Хакерская разведка: как вас изучают и как защититься?

Когда начинается кибератака? Часть специалистов скажут «с момента проникновения», кто-то отметит, что «с начала воздействия на систему», для кого-то, когда «действия хакеров становятся наблюдаемыми». Каждая позиция имеет место быть и свои аргументы, мы считаем, что атака начинается задолго до первого проникновения - когда злоумышленники начинают изучать жертву.

Разведка - это первый этап любой атаки, часть Cyber Kill Chain, в которой злоумышленники с использованием разных каналов и инструментов собирают информацию о потенциальной жертве, чтобы сделать каждый свой шаг на основном этапе инцидента максимально предсказуемым, спланированным и эффективным. Важно не путать ее с Cyber Threat Intelligence (CTI) - киберразведкой, когда команда защищающихся изучает тактики злоумышленников.

Как же конкретно действуют злоумышленники и как от этого защищаться – об этом для читателей Кибер Медиа расскажет Василий Коровицын, ведущий эксперт департамента оценки защищенности, «Кросстех».

Как изучают инфраструктуру снаружи

До первого контакта с инфраструктурой атакующий уже знает о ней немало. OSINT - сбор информации из доступных источников «вокруг» жертвы. Это первый шаг подготовки вторжения.

Открытые источники дают неожиданно много. Через Shodan и аналогичные сервисы можно обнаружить публично доступные сервисы, версии программного обеспечения, конфигурации. Утечки данных, зачастую бесплатно опубликованные в интернете, содержат корпоративные учетные данные - нередко актуальные, если пользователи месяцами их не меняют. Репозитории на GitHub и аналогах регулярно хранят хардкод-секреты, ключи API, фрагменты конфигураций. Интернет помнит все, часто в истории DNS и архиве веб-приложений можно найти забытые поддомены или разделы сайтов, неподдерживаемые администраторами и имеющие уязвимости.

Активная разведка добавляет точности: сканирование портов, перебор поддоменов, создание цифрового отпечатка веб-приложений. К этому моменту у атакующего уже есть карта внешней поверхности атаки, список потенциальных точек входа и понимание, где искать уязвимости.

Как проникают и закрепляются

Первичный доступ чаще всего реализуется через три вектора:

- Уязвимости в публично доступных приложениях - особенно актуально с учетом того, что медианное время от публикации уязвимости до ее активной эксплуатации сократилось до нескольких дней, в отдельных случаях готовые эксплойты можно найти через несколько часов.

- Фишинг - письмо с вредоносным вложением или ссылкой, адресованное конкретному сотруднику на основе данных, собранных на этапе разведки.

- Компрометация подрядчика - атакующий заходит через того, кому уже доверяют: логистическая компания, SaaS-платформа, провайдер интернета.

Дальше начинается закрепление, и его механика зависит от того, куда атакующий попал. В веб-приложении - веб-шелл, скрытый в загруженном файле или встроенный в код. На конечной точке - запись в планировщик задач, создание сервиса, модификация реестра, бэкдор-аккаунт с незаметным именем. На сетевом оборудовании - модификация конфигурации с открытием скрытого канала управления. Закрепиться можно практически на любом узле инфраструктуры, и в каждом случае техника будет своя - злоумышленники стремятся реализовать максимально возможно нетипичный вариант атаки, чтобы снизить вероятность быть зафиксированными.

После закрепления начинается горизонтальное перемещение: от точки входа к целевым системам. Атакующий повышает привилегии, изучает внутреннюю топологию, ищет учетные данные, собирает чувствительную информацию - все, чтобы картинка о компании и инфраструктуре была максимально полной.

Как обеспечивают скрытность

Эксперты из разных организаций сходятся во мнении, что в 2025 году медианное время от проникновения в инфраструктуру до обнаружения составляло порядка 14-15 дней. В отдельных случаях злоумышленники могут находиться в инфраструктуре до нескольких сотен дней. В среднем время обнаружения сократилось - зрелые команды фиксируют атаку быстрее. Но «быстрее» в среднем по рынку все равно означает недели, а нередко месяцы.

Главный инструмент скрытности - имитация легитимного поведения. Техника living off the land: атакующий использует инструменты, которые уже есть в инфраструктуре - PowerShell, WMI, PsExec, встроенные утилиты операционной системы. С точки зрения большинства средств защиты это выглядит как обычная административная активность.

