Скрытые угрозы: как понять, что злоумышленники уже в вашей сети?

Большинство компаний узнают о взломе слишком поздно — спустя недели или месяцы после первоначального проникновения. К моменту обнаружения следов атакующих инфраструктура уже скомпрометирована, а в сети может быть запущен шифровальщик.

С точки зрения модели Cyber Kill Chain, все это время злоумышленники действуют скрытно: закрепляются в сети, проводят разведку, повышают привилегии и перемещаются между узлами, готовя плацдарм для основного удара. При этом украденные данные не продаются сразу — они становятся главным оружием в финальной фазе развития атаки.

Современные группировки используют тактику двойного вымогательства. После эксфильтрации конфиденциальной информации атакующие шифруют системы и требуют выкуп за расшифровку. Параллельно они оказывают давление угрозой публикации или продажи данных в даркнете — на случай, если компания откажется платить и попытается восстановиться из бэкапов. Именно эта скрытность и многоэтапность делают скрытые угрозы ИБ одними из самых опасных категорий киберинцидентов.

Только в 2025 году, по данным F6, Россию и страны СНГ атаковали 27 прогосударственных хакерских группировок, многие из которых делают ставку на скрытность, так как им важнее закрепиться в инфраструктуре и оставаться там длительное время, для нанесения наибольшего ущерба жертве, нежели действовать быстро, позволив себя обнаружить. В этой статье разберем, какие признаки компрометации сети должны насторожить ИБ-команду, какими инструментами их искать и как выстроить мониторинг ИБ так, чтобы не пропустить незваного гостя.

Что такое скрытые угрозы ИБ и почему их трудно заметить

Скрытой угрозой называют активность злоумышленника внутри сети, которая не вызывает сработок у стандартных средств защиты. В отличие от шумной атаки (например, DDoS), такая активность маскируется под легитимные действия, например от имени администратора был запущен очередной скрипт, сотрудник вошел в систему из нового места, сервер обменялся данными с внешним узлом. По отдельности каждое из этих событий выглядит безобидно.

Промежуток между первичным проникновением и обнаружением (dwell time) может растягиваться на недели, а иногда и на месяцы. В одном из расследований Лаборатории цифровой криминалистики F6 злоумышленники контролировали сетевое оборудование клиента больше года, прежде чем их обнаружили и выдворили из инфраструктуры. Такие случаи не редкость, ведь в актуальном ландшафте угроз мы видим, что атакующие целенаправленно выбирают тактики, которые не оставляют заметных следов для стандартного мониторинга ИБ, и рассчитывают на то, что их не будут искать проактивно, осуществляя Threat Hunting.

Чем дольше злоумышленники остаются незамеченными, тем большими возможностями они обладают. За время своего скрытого присутствия они изучают бизнес-процессы компании, исследуют сеть, обнаруживая самые ценные активы и создают несколько точек закрепления — резервных каналов доступа на случай, если один из них обнаружат. К моменту, когда компания фиксирует явный инцидент (утечку, сбой в работе систем), атакующий, как правило, уже полностью готов к нанесению финального удара, или уже нанес его, запустив процесс шифрования данных компании.

Признаки взлома сети: на что обратить внимание ИБ-команде

Единого универсального сигнала «нас взломали» не существует: компрометация обычно складывается из нескольких на первый взгляд разрозненных аномалий. Разделим типичные признаки взлома сети на несколько категорий.

Сетевые аномалии

Первым источником сигналов часто становится сетевой трафик. Злоумышленнику необходимо перемещаться между узлами и выгружать данные, а эти действия оставляют следы даже в случае скрытой атаки. Среди подобных источников можно выделить следующие:

• Нетипичные всплески исходящего трафика, особенно в нерабочее время, либо от имени пользователя, в обязанности которого подобные работы не входят
• Соединения с ранее не встречавшимися внешними адресами и доменами
• Использование легитимных протоколов и утилит (SSH, RDP, WinRM, PsExec) для перемещения между узлами, нехарактерное для обычной работы ИТ-отдела
• Повторяющиеся по расписанию подключения к внешним серверам

