Организации критической инфраструктуры сталкиваются с повышенными киберрисками со стороны государственных хакерских групп и угроз ИИ

Критическая инфраструктура сталкивается с растущими угрозами со стороны государственных хакерских группировок и атак, использующих ИИ. В очередном выпуске нашего блога, приуроченном к Месяцу осведомленности о кибербезопасности, вы узнаете, как ведущие агентства по кибербезопасности, такие как CISA, советуют организациям критической инфраструктуры защищать себя и предоставляемые ими жизненно важные услуги.

Основные выводы

• Организации критической инфраструктуры часто сталкиваются с пробелами в видимости активов, что создает скрытые векторы атак. Многие устаревшие системы АСУ ТП (OT) сложно инвентаризировать, из-за чего они остаются без мониторинга и обновлений.
• Злоумышленники используют ИИ для картографирования конвергентных сетей IT/OT на машинной скорости и эксплуатации неучтенных устаревших систем. Хакеры также применяют ИИ для получения специализированных знаний, необходимых для взлома сложных промышленных систем управления.
• Связанные с Ираном APT-группировки атакуют объекты водоснабжения, энергетики и правительственные учреждения США с тех пор, как в феврале США начали операцию «Epic Fury», according to the U.S. government.
• В рамках Месяца осведомленности о кибербезопасности CISA призывает операторов критической инфраструктуры создать прочную основу кибергигиены, сосредоточенную на снижении уязвимостей, замене неподдерживаемых устаревших устройств и подготовке планов быстрого восстановления.

Cybersecurity Awareness Month 2026 констатирует, что организации критической инфраструктуры сталкиваются с особенно сложным ландшафтом киберрисков.

Будучи главной целью для киберпреступников, хактивистов и государственных хакерских групп, организации критической инфраструктуры в этом году столкнулись с повышенной угрозой со стороны противников, связанных с правительством Ирана, что задокументировано мировыми агентствами и исследователями в области кибербезопасности. Эксперты отмечают, что многие из этих государственных групп сместили фокус со скрытого кибершпионажа на деструктивные кибератаки, направленные на нарушение работы инфраструктуры жертв.

Кроме того, организациям критической инфраструктуры, которым часто приходится обеспечивать безопасность сложных сред, где конвергируют IT и операционные технологии (OT), теперь приходится противостоять кибератакам, усиленным с помощью ИИ.

Месяц осведомленности о кибербезопасности, который проводится уже 22-й год, служит хорошим напоминанием о том, что организации критической инфраструктуры могут искать поддержку и руководство у ведущих агентств по кибербезопасности, а также у всемирно признанных организаций, таких как Center for Internet Security (CIS) и SANS Institute.

Например, в этом году Агентство по кибербезопасности и защите инфраструктуры США (Cybersecurity and Infrastructure Security Agency, CISA) сосредоточило свое послание в рамках Месяца осведомленности о кибербезопасности на защите критической инфраструктуры США от киберугроз, обыгрывая 250-летие основания страны. Назвав кампанию этого года «Securing the Next 250», CISA подчеркивает важность кибербезопасности для будущего страны.

«От сохранения глобального конкурентного преимущества Америки до обеспечения доступности жизненно важных услуг для наших граждан — критическая инфраструктура США и те, кто владеет ею, управляет, поставляет ресурсы или поддерживает ее, находятся на передовой борьбы с успешными кибервторжениями», — говорится в заявлении CISA.

В этом блоге мы изложим ключевые рекомендации CISA, направленные на помощь организациям критической инфраструктуры в снижении рисков со стороны киберпреступников, в частности государственных хакерских групп, стремящихся нарушить работу жизненно важных служб, таких как водоснабжение, электроснабжение, транспорт и здравоохранение.