Канал удаленного управления скрывается техническими средствами. Трафик шифруется, команды обфусцируются, соединение маскируется под легитимные протоколы - HTTPS, DNS, ICMP. Еще один инструмент - кастомное вредоносное программное обеспечение, написанное под конкретную цель. Зачастую оно не имеет известных сигнатур, поэтому его сложно зафиксировать. Поведенческий анализ помогает обнаружить такое ВПО, но требует настроенных профилей нормального поведения и внимательного аналитика.

Что выдает «разведчиков»

Обеспечить полную скрытность для злоумышленников - практически невозможная задача. ПО, которое используют злоумышленники, даже если оно является легитимным, может фиксироваться за счет узнаваемых сигнатур или путем поведенческого анализа, не говоря о ВПО.

Фишинговые письма как инструмент первичного доступа также поддаются обнаружению: несоответствие домена отправителя и отображаемого имени, свежезарегистрированные домены, имитирующие известные бренды, нетипичные вложения от неожиданных отправителей. Все это признаки того, что с вами не пытаются связаться, вас пытаются взломать.

Индикаторы компрометации - хеш-суммы файлов, IP-адреса командных серверов, домены, характерные строки в теле вредоносного программного обеспечения - позволяют обнаруживать известные угрозы. Но у них есть принципиальное ограничение: они работают только для того, что уже видели раньше.

Вывод из этого один - есть множество сигналов, по которым можно определить хакеров, уже находящихся в инфраструктуре, даже если они используют максимум инструментов для повышения скрытности. Однако эти признаки так и останутся незамеченными без выстроенной системы защиты.

Как выстроить защиту

Первый практический шаг - обогащение средств защиты актуальными индикаторами компрометации. TI-платформы агрегируют данные об известных угрозах и позволяют автоматически передавать их в SIEM, EDR, NDR, межсетевые экраны. Чем актуальнее данные и чем быстрее они попадают в средства защиты, тем короче окно обнаружения. При этом сигнатурный анализ должен существовать параллельно с поведенческим, который позволяет обнаружить признаки компрометации, которые индикаторы могут не покрывать: аномальная активность учетных записей, нетипичные соединения, подозрительные паттерны трафика.

Фреймворки, например, MITRE ATT&CK, дают структуру для работы с тактиками и техниками атакующих. Каждая известная техника, используемая на этапе разведки, закрепления и горизонтального перемещения, задокументирована - вместе со способами обнаружения. Это практичные инструменты для настройки правил мониторинга и оценки покрытия.

Базовым стандартом построения защитных сред в современных реалиях, особенно с учетом распространения концепции Zero Trust, является Gartner Visibility Triad - связка EDR, NDR и SIEM либо внедрение полноценного XDR-решения. Важно сделать защиту эшелонированной. Это значит, что в инфраструктуре есть несколько «слоев» защиты, которые закрывают отдельные направления. Периметровая защита снижает поверхность атаки. EDR видит активность на конечных точках. NDR - в сети. SIEM коррелирует события из всех источников. Разрыв между любым из этих слоев - это слепая зона, которую атакующий может использовать для вредоносных действий.

Сегментация и изоляция критических систем ограничивают радиус ущерба в сценарии, когда разведка уже завершена и атака началась. Если атакующий получил точку входа в периферийный сегмент, сегментация не дает ему добраться до целевых систем без дополнительных шагов - каждый из которых оставляет след.

И, конечно, в современных условиях важен проактивный подход к обнаружению киберугроз: регулярные пентесты, как внешние, так и внутренние, Red Teaming, выявление следов компрометации (Compromise Assessment), а также CTI, который мы упоминали в начале статьи - регулярное исследование своей инфраструктуры и изучение тактик хакеров позволяет сделать противодействие злоумышленникам более эффективным.

Вывод

Трудно сказать, какой этап атаки является наиболее опасным, потому что к успеху злоумышленников может привести только связанная цепочка действия. Однако про киберразведку будет справедливо сказать - это фундамент для действий злоумышленников. Именно на этом этапе хакеры узнают, кому будут противостоять, какие слабые места будут использовать, какие инструменты окажутся для них наиболее актуальны.

Может показаться, что опасность этого этапа не так велика, ведь атака - с проникновением, кражей данных, разрушением инфраструктуры - еще не произошла. Но именно с этапа разведки важно отсчитывать момент начала атаки и начинать проактивное противодействие ей - поиск и устранение уязвимостей в собственной архитектуре, мониторинг и ограничение доступа к общедоступной информации, которая может оказаться излишней, проведение киберучений и повышение осведомленности сотрудников. Эффективность разведки будет сведена к нулю, если компания знает о своих слабых местах и усиливает их.