Аномалии учетных записей и доступа

• Появление новых административных учетных записей, которые никто не создавал официально
• Вход в систему в нерабочее время или из нетипичной геолокации
• Повышение привилегий учетной записи без соответствующей заявки
• Множественные неудачные попытки авторизации с последующим успешным входом
• Действия, несвойственные для данной учетной записи

Аномалии на конечных устройствах

• Неизвестные процессы или службы, запущенные с системными правами
• Отключение или сбой в работе антивируса и агентов мониторинга без видимой причины
• Появление новых запланированных задач или автозагрузки, не связанных с обновлениями ПО
• Нехарактерная нагрузка на диск или сеть на отдельных рабочих станциях
• Подозрительное поведение системы для конечного пользователя

Организационные и косвенные признаки

• Многочисленные срабатывания средств защиты, которые ИБ-команда списывает на ложные срабатывания
• Жалобы сотрудников на потерю доступа к ресурсам или необычное поведение их рабочих станций
• Партнеры или клиенты сообщают о подозрительных письмах, якобы отправленных с ваших адресов

Категория	Что должно насторожить
Сеть	Всплески трафика, связи с неизвестными адресами, использование легитимных утилит для перемещения по сети
Учетные записи	Новые админ-аккаунты, вход из нетипичной локации и вне рабочего времени, скачки привилегий, несвойственное поведение учетной записи
Устройства	Неизвестные процессы, отключение защиты, новые задачи в планировщике, подозрительная работа системы
Организация	Повторяющиеся срабатывания СЗИ, жалобы сотрудников, сигналы от партнеров

Ни один из этих индикаторов по отдельности не является неоспоримым доказательством взлома. Ключевая задача ИБ-команды — не списывать аномалии на «ложные срабатывания», а выстраивать корреляцию событий. Сопоставляя сигналы из разных источников, специалисты проактивно проверяют гипотезы о компрометации, купируя угрозу до того, как она перерастет в полноценный инцидент.

Как обнаружить скрытые угрозы: инструменты и методы мониторинга ИБ

Разрозненные признаки взлома сети превращаются в полноценную картину инцидента после сбора и анализа всех данных из разных источников событий. На практике мониторинг ИБ строится на нескольких уровнях.

SIEM и корреляция событий. Система собирает логи с серверов, сетевого оборудования и рабочих станций, СЗИ и коррелирует их между собой, выявляя цепочки событий, которые по отдельности не выглядят подозрительно.

EDR на конечных точках. Отслеживает процессы, изменения в файловой системе и реестре непосредственно на конечных станциях и серверах. Именно там злоумышленник закрепляется и разворачивает вредоносный инструментарий для последующего развития атаки.

NTA, анализ сетевого трафика. Network Traffic Analysis обнаруживает вредоносную активность, аномалии и скрытые каналы связи в трафике, включая попытки разведки и горизонтального перемещения с использованием легитимных инструментов, таких как SSH, RDP и WinRM. Такой анализ особенно важен для скрытых угроз ИБ, так как атакующий не всегда оставляет след на конечном устройстве, зато почти всегда оставляет след в сетевом взаимодействии.

Threat Hunting. В отличие от автоматического мониторинга, проактивный поиск угроз строится на проверке гипотез. Аналитик моделирует сценарии того, как злоумышленник мог закрепиться в инфраструктуре, и целенаправленно ищет подтверждения или опровержения своим предположениям. Такой подход позволяет выявлять скрытые атаки, не дожидаясь срабатывания стандартных правил защиты.

Compromise Assessment. Если у ИБ-команды уже есть подозрение на компрометацию (например, из-за необъяснимых аномалий или инцидента у партнера по цепочке поставок), имеет смысл провести отдельную услугу: выявления следов компрометации. Это полноценная проверка всей инфраструктуры на предмет ее компрометации. В рамках ее оказания собираются и анализируются данные со всех систем, проверяются различные гипотезы о возможной компрометации силами внешних экспертов. Данная услуга либо подтверждает присутствие атакующего в сети, либо снимает подозрение и показывает, что зафиксированные аномалии не связаны со взломом. В случае, если при проведении работ по данной услуге был выявлен инцидент в активной фазе, специалисты Лаборатории F6 приступают к оперативному реагированию на него без увеличения стоимости проекта.

