Тихие атаки: как найти хакеров в своей сети

Хроники нападений

APT-атака — это целевая атака, в ходе которой киберпреступники тайно вторгаются в сеть и остаются незамеченными в течение долгого времени. По данным Solar 4RAYS, в первом полугодии 2026 года 16% расследованных атак длились от полугода до года (12% годом ранее), 11% — от года до двух лет (16%), ещё 5% — более двух лет (7%).

При этом, как отмечали в BI.ZONE, около 20% российских компаний взломано киберпреступниками, но не знают об этом. В числе приоритетных целей: государственный (14% инцидентов), финансовый (11%) секторы, а также логистика (10%). Руководитель BI.ZONE Compromise Assessment Владимир Гришанов сообщал, что большинство выявленных случаев скрытого присутствия (60%) приходится на кластеры, нацеленные на кибершпионаж. «Это не означает, что именно кибершпионы атакуют российские компании чаще всего: просто специфика этих группировок такова, что им для достижения своих целей необходимо долго находиться в инфраструктуре жертвы, незаметно собирая чувствительную информацию. Этим они отличаются, к примеру, от финансово мотивированных кластеров, использующих шифровальщики, — те, как правило, проводят атаку стремительно и могут находиться в инфраструктуре не больше нескольких дней».

По статистике, 37% всех атак, нацеленных на российские организации, связаны со шпионажем. Такие кластеры используют легитимные инструменты, а также ВПО собственной разработки, чтобы эффективнее обходить средства защиты и дольше оставаться в инфраструктуре незамеченными.

Три примера крупных инцидентов

• Червь Stuxnet атаковал предприятие по обогащению урана в иранском Натанзе. Вредоносная программа проникла в промышленную сеть и вмешивалась в работу контроллеров Siemens, управлявших центрифугами. Она меняла режим их работы так, чтобы постепенно выводить оборудование из строя и не сразу вызвать подозрения. Stuxnet обнаружили в 2010-м, когда атака уже успела повлиять на работу предприятия.
• Кампания Aurora — в январе 2010 года компания Google объявила о выявлении масштабной хакерской кампании, начавшейся в середине 2009 года и организованной китайской группой Elderwood. Её целью было похищение интеллектуальной собственности и отслеживание китайских диссидентов. В результате атак пострадало более тридцати компаний (Google, Adobe, Yahoo и другие).
• Атака на SolarWinds (2020–2021) стала крупнейшим из известных случаев нападения на цепочку поставок ПО. С конца 2019 года хакеры Cozy Bear внедрили бэкдор SUNBURST в ПО Orion ИТ-компании SolarWinds. Начиная с весны 2020 года, тысячи организаций (включая Министерство внутренней безопасности США, Microsoft, FireEye) получили заражённые обновления. Атака стала публичной в декабре 2020 года — злоумышленники находились внутри систем более четырнадцати месяцев.

На что обратить внимание

Медленные атаки обычно многоступенчатые: злоумышленник сначала проводит разведку (reconnaissance) и изучает инфраструктуру, получает начальный доступ через фишинг, эксплуатацию уязвимостей или компрометацию цепочки поставок. Затем закрепляется в сети, расширяет привилегии и перемещается между системами. Для сохранения доступа он может устанавливать бэкдоры и постепенно накапливать скомпрометированные учётные записи. Атакующий выводит данные небольшими порциями или запускает скрытый саботаж, стараясь не создавать заметного сетевого трафика и маскируя передачу через зашифрованные туннели (DNS-туннелирование, HTTPS).

«Медленная атака выглядит как хроническая болезнь системы: все показатели понемногу ухудшаются, но нигде нет эффектной диаграммы трафика. Это атака, которая не сносит систему разом, а медленно душит её, маскируясь под мелкие проблемы с производительностью», — говорит независимый ИБ-эксперт, CISO крупного телеком-холдинга Дмитрий Беляев.

