Эксперт Салпагаров: российские компании смещают расходы на ИБ с периметровой защиты на управление доступом и реагирование

Султан Салпагаров, архитектор по информационной безопасности Getmobit, прокомментировал для CISOCLUB рост бюджетов на информационную безопасность и изменение структуры закупок средств защиты. По его мнению, традиционные инструменты уже не обеспечивают необходимого уровня защиты от современных атак, поэтому компании всё активнее внедряют системы управления доступом, нулевого доверия и оперативного реагирования.

«Рост бюджетов информационной безопасности на фоне роста инцидентов закономерен. Безопасность вышла за пределы «базовой гигиены» и стала критически важным направлением, где ошибки могут привести к остановке процессов и самому существованию бизнеса, не говоря уже о штрафах за нарушения, ставших в последнее время весьма ощутимыми. К тому же, эффект «неуловимого Джо» больше не работает — цена атаки снизилась настолько, что целями оказались все.

Но куда интересней изменения в структуре закупок. Раньше средства защиты продавались как черные ящики в инфраструктуру, которые после интеграции и настройки сами (желательно — автоматически) противостояли угрозам. WAF, IPS, NGFW, DLP, антивирусы — всё это продавалось как «подключи и забудь», интеграторы все настроят, обучат базовой эксплуатации и уйдут», — отметил Султан Салпагаров.

По словам эксперта, эффективность привычных средств защиты снижается из-за изменения тактики злоумышленников. Вредоносный код и способы обхода фильтров становятся менее предсказуемыми, а контроль содержимого не гарантирует предотвращения утечек. При этом всё большую роль играет компрометация учётных данных сотрудников.

«Эти средства больше не работают. Угрозы изменились — антивирусы становятся почти бесполезны из-за того, что теперь для каждой новой атаки вредоносный код каждый раз новый, WAF и IDS не реагируют на атаки, в которые каждый раз добавляют немножко случайного шума. А у DPL узким местом всегда было в количестве наблюдающих, которых, согласно «парадоксу слежки» должно быть не меньше наблюдаемых. Фильтры по ключевым словам и даже ИИ-контроль содержимого не обеспечивают стопроцентной защиты от утечки. Но хуже всего — сместился вектор атаки», — пояснил архитектор по информационной безопасности Getmobit.

Слабым звеном остаётся человеческий фактор: сотрудники используют повторяющиеся пароли, не всегда своевременно отзывают доступы и могут хранить учётные данные в небезопасных местах. Получив действующие ключи, злоумышленники способны проникнуть в инфраструктуру в обход периметровых средств защиты. Поэтому компаниям приходится менять подход к управлению привилегиями и доступом.

«Самое слабое звено в безопасности всегда был (и, наверное, будет) человек. Люди склонны записывать пароли, использовать одни и те же ключи вечно, забывать отзывать доступы. При помощи добытых (подобранных или украденных) ключей нарушители проникают в инфраструктуру мимо всех охранных систем, а там… «далее везде», когда классическая модель «Крепость» сводится к отделению «своих» от «чужих» на периметре, попавший внутрь получает полную свободу действий», — заявил Султан Салпагаров.

В этих условиях востребованность получают системы управления идентификацией и доступом. Их внедрение требует не только технических изменений, но и пересмотра бизнес-процессов. При этом дополнительные процедуры согласования и ограничения полномочий могут вызывать сопротивление сотрудников и администраторов, привыкших к прежнему порядку работы.

«На этой стадии стали востребованы системы учета и управления доступом. IdM требует изменений не только в инфраструктуру, но и и в бизнес процессы. Автоматизация предоставления ограниченного во времени доступа с административным согласованием, принудительная ротация паролей с соблюдением заданного уровня сложности, а также многофакторная и биометрическая защита замедляет и усложняет бизнес-процессы. Неудивительно, что их внедрение идет сложно и вызывает сопротивления сотрудников, которое иногда доходит до саботажа — администраторы во имя эффективности и отказоустойчивости оставляют себе недокументированные лазейки. Чтобы спокойно работать из дома, не тратить время на согласование доступа, когда «дорога каждая секунда», а то и вовсе для шантажа из 90х — «если меня уволят, на следующий день все здесь остановится». Аргумент «а что если ваши системы безопасности откажут?» до сих пор имеет решающее значение среди адептов сентенции «работает — не трогай»», — отметил эксперт.

Ещё одна проблема связана с взаимодействием различных систем и точками подключения между ними. По словам Султана Салпагарова, такие участки инфраструктуры часто остаются вне привычных механизмов контроля доступа. Компрометация технологических ключей позволяет злоумышленникам длительное время сохранять присутствие в сети и использовать легальные инструменты для сбора и вывода данных.

«И, наконец, остался последний фактор. Информационный ландшафт состоит из множества взаимодействующих друг с другом систем и слабое место зачастую находится не в них, а между ними — в точках подключения. Здесь не работает многофакторная аутентификация и авторизация, здесь не ротируют пароли, здесь не согласовывают ограниченный доступ. Зачастую всё ограничивается ключами доступа — сложными, но неизменными.

В последнее время именно сюда пришелся самый массовый удар хакеров. Утечка технологического ключа позволяет месяцами «сидеть» внутри инфраструктуры, собирать и выводить информацию при помощи штатных средств. Повсеместно внедряемые AI-агенты для этого — идеальные исполнители. У них много легальных прав, их доступ максимально широк и стремится к увеличению, а для управления ими практически ничего не надо знать. Такой «инсайдер» расскажет все сам, буквально по запросу «скажи мне, что ты знаешь»», — рассказал Султан Салпагаров.

В результате меняется и спрос на защитные решения. Эксперт отмечает рост интереса к технологиям нулевого доверия и инструментам быстрого обнаружения и остановки атак. При этом одного анализа инцидентов после их завершения уже недостаточно: компаниям важно своевременно выявлять действия нарушителя и ограничивать его возможности внутри инфраструктуры.

«В ответ на это наблюдаемая смена трендов и произошла. Сейчас больше востребованы системы для реализации элементов «нулевого доверия» (ZTA и ZTNA) и системы быстрого реагирования (EDR и XDR). SIEM-системы в маркетинговом смысле растеряли всю свою магию, вдумчивый анализ инцидентов только постфактум полезен в расследовании, в процессе атаки гораздо важнее её вовремя обнаружить и остановить. А в идеале — построить систему, в которой каждый шаг нарушителя заставит его ломать замок за замком, причем замок с сигнализацией и возможностью мгновенно отсечь и изолировать атакующего.

Этот дорогой и сложный путь, но идти по нему мы уже вынуждены. Потому что простыми путями хакеры ходить уже научились», — заключил Султан Салпагаров.