Кратко: киберчрезвычайная ситуация в Японии — это предупреждение о том, что происходит, когда привычные сценарии атак программ-вымогателей становятся быстрее, дешевле и проще в масштабировании. ИИ сокращает время и усилия, необходимые для анализа целей, создания инструментов и выполнения деструктивных действий. Это сокращает интервал между первоначальным доступом и ущербом для бизнеса. Защитникам необходимы механизмы принудительного исполнения и сдерживания в реальном времени, которые ограничивают вредоносное поведение, пока люди занимаются расследованием и восстановлением.
Правительство Японии перешло в режим реагирования на чрезвычайные ситуации после того, как программы-вымогатели, несанкционированный доступ и кража данных затронули организации по всей стране. Национальные органы по кибербезопасности выпустили скоординированные рекомендации, призывающие к срочной проверке систем, выходящих в интернет, подверженности данных риску и готовности к реагированию на инциденты. (Financial Times; Национальное управление кибербезопасности Японии; IPA)
Япония — это раннее предупреждение о глобальной проблеме: привычные методы атак становится проще подготовить, быстрее выполнить и дешевле повторить, в то время как защитники по-прежнему сильно полагаются на скорость человеческого расследования и реагирования. Руководители в сфере безопасности не могут позволить себе рассматривать этот дисбаланс как региональную аномалию.
О чем Япония предупреждает остальной мир?
Хотя эти атаки, по-видимому, имеют признаки использования ИИ, японские власти не пришли к выводу, что ИИ стал причиной каждого инцидента в текущей волне. Их рекомендации указывают на широкий спектр уязвимостей, включая открытые приложения, неисправленные системы, зависимости в цепочке поставок и недостаточную готовность к реагированию. Japan’s National Institute of Information and Communications Technology предупреждает, что ИИ делает анализ приложений и обнаружение уязвимостей более эффективными, позволяя злоумышленникам изучать общедоступные приложения и адаптировать атаки с меньшими ручными усилиями.
Cisco Talos обнаружила более прямой пример использования программ-вымогателей. В ходе исследования атак, затронувших японские организации, Talos со средней и высокой степенью уверенности идентифицировала скрипты на Python, используемые операцией Qilin, которые могли быть созданы с помощью ИИ. Скрипты координировали деструктивные действия, отключали и уничтожали резервные копии, а также распространяли программу-вымогатель по нескольким системам.
Ни одна из этих техник атаки не является новой. Изменяется лишь то, как быстро злоумышленники могут создавать, адаптировать и координировать их при использовании ИИ. Именно к этому мы должны быть готовы.
Почему ИИ меняет масштаб, не меняя сценарий?
Программам-вымогателям всегда требовалась довольно простая последовательность действий для достижения эффективности. Злоумышленники определяют цель, находят путь внутрь, запускают инструменты, препятствуют восстановлению, распространяют полезную нагрузку и оказывают давление на жертву. Операторы-люди давно автоматизировали части этого процесса, но им все равно приходилось собирать инструменты, интерпретировать результаты и решать, что делать дальше.
ИИ устраняет больше ручного труда между этими этапами. Он ускоряет анализ целей, структурирует скрипты, адаптирует код и координирует многоэтапные рабочие процессы. Одно успешное действие может привести к следующему без необходимости делать паузу, чтобы человек мог написать, пересмотреть или организовать инструментарий.
Способные операторы могут делать больше, менее способные — достигать большего, а повторно используемые рабочие процессы снижают стоимость атаки на следующую организацию. ИИ не изобретает программы-вымогатели заново. Он индустриализирует привычный сценарий.
Стоит ли ждать доказательств того, что это сделал ИИ?
Ожидание того, что следователи установят роль ИИ в каждом инциденте — правильный подход для атрибуции. Но это неверная предпосылка для изменения модели защиты. Исследования уже показывают, что ИИ делает анализ целей и обнаружение уязвимостей более эффективными, а также вероятно использование созданных ИИ инструментов в рамках активной операции с программами-вымогателями. Нерешенным остается вопрос, какие именно текущие инциденты в Японии связаны с ИИ, а не то, может ли ИИ сократить время, необходимое для активности программ-вымогателей. Имеет ли этот ответ значение для остальных из нас?
Ожидание идеальной атрибуции заставляет защитников оптимизировать системы под вчерашнего злоумышленника. Полезный вопрос заключается в том, может ли архитектура безопасности ограничить вредоносное поведение, поскольку подобных атак, вероятно, будет больше — возможно, более быстрых, более мощных и более масштабных.
Что меняется, когда привычные программы-вымогатели становится проще запускать?
Защитникам не нужен новый каталог вредоносных действий. Существующие средства контроля должны срабатывать до того, как злоумышленник завершит следующий привычный шаг.
Почему сдерживание должно быть ближе к исполнению?
Традиционная модель реагирования предполагает, что видимость дает достаточно времени для действий. Событие обнаруживается, оповещение просматривается, аналитик восстанавливает последовательность, и реагирование одобряется. Эта модель ослабевает, когда ИИ сжимает временную шкалу атаки. Пока защитники выясняют, что произошло, операция с программой-вымогателем продолжает запускать процессы, изменять файлы, препятствовать восстановлению или распространять следующую полезную нагрузку.