Как распознать такую атаку:

• медленное ухудшение — рост времени отклика, редкие подвисания, единичные 5xx-ошибки без явных пиков трафика;
• неестественные временные паттерны — длинные висящие HTTP-сессии с минимальным трафиком, регулярные мелкие перебои, длительные неполные запросы;
• аномальное поведение на уровне сети — редкий устойчивый скан портов, ночные подключения к нетипичным IP;
• несостыковка метрик — нагрузка по CPU/памяти растет, а объём трафика не меняется;
• подозрительные логи — множество незавершённых HTTP-заголовков, долгие keep-alive-сессии, странные user-agent или паттерны запросов к API.

По отдельности такие события похожи на обычную активность, поэтому важно смотреть на их последовательность, контекст и динамику, говорит аналитик угроз GSOC компании «Газинформсервис» Владислав Шелепов. Стоит обращать внимание на входы в нетипичное время, обращения к ресурсам, с которыми пользователь раньше не работал, изменение прав без причины, активность спящих учётных записей и нетипичное поведение сервисных УЗ. Особенно важно замечать ситуации, когда несколько слабых отклонений происходят у одного пользователя или устройства в течение нескольких дней, считает Владислав Шелепов.

Эксперт по защите информации InfoWatch ARMA Денис Леонтьев в числе маркеров медленных атак называет растянутую разведку поверхности атаки, когда один источник методично исследует по одному порту, URL или подсети в час. В пятиминутном окне это безобидно, но анализ за неделю выявляет подготовку к проникновению.

Ещё один признак — низкоинтенсивный подбор: одна-две попытки входа на аккаунт с интервалом в несколько часов, распределённые по множеству IP-адресов. Такие кампании обходят простые блокировки по rate limit, говорит он. Другой индикатор — медленная эксфильтрация данных небольшими порциями в ночное время по редким направлениям, замаскированная под легитимный трафик, отмечает эксперт.

Методы защиты от APT-атак

Чтобы выявить такие атаки, обычно применяют продвинутые средства мониторинга:

• SIEM-платформы собирают логи со всех критических систем и выполняют корреляцию разрозненных событий. По словам аналитиков Splunk, SIEM может «сопоставлять необычные DNS-запросы, попытки доступа к базам данных и большие исходящие передачи данных» на временной шкале, выявляя медленно движущуюся APT-кампанию.
• EDR-системы и UEBA-модули отслеживают поведение процессов и пользователей, ищут отклонения от нормы. Например, незнакомые службы, посторонние исполняемые файлы, создание сервисов с использованием сторонних DLL-библиотек.
• NTA/DLP-системы анализируют сетевой трафик на предмет скрытой эксфильтрации или необычных коммуникационных паттернов.

Против таких атак неэффективны пороговые правила. Требуются поведенческие модели и длительные окна наблюдения с корреляцией данных о том, кто, куда и как часто обращается, считает Денис Леонтьев. Базовая защита — правильная инженерия сервиса: жёсткие таймауты, ограничения соединений, контроль сессий, настройки WAF. Необходимо ограничивать попытки не только по IP, но и по аккаунту, устройству, географии. «Критически важна аналитика за длительный период. Эффективный подход — работа от базовой модели нормы: сколько живёт соединение, сколько URI проходит клиент за сутки, какова типичная скорость передачи данных», — говорит он.

Медленные атаки плохо переносят среду, где события хранятся долго и собираются в единую историю, говорит и Владислав Шелепов. «Основу защиты должны составлять полные журналы событий, длительное хранение логов, корреляция действий между системами и контроль постепенных отклонений. Если компания видит только фрагменты активности, она замечает уже позднюю стадию атаки», — говорит он.

Нужно сделать так, чтобы медленные клиенты не могли забрать ресурсы системы, считает Дмитрий Беляев. Фундаментальные меры: ограничивать скорость и объём передачи заголовков и тела запроса, а также вводить квоты по числу запросов и соединений для отдельных IP, подсетей и токенов. На уровне архитектуры помогают неблокирующие веб-серверы, обратные прокси и балансировщики нагрузки, а также DDoS-защита, которая анализирует поведение соединений. Для поведенческого контроля можно использовать NTA/NDR и IDS/IPS.

