Современные киберпреступники постоянно разрабатывают новые способы взлома и обхода защитных мер. Поэтому специалистам по информационной безопасности, особенно аналитикам центра мониторинга безопасности (SOC), важно понимать цели атакующих и методы, которыми они пользуются. В этой статье я попробую простыми словами объяснить, зачем злоумышленники атакуют системы, какие техники они применяют (от социальной инженерии до горизонтального перемещения (lateral movement)), а также как можно распознать и остановить такие атаки.

Цели злоумышленников: что им нужно?

Прежде чем рассматривать тактики, важно понять мотивы кибератак. Обычно цели злоумышленников можно разделить на несколько категорий:

Финансовая выгода.
Многие атаки совершаются ради денег – например, кража данных платежных карт, вымогательство (шифрование файлов с требованием выкупа) или хищение средств. Группировки злоумышленников часто взламывают организации, крадут конфиденциальные данные и требуют выкуп за их возвращение. Например, печально известная группировка Maze шантажировала компании (Canon, LG, Xerox и др.), похищая их данные и требуя крупные суммы за неразглашение. Даже правительства не застрахованы: в 2017 году вирус-вымогатель WannaCry поразил британскую систему здравоохранения NHS, нарушив работу больниц и нанеся огромный ущерб. Позднее атаку связали с хакерами из КНДР, которые, по мнению экспертов, пытались таким способом добыть деньги для своего режима.

Шпионаж и кража информации.
Государственные хакеры и продвинутые группы (APT) часто действуют в интересах держав или корпораций, охотясь за секретами. Их цель – украсть интеллектуальную собственность, дипломатическую переписку или секретные данные ради политической или экономической выгоды. К примеру, российская группировка APT29 (она же Cozy Bear) известна фишинговыми кампаниями против дипломатических учреждений с целью шпионажа. В 2016 году хакеры, предположительно связанные с Россией, взломали серверы Национального комитета Демократической партии США, чтобы повлиять на исход выборов (но это не точно).

Идеология и хактивизм.
Хактивисты атакуют организации или государства, руководствуясь политическими или социальными убеждениями. Их цель – протест или привлечение внимания к идее. Известный пример – коллектив Anonymous, который в 2011 году атаковал сайты правительств и компаний в знак протеста против законопроектов SOPA/PIPA, добившись широкой огласки проблемы. Такие атаки направлены скорее на саботаж, репутационный ущерб или нарушение сервисов, чем на прибыль.

Внутренние угрозы и месть.
Не стоит забывать и про инсайдеров – сотрудников или бывших сотрудников, которые могут похитить данные или навредить из личных побуждений (обиды, конкуренция). Например, в 2014 году рассерженный работник слил конфиденциальную информацию Sony Pictures, желая навредить компании. Мотивы инсайдеров могут быть различны – от финансовой выгоды до мести или идеологии – но ущерб от их действий часто столь же серьезен.

Понимание мотивов важно, потому что оно помогает защитникам предвидеть, кто и что может атаковать. Как отмечают эксперты, зная, что движет хакерами (деньги, секреты, идеология), организации могут расставить приоритеты в защите.

Теперь перейдем к тому, какими же методами злоумышленники реализуют свои планы.

Социальная инженерия и фишинг: атаки на самого человека

Одним из самых распространенных и опасных методов взлома остается социальная инженерия, в частности фишинг. Фишинг – это разновидность кибератаки, при которой злоумышленник выдает себя за доверенную организацию или лицо, чтобы обманом вынудить жертву выдать конфиденциальные данные или выполнить нужные злоумышленнику действия. Чаще всего фишинг реализуется через обманные электронные письма или сообщения, маскирующиеся под уведомления банка, письма от IT-отдела, запросы от руководства и т.п. Цель таких писем – заставить пользователя по ссылке перейти на поддельный сайт для кражи пароля либо открыть вредоносное вложение для установки вредоносного ПО (malware).

