Краткий обзор
Современные киберугрозы в государственном секторе сместились от традиционных программных эксплойтов к компрометации идентификационных данных, нацеленной на учетные данные, краденые сессионные токены и нерегулируемых ИИ-агентов. Защита федеральных, региональных и местных государственных органов требует стратегии «нулевого доверия» (Zero Trust), ориентированной на идентификацию и основанной на четырех ключевых столпах: устойчивая к фишингу многофакторная аутентификация (MFA), управление нечеловеческими идентификационными данными, непрерывная адаптивная оценка рисков и унифицированные архитектуры IAM/IGA/PAM.
В федеральных, региональных и местных государственных органах выполнение миссий претерпело фундаментальные изменения. От предоставления цифровых услуг гражданам и модернизации устаревшей инфраструктуры до обеспечения работы гибридных государственных служащих — эпоха статических сетевых периметров и традиционных моделей безопасности «замок и ров» прошла. Сегодня идентификация является критически важным периметром, соединяющим персонал ведомств, партнеров по миссии, подрядчиков, граждан и автоматизированные рабочие нагрузки в мультиоблачных и локальных средах.
Следовательно, злоумышленники, нацеленные на государственную инфраструктуру, изменили тактику: они больше не тратят месяцы на попытки использовать уязвимости в защищенном программном обеспечении; они просто входят в систему с помощью скомпрометированных учетных данных. Согласно Verizon 2026 Data Breach Investigations Report, скомпрометированные учетные данные были вектором первоначального доступа в 22% подтвержденных взломов. В государственном секторе ставки выше — каждый взлом напрямую угрожает непрерывности миссии, критической инфраструктуре и доверию граждан.
Скачать: 5 атак на идентификационные данные, использующих вашу нарушенную аутентификацию
Эту проблему усугубляет быстрое распространение инструментов генеративного ИИ и автономных ИИ-агентов, действующих как нечеловеческие идентификационные данные в государственных рабочих процессах. Ниже представлен подробный обзор того, как современные атаки на идентификационные данные разворачиваются в архитектурах государственного сектора и как ведомства могут внедрить устойчивую защиту по принципу «нулевого доверия».
Как злоумышленники используют ИИ для проникновения в государственные системы?
Исторически первоначальное проникновение опиралось на общие фишинговые электронные письма или ручной перебор паролей. Сегодня злоумышленники развертывают автоматизированных ИИ-агентов для проведения гиперцелевых, контекстно-зависимых кампаний против государственных служащих и подрядчиков.
Основные векторы первоначального доступа
- Сгенерированный ИИ целевой фишинг: сканируя общедоступные справочники ведомств, порталы государственных закупок и публичные записи, злоумышленники используют ИИ для создания крайне убедительных кампаний целевого фишинга, имитирующих сообщения руководства ведомств, межведомственные меморандумы или срочные директивы по соблюдению нормативных требований.
- Прокси-серверы «злоумышленник посередине» (Adversary-in-the-middle): злоумышленники развертывают обратные прокси-серверы AitM, которые перехватывают учетные данные и обходят базовые, устаревшие методы многофакторной аутентификации (MFA), такие как SMS-коды и мобильные push-уведомления, в режиме реального времени.
- Credential stuffing с использованием резидентных прокси: одновременно злоумышленники используют огромные репозитории учетных данных, собранные с помощью вредоносного ПО типа infostealer. Направляя автоматизированные атаки через ротируемые сети резидентных прокси, злоумышленники осуществляют атаки методом перебора учетных данных на порталы для граждан и шлюзы единого входа (SSO) ведомств, не вызывая срабатывания базовых ограничений по частоте запросов.
Хотя отчет Okta Secure Sign-in Trends Report за 2025 год показывает, что внедрение MFA среди сотрудников достигло 70%, почти треть корпоративных учетных записей остаются незащищенными с помощью MFA, а базовые факторы остаются уязвимыми для усталости от MFA и перехвата AitM.
Как автономные ИИ-агенты и машинные идентификаторы используются в кибератаках?
По мере того как государственные органы ускоряют ИТ-модернизацию и изучают возможности автономных ИИ-агентов для сортировки запросов граждан, анализа общедоступных данных и автоматизации операционных рабочих процессов, поверхность атаки на идентификационные данные расширилась за пределы человеческих операторов.
Согласно отчету Okta «Businesses at Work 2026», хотя 58% руководителей называют управление ИИ своей главной проблемой безопасности, менее трети защищают ИИ-агентов с той же строгостью, что и человеческий персонал.
В жизненном цикле современной атаки на государственный сектор злоумышленники целенаправленно атакуют:
- Долгоживущие ключи API, токены OAuth и машинные сертификаты
- Повышенные сервисные учетные записи, предоставленные автоматизированным рабочим нагрузкам
- Недостаточно регулируемых ИИ-агентов, которым предоставлен широкий доступ на чтение/запись к репозиториям данных ведомств
Когда ИИ-агент или машинный идентификатор подвергается манипуляции через инъекцию промптов или компрометацию сервисных токенов, вредоносная команда выполняется с полными правами этой сервисной роли на машинной скорости. То, на что у человеческих злоумышленников раньше уходили дни ручного перемещения внутри сети, теперь может развернуться в облачных средах за секунды.
Что такое перехват сессии и как он обходит устаревшую MFA?
