR)
Эксперты также отмечают, что компании стали быстрее обнаруживать инциденты. В среднем с начала вредоносной активности до ее выявления проходит 9 дней, что на 8 дней быстрее, чем годом ранее. Иногда злоумышленникам удается скомпрометировать ключевые узлы инфраструктуры и реализовать недопустимые события буквально за сутки. В других случаях атаки могут длиться годами: в ходе одного из расследований специалисты PT ESC IR установили, что хакеры оставались незамеченными почти 3,5 года.
В целях предотвращения кибератак специалисты рекомендуют соблюдать актуальные общепринятые практики кибербезопасности. Обеспечить эффективную защиту также помогают решения для мониторинга событий ИБ и выявления инцидентов (MaxPatrol SIEM), системы управления уязвимостями (MaxPatrol VM), системы поведенческого анализа сетевого трафика (PT NAD), межсетевые экраны для глубокой фильтрации трафика (PT NGFW), средства защиты веб-приложений (PT Application Firewall), песочницу для обнаружения сложного и неизвестного ВПО (PT Sandbox), а также комплексное решение для защиты конечных устройств от сложных APT и массовых атак (MaxPatrol Endpoint Security). Для выявления следов компрометации, быстрого подключения мониторинга и реагирования организации могут воспользоваться облачным решением РТ Х. Портал PT Fusion позволяет эффективно проводить мониторинг безопасности и оперативно реагировать на современные угрозы, в которых эксплуатируются уязвимости. Он дает представление об актуальных тактиках и техниках, индикаторах компрометации угроз и помогает построить актуальный ландшафт киберугроз.