Все формы фишинга фактически сводятся к электронному мошенничеству, использующему психологические уловки. Атаки строятся на доверии или страхе: письмо может выглядеть как срочное предупреждение службы безопасности или, например, как «важное сообщение от директора». Получив такое, сотрудник в панике или из любопытства нажимает ссылку – и невольно предоставляет злоумышленнику доступ. Таргетированный фишинг (спирфишинг) нацелен на конкретную жертву или организацию, с учетом ее контекста. Например, атака может быть замаскирована под внутреннее письмо от коллеги (краденый или поддельный аккаунт), содержащее документ со зловредным макросом. В 2023 году эксперты Mandiant зафиксировали серию таких «дипломатических» фишинговых атак APT29: злоумышленники рассылали от имени чиновников письма с темой недавнего землетрясения, побуждая сотрудников посольств открыть файл – и тем самым внедряли вредоносную программу.

Как защититься? Лучшее противоядие от фишинга – внимательность и обучение пользователей. Ответственные за кибербезопасность компании внедряют тренинги по безопасности, учат персонал проверять адрес отправителя, не открывать подозрительные вложения, использовать средства фильтрации почты. Также помогают технические меры: фильтры спама и фишинга в почтовых шлюзах, многофакторная аутентификация (даже если пароль украден, одного его мало), и sandbox-анализ вложений на наличие вредоносного кода.

Эксплойты и вредоносное ПО: поиск уязвимостей

Другой ключевой тактикой является эксплуатация уязвимостей и использование вредоносных программ. Злоумышленники постоянно ищут слабые места в программном обеспечении – ошибки конфигурации или баги в коде – которые можно использовать для проникновения. Когда выходит информация о критической уязвимости (например, Zero-Day эксплойт), атакующие стараются быстро внедриться туда, где патч еще не установлен. Эксплойт – это код или метод, с помощью которого хакер получает несанкционированный доступ к системе, используя ошибку в ПО. Например, уязвимость в веб-сервере может позволить выполнить на нем произвольный код и установить бекдор (скрытую «дверь» для повторного входа).

Вредоносное ПО (malware) часто применяется вместе с эксплойтами. Попав в систему (через фишинг или эксплойт уязвимости), злоумышленник загружает свои инструменты: трояны удаленного доступа (RAT), кейлоггеры для кражи паролей, программы для сканирования сети и прочие страшилки. Одной из известных вредоносных утилит преступников является Cobalt Strike – легитимный инструмент для тестирования безопасности, который обожают злоумышленники за его мощность и скрытность. В реальных кейсах после первоначального взлома атакующие запускали Cobalt Strike, чтобы закрепиться и развивать атаку.

Кроме того, злоумышленники могут распространять червей – самораспространяющиеся вирусы. WannaCry, упомянутый выше, – пример такого червя, который использовал эксплойт EternalBlue в Windows для автоматического распространения по сетям, шифруя файлы на ходу. Эту атаку удалось остановить только совместными усилиями специалистов после того, как она поразила сотни тысяч компьютеров по всему миру.

Как защититься? Здесь критически важны управление уязвимостями и обновлениями. Отдел SOC (а в нем не только аналитики, но и представители команды красных и другие незаменимые люди) следят за выходом патчей, приоритизируют установку обновлений на критичных системах (все это называется vulnerability management). Также помогают сканеры уязвимостей и пен-тесты, выявляющие слабые места до того, как их найдет злоумышленник. Для борьбы с malware применяются антивирусы/EDR на узлах, которые могут обнаружить известные вредоносные сигнатуры или подозрительное поведение программы, так же используется SIEM система которая собирает события и на основе правил создают инциденты с целью их проверки на легитимность. Наконец, сегментирование сети и минимально необходимые права доступа помогут снизить ущерб: если сервер в DMZ скомпрометирован через уязвимость, атакующий не должен автоматически попасть во внутреннюю сеть.

Латеральное перемещение: расширение плацдарма в сети

Когда злоумышленник получает начальный доступ (через фишинг или эксплойт), его цель – углубиться внутрь сети, добраться до наиболее ценных ресурсов. Для этого применяется тактика, известная как латеральное перемещение (Lateral Movement).

Согласно MITRE ATT&CK, латеральное перемещение объединяет методы, с помощью которых атакующий перемещается по среде жертвы, переходя на удаленные системы в сети. Проще говоря, компрометировав одну машину, злоумышленник пытается «прыгать» с компьютера на компьютер, повышая свои привилегии и приближаясь к цели. Он может устанавливать свои средства удаленного доступа либо использовать легитимные учетные записи и штатные админ-инструменты ОС, что более незаметно.