Отдельного внимания заслуживает внешний периметр компании, ведь значительная часть скрытых угроз ИБ начинается именно с точки, которую служба безопасности перестала контролировать, например забытого поддомена, устаревшего сервиса или незащищенного API, торчащего наружу RDP. Подробнее о типичных точках входа мы разбирали в статье «Внешний периметр: главные точки входа для хакеров».

Что делать, если признаки компрометации подтвердились

Обнаружение подозрительной активности должно инициировать следующий процесс: необходимо подтвердить гипотезу, не спугнув атакующего раньше времени и грамотно локализовать угрозу, и выстроить стратегию для недопущения подобных инцидентов в будущем.

1. Не действовать резко. Преждевременная блокировка одного скомпрометированного узла может мотивировать злоумышленника ускорить атаку или уничтожить следы на других узлах, которые еще не были обнаружены.
2. Сбор и фиксация цифровых улик. Основу расследования составляют образы дисков, дампы оперативной памяти, сетевой трафик и централизованные логи. Эти артефакты необходимо срочно извлечь, изолировать и сохранить, пока их не удалили злоумышленники или не перезаписали автоматические системы ротации.
3. Оценить масштаб. Один зараженный хост, скорее всего, только видимая часть присутствия. Необходимо провести анализ и понять, какие еще узлы могли быть затронуты в ходе развития атаки, прежде чем переходить к активным действиям.
4. Подключить экспертизу внешнего расследования. Когда гипотеза о компрометации подтверждается, для восстановления полной картины атаки и поиска всех точек присутствия злоумышленника необходимы узконаправленные навыки цифровой криминалистики, среди которых — анализ криминалистических артефактов операционной и файловых систем, атрибуция инструментария к действующим хакерским группам, реконструкция хронологии событий инцидента, установление точки получения первоначального доступа, при наличии достаточного количества цифровых доказательств, а также анализ ВПО в случае его обнаружения.
5. Ликвидация угрозы. Устранение присутствия злоумышленника должно происходить комплексно и одновременно во всей инфраструктуре. Необходимо нейтрализовать все обнаруженные механизмы закрепления, а также удалить или заблокировать все выявленные в ходе расследования индикаторы компрометации. Если пропустить хотя бы один скрытый канал доступа, атакующий сможет вернуться в сеть.
6. Извлечение уроков. По итогам устранения угрозы организация должна провести анализ причин наступления инцидента и внедрить корректирующие меры: пересмотреть политики безопасности, усилить сегментацию сети, донастроить правила SIEM/EDR и перевести мониторинг в проактивный режим. Без системной работы над ошибками повторная компрометация — лишь вопрос времени.

От разовой проверки к постоянному контролю

Разовая проверка отвечает на вопрос «есть ли злоумышленник в сети прямо сейчас», но не защищает от новой скрытой угрозы ИБ, которая может появиться завтра. Инфраструктура меняется постоянно: новые сотрудники получают доступы, добавляются облачные сервисы и подрядчики, а тактики атакующих становятся все более изощренными, в том числе для обнаружения.

Именно поэтому зрелые компании переходят от точечных проверок к постоянному мониторингу ИБ, оперативному реагированию и проактивному поиску угроз, например в формате SOC MDR, где мониторинг сети, конечных точек и почты объединен в единый контур с круглосуточным реагированием команды аналитиков. Такой подход снижает вероятность, что скрытая угроза, может быть, не замечена вовремя, и хорошо дополняет разовые услуги вроде Compromise Assessment.

Разница между компаниями с непрерывным мониторингом ИБ и теми, кто полагается на периодические проверки, становится очевидной только в момент наступления кризисной ситуации. Проактивная команда обнаружит аномалии в течение часов, минимизируя время скрытого присутствия злоумышленника, в то время как компания с реактивным подходом узнает о взломе постфактум, когда у атакующего уже есть недели или месяцы форы для эксфильтрации данных и закрепления в сети.