Национальная база знаний по киберугрозам.

Почему нельзя выключать машину

Первый рефлекс администратора — обесточить сервер. Это ошибка. В оперативной памяти живут ключи шифрования, расшифрованные конфигурации, активные сетевые соединения, процессы без файла на диске и следы бесфайловых атак. Выключение уничтожает всё это безвозвратно, и расследование остаётся без половины доказательств.

Правильное действие — сетевая изоляция без выключения: отключить сегмент на коммутаторе, снять VLAN, физически выдернуть кабель. Атакующий теряет управление, память остаётся живой.

Порядок действий

1. 00:00

   Зафиксировать время

   Точное время обнаружения, кто обнаружил, по какому признаку. Записать вне скомпрометированной системы — на бумаге или в другом контуре. Всё, что вы напишете в заражённой системе, доверия не вызывает.

2. 00:02

   Изолировать, не выключая

   Отсечь сегмент от сети. Не перезагружать, не завершать подозрительные процессы, не удалять файлы.

3. 00:05

   Снять образ памяти

   Дамп оперативной памяти до любых других действий. Затем — образ диска. Хеши образов зафиксировать сразу, иначе доказательственная ценность теряется.

4. 00:10

   Сохранить журналы

   Скопировать логи системы, приложений, сетевого оборудования и средств защиты на внешний носитель. Логи часто ротируются — через сутки их может не быть.

5. 00:12

   Уведомить

   Ответственное лицо организации и ГТС. По Цифровому кодексу сроки уведомления об утечке персональных данных измеряются часами — отсчёт уже идёт.

6. 00:15

   Зафиксировать периметр

   Определить, какие ещё системы имели сетевую связность с поражённой и под теми же учётными данными. Скомпрометированная учётная запись — это скомпрометированные все системы, где она действовала.

Чего делать нельзя

Не «лечить» антивирусом до снятия образов — он удалит образцы вредоносного кода. Не переустанавливать систему: это уничтожение доказательств, а не восстановление. Не чистить журналы. Не менять пароли на скомпрометированной машине — новый пароль тут же уедет атакующему; менять нужно из чистого контура. Не сообщать о факте в общие рабочие чаты: если атакующий имеет доступ к переписке, вы дадите ему сигнал заметать следы.

Что изменилось в атаке

Главный сдвиг — не в появлении новых типов атак, а в стоимости и качестве исполнения старых. Фишинговое письмо на грамотном казахском или русском языке, с корректным деловым стилем и контекстом конкретной организации, раньше требовало времени и знания языка. Теперь это генерируется массово. Классический совет «ищите ошибки в тексте» перестал работать.

Второе — клонирование голоса. Убедительная имитация голоса руководителя строится по нескольким секундам записи из открытых источников. Схема «позвонил директор, срочно переведите» получила качественно новое исполнение. Защита здесь не техническая, а процедурная: подтверждение операций по независимому каналу, обязательное для всех без исключений по должности.

Третье — ускорение разведки и написания эксплойтов. Порог входа снизился: то, что раньше требовало квалификации, стало доступно менее подготовленным атакующим.

Что не изменилось

Начальный вектор проникновения остался прежним: украденные учётные данные, непропатченный периметр, открытый RDP, ошибка конфигурации. ИИ не отменил базовую гигиену, он лишь удешевил её обход там, где её нет. Организация без многофакторной аутентификации и управления обновлениями будет взломана вне зависимости от того, применял атакующий нейросети или нет.

Новая поверхность атаки

Внедряя ИИ у себя, организация получает угрозы, которых раньше не было: инъекция в подсказку, когда модель выполняет инструкции из обрабатываемого документа; отравление обучающих данных; утечка конфиденциальной информации через промпты сотрудников во внешние сервисы. Модель, имеющая доступ к внутренним системам, — это учётная запись с правами, и относиться к ней надо соответственно.

ИИ в защите

Работает там, где нужно найти аномалию в большом потоке событий: поведенческая аналитика, приоритизация тревог, сокращение рутины первой линии. Не работает как замена специалиста — без человека, понимающего контекст, система выдаёт либо шум, либо ложное спокойствие.