Приведем пример. Эксперты Cisco Talos описали случай атаки, где злоумышленники после проникновения в сеть потратили не меньше недели на скрытное перемещение по разным системам, собирая данные и расширяя свой контроль. Они применяли утилиты вроде Cobalt Strike и перекочевывали с узла на узел с помощью украденных учетных записей. Подобная тактика позволяет атакующему исследовать инфраструктуру: выполнить внутреннюю разведку (выяснить, где хранятся ценная информация, базы данных, резервные копии), украсть дополнительные пароли и найти учетные записи с более высокими правами доступа. Часто злоумышленники пытаются выйти на доменный контроллер организации – сервер, управляющий учетными записями. Завладев контроллером домена, атакующий фактически получает полный контроль над сетью, может создавать себе учетные записи, отключать защиты и т.д.

Типичные техники на этом этапе включают: сбор учетных данных (например, путем кражи хешей паролей из памяти, перехвата файлов с паролями), эскалацию привилегий (использование уязвимостей или неправильных настроек для перехода от обычного пользователя к администратору системы), а также расшифровку паролей или перебор слабых паролей. Злоумышленники также применяют «Living off the Land» – использование штатных администраторских инструментов (WMIC, PowerShell, PsExec, Remote Desktop и пр.), чтобы не вызывать подозрений. Эти утилиты обычно присутствуют в системе и их запуск не всегда сразу вызывает срабатывание антивируса.

Когда атакующие закрепились в сети, они могут создавать бэкдоры для постоянного доступа – например, заводить скрытые учетные записи, планировать задачи на запуск своих скриптов или внедрять малварь в автозагрузку. Такая постоянность (Persistence) нужна, чтобы даже после перезагрузки систем или смены паролей злоумышленник мог вернуться.

Как выявить? Латеральное движение часто сложно заметить, так как нападение происходит изнутри, с использованием легитимных учетных записей. Однако аналитику SOC помогут несколько подходов. Во-первых, поведенческий анализ: мониторинг действий пользователей и учеток на аномалии. Например, если учетная запись бухгалтера вдруг пытается входить на серверы, к которым раньше не обращалась, или происходит логин в нерабочие часы – это тревожный сигнал. Инструменты UEBA (User and Entity Behavior Analytics) могут автоматически отмечать подобные отклонения. Во-вторых, мониторинг сетевого трафика: при перемещении внутри сети могут появляться необычные соединения между сегментами, большой объем данных, уходящий на рабочую станцию злоумышленника, попытки подключения к нестандартным портам и т.д. Системы обнаружения вторжений (IDS/IPS) помогут отследить известные паттерны атак в трафике. В-третьих, журналы событий: сбор и корреляция логов (аутентификаций, запусков процессов, изменений системных настроек) через SIEM позволяет увидеть цепочку подозрительных действий. Например, множественные попытки подборa пароля или использование учеток вне их обычной зоны – повод начать расследование. Наконец, сегментация сети и принцип наименьших привилегий существенно усложнят жизнь злоумышленнику. Разделив сеть на изолированные секции и ограничив учетным записям доступ только к необходимым ресурсам, компания снижает вероятность того, что компрометация одной машины откроет дорогу ко всей системе.

Финальная стадия атаки: эксфильтрация и нанесение ущерба

Добравшись до ценной информации или получив нужные позиции в сети, злоумышленник приступает к реализации своих финальных целей. Если цель – шпионаж, то основное действие – эксфильтрация данных, то есть скрытая выгрузка похищенной информации наружу. Это может происходить различными способами: передача файлов на внешний сервер через FTP или HTTP, сжатие и шифрование данных перед отправкой, чтобы их не заметили системы защиты, либо постепенная пересылка небольшими порциями (чтобы не привлекать внимания). В примере от Cisco, упомянутом выше, атакующие, насытившись разведкой, начали выгружать данные через PowerShell-сессии на удаленный FTP-сервер.

Если же мотив – финансовый шантаж, то на финальной стадии обычно запускается программа-вымогатель (ransomware). Атакующие шифруют файлы в сети жертвы и требуют выкуп за расшифровку. Нередко это сочетается с упомянутой эксфильтрацией: сначала данные крадутся, а потом шифруются, чтобы жертва стояла перед двойной угрозой. Такой подход называют двойным вымогательством (double extortion): даже если у компании есть бэкапы и она может восстановить данные без оплаты, злоумышленники угрожают опубликовать украденную информацию – и тем самым склоняют заплатить. Например, группа Maze именно так и действовала: проникнув в сеть, вначале выкачивала конфиденциальные данные, а затем шифровала системы и требовала деньги, шантажируя публикацией украденного.