В ответ на федеральные мандаты по «нулевому доверию» (такие как OMB M-22-09 и модели зрелости CISA Zero Trust), ведомства ускорили внедрение более строгой MFA. В свою очередь, злоумышленники адаптировались, полностью избегая шлюза аутентификации:
- Извлечение токенов и файлов cookie: вместо атаки на первоначальный вход в систему злоумышленники развертывают вредоносное ПО типа infostealer или используют эксплойты браузера для извлечения активных сессионных токенов и файлов cookie непосредственно с оборудования, предоставленного государством, или с конечных точек подрядчиков.
- Повтор сессии (Session replay): воспроизведение этих украденных сессий позволяет злоумышленникам обходить средства контроля MFA и выдавать себя за легитимных операторов ведомства.
- Горизонтальное перемещение: оказавшись внутри, злоумышленники используют фрагментированные архитектуры идентификации. Центральный поставщик идентификационных данных (IdP) может обеспечивать строгий контроль доступа при первоначальном входе. Тем не менее, если последующие SaaS-приложения, межведомственные общие службы или устаревшая инфраструктура остаются изолированными, злоумышленник может перемещаться горизонтально по экосистемам ведомства, не вызывая оповещений системы безопасности.
Три типа инсайдерских угроз в правительстве
Угрозы идентификации в правительстве не всегда исходят от внешних злоумышленников. Инсайдерские риски остаются одной из главных уязвимостей в среде государственного сектора, классифицируемой по трем основным профилям:
- Небрежные инсайдеры: добросовестные сотрудники ведомств, которые непреднамеренно раскрывают конфиденциальные записи граждан или контролируемую несекретную информацию (CUI), используя нерегулируемые публичные ИИ-инструменты или неправильно настраивая общедоступные облачные хранилища.
- Скомпрометированные инсайдеры: добропорядочные государственные служащие, чьи устройства или учетные данные были незаметно захвачены infostealer-ами, превращая действительные учетные записи в невольные каналы для вторжения, спонсируемого государством или киберпреступниками.
- Злонамеренные инсайдеры: недовольные сотрудники или подрядчики с постоянными административными привилегиями, которые намеренно похищают критически важные наборы данных или нарушают работу основных государственных услуг.
Без непрерывной оценки рисков и централизованного управления идентификацией традиционные инструменты мониторинга не могут отличить санкционированную деятельность в рамках миссии от инсайдерской эксплуатации.
Модернизация безопасности, ориентированной на идентификацию: основные столпы оборонной структуры «нулевого доверия» в государственном секторе
Для защиты критически важных миссий, общественной безопасности и конфиденциальности граждан от угроз со скоростью ИИ, архитектуры безопасности государственных органов должны выйти за рамки базового периметра и разовых проверок. Модернизация защиты требует четырех основных архитектурных столпов:
1. Внедрение устойчивой к фишингу MFA по умолчанию
Переведите персонал агентства, подрядчиков и учетные записи критически важных служб на устойчивые к фишингу механизмы аутентификации (такие как FIDO2/WebAuthn, интеграция карт PIV и CAC, а также беспарольная аутентификация). Устойчивые к фишингу учетные данные криптографически привязывают процесс аутентификации к проверенному домену агентства, что снижает вероятность атак AitM (Adversary-in-the-Middle) и кражи учетных данных.
2. Внедрите комплексное управление для нечеловеческих и ИИ-идентификаторов
Расширьте управление идентификацией и администрирование на сервисные учетные записи, автоматизированные конвейеры и автономных ИИ-агентов. Реализуйте принцип наименьших привилегий, сократите использование жестко закодированных и постоянных ключей API, выдавайте краткосрочные учетные данные и установите обязательное подтверждение человеком для чувствительных действий с высоким уровнем воздействия.
3. Установите непрерывную адаптивную оценку рисков и обмен сигналами об угрозах
Внедрите непрерывную оценку сеанса до, во время и после аутентификации. Интеграция общих данных об угрозах в ваш стек безопасности — включая SIEM (управление событиями и информацией безопасности), XDR (расширенное обнаружение и реагирование), EDR (обнаружение и реагирование на конечных точках) и IdP (поставщики идентификации) — позволяет автоматически отзывать сеансы, запрашивать дополнительную аутентификацию и ограничивать привилегии в момент обнаружения подозрительного поведения конечной точки, невозможного перемещения или кражи токена.
4. Объедините IAM, IGA и PAM
Устраните разрозненность идентификационных данных путем объединения управления идентификацией и доступом (IAM), управления идентификацией и администрирования (IGA) и управления привилегированным доступом (PAM). Замените постоянные административные привилегии доступом «точно в срок» (just-in-time) и автоматизированным управлением жизненным циклом, чтобы гарантировать, что увольняющиеся сотрудники и подрядчики мгновенно теряют доступ ко всем системам агентства.
Обеспечение безопасности миссии с помощью Okta for Government
Защита инфраструктуры государственного сектора требует партнера по идентификации, созданного с учетом требований безопасности, масштабируемости и соответствия нормативным требованиям, авторизованным государственными органами, включая FedRAMP High, GovRAMP и DoD Impact Level 5 (IL5). Чтобы узнать, как ваше агентство может внедрить единую, основанную на политиках структуру управления идентификацией, которая повышает безопасность, не замедляя работу, скачайте нашу электронную книгу «Как управлять доступом, не замедляя выполнение миссии».
Свяжитесь с нашей командой по работе с государственным сектором, чтобы узнать, как ваше агентство может внедрить устойчивую к фишингу архитектуру идентификации Zero Trust, которая помогает защитить общественное доверие.
Данные материалы предназначены исключительно для общих информационных целей и не являются юридической, конфиденциальной, консультацией по безопасности, соблюдению нормативных требований или бизнес-консультацией. © 2026 Okta, Inc. и/или ее аффилированные лица.