Honeytokens и все, все, все

Из нестандартных методов защиты Денис Леонтьев называет отслеживание отхода от логического маршрута пользователя — у легитимного клиента есть цель, у атакующего — удержание ресурсов малыми порциями. Полезна накопительная репутация: риск-скоринг позволяет за недели собрать разрозненные действия в единый профиль угрозы. Важно связывание событий через слабые идентификаторы: TLS-отпечатки, паттерны User-Agent, ритм активности, говорит Денис Леонтьев.

Владислав Шелепов выделяет среди нетипичных способов honeytokens — учётные записи, документы, ключи или сетевые ресурсы, к которым в обычной работе никто не обращается. Любое обращение к ним даёт точный сигнал о подозрительной активности. Такой подход особенно полезен против медленных атак, поскольку злоумышленники долго изучают инфраструктуру.

Также эффективно создать отдельный профиль нормы для сервисных и администраторских УЗ. У них другой характер работы, поэтому общий профиль даёт много ложных срабатываний, отмечает эксперт. Отдельно стоит контролировать исходящий трафик с узлов администрирования и чувствительных сегментов.

Дмитрий Беляев предлагает использовать в качестве дополнительных мер защиты:

• нормализацию времени — искусственное выравнивание времени обработки операций, чтобы усложнить атаки по таймингу;
• обманные поверхности — виртуальные сервисы, принимающие подозрительно медленные соединения и уводящие их от боевой инфраструктуры;
• динамические политики — автоматическое ужесточение тайм-аутов в периоды низкой активности и смягчение в пиковое время;
• корреляцию метрик — совместный анализ жалоб пользователей, тикетов в поддержку, метрик бизнес-процессов с телеметрией ИБ;
• адаптивные фильтры, усложняющие жизнь клиентам с аномально долгими сессиями через дополнительные проверки и приоритизацию быстрых клиентов.

Гайд: как искать «тихих» хакеров в своей сети

1. Ведите централизованный сбор журналов с долгим сроком хранения

• Собирайте журналы со всех критичных систем: AD, VPN, почта, веб, БД, сетевое оборудование.
• Храните логи месяцами и даже годами, потому что медленные атаки растягиваются надолго.

2. Ищите последовательности, а не разовые события

• Смотрите на входы в нетипичное время, доступ к новым ресурсам, изменение прав и активность спящих учёток.
• Обращайте внимание, когда несколько слабых отклонений у одного пользователя или устройства повторяются в течение дней.

3. Проверяйте сетевые и инфраструктурные признаки

• Медленная деградация: рост времени отклика, редкие подвисания, долгие «висящие» HTTP-сессии.
• Рост нагрузки на CPU и память при неизменном трафике, редкое сканирование портов, мелкий ночной экспорт данных.

4. Используйте ловушки (honeytokens)

• Создайте фиктивные учётки, документы и ключи, которые никто не использует в работе. Любое обращение к ним — сигнал тревоги.

5. Заведите отдельные правила для админских и сервисных учёток

• Составьте список: какие системы трогает каждая учётка, с каких хостов и в какое время.
• Настройте тревогу на выход за этот список, например когда бэкап-учётка заходит на сервер бухгалтерии или админская учётка входит не с админской станции.

6. Ограничивайте медленных клиентов на уровне архитектуры

• Задайте жёсткие таймауты, лимиты на размер и скорость передачи запросов, квоты на соединения по IP, аккаунту и токену.
• Используйте обратные прокси, балансировщики и WAF.

7. Связывайте мелкие сигналы в одну картину

• Отслеживайте отход от логичного маршрута пользователя и ведите накопительную репутацию по IP, аккаунту и устройству.
• Связывайте события через слабые идентификаторы: TLS-отпечатки, User-Agent, ритм активности.

8. Регулярно проверяйте сеть на скрытые заражения и заранее решите, что делать при находке

• Проводите compromise assessment даже без явных инцидентов.
• Сверяйте жалобы пользователей и тикеты поддержки с телеметрией ИБ и заранее опишите действия при подозрении на APT.