Другой вариант воздействия – деструктивные атаки и саботаж. Иногда целью злоумышленников (особенно идеологически мотивированных или государственных) бывает вывести из строя инфраструктуру жертвы. Тогда вместо шифрования без ключа дешифровки (как делают вымогатели) может применяться уничтожение данных (вайперы), выведение устройств из строя или остановка технологических процессов. Пример – атака вируса Stuxnet, который был нацелен на физическое разрушение ядерного оборудования. В корпоративной среде это встречается реже, но критически важные объекты (энергетика, транспорт) находятся под угрозой подобных акций.

Для аналитика SOC финальная стадия атаки – это момент, когда уже видны явные индикаторы (алерты, резкий рост трафика на внешний адрес, отказ в обслуживании систем). Задача – минимизировать ущерб: сразу изолировать зараженные узлы, отключить внешние соединения, активировать план реагирования на инцидент. Если компания подготовилась заранее (есть план инцидент-реагирования и резервное копирование), то даже разрушительные действия можно пережить с меньшими потерями.

Как защититься: ключевые меры для SOC

Подводя итог, противодействие атакам требует сочетания технологических и организационных мер. Вот некоторые ключевые подходы, которые используют специалисты по безопасности:

Обучение и осведомленность пользователей. Человеческий фактор – слабое звено, поэтому регулярные тренинги по кибергигиене, имитация фишинговых рассылок и культура безопасности способны предотвратить многие инциденты. Сотрудники должны уметь распознавать подозрительные письма, сообщать о них и понимать серьезность угроз.

Надежная многоуровневая защита. Рекомендуется применять рамочные стандарты безопасности (например, NIST CSF, CIS Controls) для выстраивания глубоко эшелонированной обороны. Это включает в себя строгие политики паролей, многофакторную аутентификацию для всех критичных систем, ограничение прав доступа по принципу минимальности, а также сегментацию сети и Zero Trust-подход (недоверие ко всем, каждое действие требует проверки).

Мониторинг и обнаружение угроз. В сети должны работать системы журналирования и корреляции событий (SIEM), а также средства обнаружения атак (IDS/IPS). Аналитики SOC круглосуточно следят за аномалиями: всплесками трафика, срабатываниями антивируса, нестандартными действиями учетных записей. Важную роль играет процесс TI (threat intelligence) и сопоставление наблюдаемых техник с известными в MITRE ATT&CK – это помогает понять, с кем вы имеете дело и какие шаги ожидать.

Например, если в логах видно, что злоумышленник использует инструменты удаленного администрирования, можно предположить тактику lateral movement и проверить другие узлы на признаки проникновения.

Управление обновлениями и резервное копирование.
Как ни банально, патчи закрывают большинство дыр, через которые пролезают хакеры. Необходимо наладить процесс регулярного обновления ОС и приложений, а также сканирования на уязвимости. Плюс, резервное копирование данных и отработка плана восстановления – ваша страховка на случай успешной атаки вымогателей или уничтожения данных.

У каждой организации должен быть четкий план реагирования на инциденты: команда, ответственные лица, сценарии действий при различных типах атак. Регулярные учения (например, имитация атаки, table-top упражнение) помогут отработать слаженность действий. Быстрая реакция способна ограничить распространение угрозы и снизить убытки.

Подводя итог, современные злоумышленники имеют богатый арсенал техник и тактик – от обмана пользователя до сложных многоходовых операций внутри инфраструктуры. Однако зная их мотивы и методы, аналитики SOC и команды кибербезопасности могут выстроить эффективную защиту. Комбинация грамотных пользователей, проактивного мониторинга, актуальных патчей и отработанных планов действий позволяет существенно снизить риски. Информационная безопасность – это постоянная гонка между атакующими и защитниками, но вооружившись знаниями (например, из баз знаний вроде MITRE ATT&CK) и лучшими практиками, мы значительно увеличиваем шансы на победу в этой гонке.