Обнаружение остается необходимым, но это промежуточный этап, а не результат. Результат заключается в том, удалось ли системе ограничить то, что злоумышленник мог сделать дальше. Когда вредоносное поведение очевидно, принудительное исполнение и сдерживание должны происходить со скоростью исполнения, пока люди продолжают расследование и принимают важные решения. Представьте, если бы банк мог остановить процесс программы-вымогателя на рабочей нагрузке до того, как он завершится?
Что руководителям по безопасности следует изменить сейчас?
Полезный вопрос заключается в том, может ли существующая архитектура безопасности идти в ногу со временем, когда ИИ ускоряет привычное поведение при атаках. Руководители должны знать, что происходит, когда рабочая нагрузка загружает неожиданный бинарный файл, запускает неавторизованный процесс, открывает неодобренное соединение, изменяет защищенные файлы или пытается повысить привилегии. Они также должны знать, какие средства контроля действуют немедленно, а какие по-прежнему зависят от человека, просматривающего оповещение и одобряющего реагирование.
Если ИИ сокращает время между одним шагом программы-вымогателя и следующим, сколько вредоносной активности может произойти между обнаружением и сдерживанием?
Условия, стоящие за чрезвычайной ситуацией в Японии, не уникальны. Технологии и готовность различаются в зависимости от компании, но атаки становятся проще в масштабировании, в то время как реагирование со скоростью человека становится все менее адекватным.
Как Aqua может помочь?
Aqua отслеживает реальное поведение запущенных облачных рабочих нагрузок, включая активность процессов, сетевые соединения, изменения файлов и использование привилегий. Этот производственный контекст показывает, что приложение делает на самом деле в рабочих условиях, вместо того чтобы полагаться только на то, что было известно до развертывания.
Наблюдение — это только первый шаг. Aqua обеспечивает соблюдение политик локально во время выполнения, включая блокировку вредоносного исполнения, предотвращение повышения привилегий и сдерживание активности злоумышленника. Когда цепочка атак ускоряется, локальное принудительное исполнение меняет то, что рабочей нагрузке разрешено делать дальше, без ожидания отдельного анализа или процесса утверждения.
Aqua Compass расширяет эту операционную модель до агентного расследования, сдерживания и исправления через протокол Model Context Protocol, при этом люди сохраняют контроль над важными решениями. Злоумышленники используют ИИ, чтобы сократить время и трудозатраты в своих операциях. Защитникам нужна автоматизация, которая сокращает время от получения доказательств до принятия ограниченных мер.
Защита среды выполнения не заменяет исправление уязвимостей, планирование восстановления или безопасность на уровне приложений. Она направлена на сокращение интервала, в течение которого активная атака переходит от одного вредоносного действия к другому. В условиях ускоренных с помощью ИИ атак программ-вымогателей именно этот интервал является тем моментом, когда сдерживание еще может изменить исход событий.
За пределами обнаружения: в чем уникальность среды выполнения Aqua
Поскольку ИИ ускоряет привычные сценарии атак программ-вымогателей, время между обнаружением и сдерживанием дает злоумышленникам возможность действовать. Посмотрите нашу сессию, чтобы узнать, как Aqua обеспечивает соблюдение политик на границе ядра, блокируя поддерживаемые вредоносные действия в момент выполнения, позволяя при этом контейнеру продолжать работу.
Часто задаваемые вопросы
Официально ли Япония связала текущую волну кибератак с ИИ?
Нет. Японские власти не связывают каждый случай с ИИ. Отдельные публичные данные, оценивающие события, показывают, что ИИ уже делает анализ целей и инструменты для программ-вымогателей более эффективными.
Почему Япония является предостережением для других стран?
Условия, стоящие за кризисом, не уникальны для Японии. ИИ снижает трудозатраты, необходимые для идентификации целей, создания инструментов и координации привычных этапов атаки, в то время как большинство организаций по-прежнему сильно зависят от человеческого участия при расследовании перед принятием мер.
Что ИИ меняет в программах-вымогателях?
ИИ сокращает время и координацию, необходимые для анализа целей, адаптации скриптов и объединения этапов атаки. Базовые действия остаются прежними, но операция становится быстрее и ее легче масштабировать.
Должно ли реагирование на инциденты стать полностью автономным?
Нет. Ограниченные средства контроля могут немедленно реагировать на явно запрещенное поведение, в то время как люди остаются ответственными за расследование, устранение последствий, исключения и принятие важных решений.
Заменяют ли средства контроля среды выполнения исправление уязвимостей и планирование восстановления?
Нет. Исправление уязвимостей устраняет бреши, а планирование восстановления готовит организацию к возобновлению операций. Средства контроля среды выполнения ограничивают вредоносное поведение, пока атака активна и идет процесс устранения последствий.
Мэтт — операционный директор в Aqua Security. До прихода в Aqua он был директором по маркетингу в Datto, где помог компании вырасти из стартапа на поздней стадии до успешного IPO в октябре 2020 года. До Datto он занимал должность вице-президента по продуктам и рынкам в ownCloud с 2012 по 2016 год. Ранее он занимал руководящие должности в CA Technologies, Novell и IBM. Ричардс получил степень бакалавра в области машиностроения и инженерных наук в Дартмутском колледже и степень MBA в Школе менеджмента Слоуна при MIT.