7 важных советов по кибербезопасности для организаций критической инфраструктуры в различных отраслях

Злоумышленники, как правило, ищут самый простой способ взлома целевой организации, прежде чем прибегать к более сложным атакам. Вот почему обеспечение прочной основы кибергигиены в вашей организации имеет решающее значение.

В связи с этим CISA в этом году делает упор на рекомендации и лучшие практики, которые могут внедрить все организации критической инфраструктуры для укрепления своей базовой позиции в области кибербезопасности, независимо от отрасли.

• Обучайте своих сотрудников распознавать попытки фишинга. Упростите для них процесс сообщения об этом и другой подозрительной активности вашей команде безопасности.
• Усильте безопасность учетных записей пользователей, требуя использования надежных паролей и внедряя устойчивую к фишингу многофакторную аутентификацию.
• Своевременно обновляйте программное обеспечение, исправляйте ошибки конфигурации и устраняйте уязвимости, представляющие наибольший риск для вашей организации.
• Контролируйте и регистрируйте активность ваших систем, чтобы выявлять попытки атак.
• Создавайте резервные копии и шифруйте свои данные.
• Разработайте план реагирования на инциденты, регулярно обновляйте его и проводите периодические тренировки.
• Будьте готовы к восстановлению после сбоев в работе систем, вызванных взломом, в том числе путем внедрения обходных путей, позволяющих вашей организации выполнять основные функции, пока критические активы и ресурсы недоступны.

Чтобы упростить запоминание этих фундаментальных принципов кибербезопасности для операторов критической инфраструктуры, CISA выделяет три правила на букву «R»:

• Reduce (Снижайте) уязвимости.
• Replace (Заменяйте) устройства, которые больше не поддерживаются поставщиками.
• Recover (Восстанавливайтесь) быстро для поддержания операций.

Чтобы получить более подробную информацию об этих трех столпах кибербезопасности для организаций критической инфраструктуры, CISA рекомендует командам безопасности ознакомиться с:

• Обязательной оперативной директивой «Приоритизация обновлений безопасности на основе рисков» (BOD 26-04), опубликованной в июне.
• BOD 26-02 «Снижение рисков от периферийных устройств, поддержка которых прекращена», опубликованной в феврале.
• Инициативой CI Fortify.

Тем временем CISA и агентства по кибербезопасности Австралии, Канады, Германии, Нидерландов, Новой Зеландии и Великобритании ранее в этом году опубликовали совместное руководство по защите систем OT, особенно в критической инфраструктуре.

«Известно, что открытые и небезопасные соединения OT становятся целью как оппортунистических, так и высококвалифицированных злоумышленников. Эта активность включает в себя действия спонсируемых государством субъектов, активно нацеленных на сети критической национальной инфраструктуры (CNI)», — говорится в совместном руководстве под названием «Принципы безопасного подключения для операционных технологий».

«Укрепление кибербезопасности CNI, включая защиту соединений OT, может затруднить усилия злоумышленников и повысить порог, необходимый для причинения физического вреда, воздействия на окружающую среду и нарушения работы», — добавляется в документе.

В этом совместном руководстве изложены восемь основных принципов обеспечения безопасности сред OT:

• Сбалансируйте риски и возможности.
• Ограничьте открытость ваших соединений.
• Централизуйте и стандартизируйте сетевые подключения.
• Используйте стандартизированные и безопасные протоколы.
• Укрепите границы вашей сети OT.
• Ограничьте последствия компрометации.
• Обеспечьте регистрацию и мониторинг всех соединений.
• Разработайте план изоляции.

Как спонсируемые государством субъекты, хактивисты и киберпреступники атакуют критическую инфраструктуру

Группа продвинутых постоянных угроз (APT), связанных с правительством Ирана, осуществляет постоянные атаки на объекты водоснабжения, энергетики и правительственные учреждения США с тех пор, как США начали операцию Operation Epic Fury против этой ближневосточной страны в феврале, предупредили различные правительственные агентства США в совместном уведомлении, опубликованном в апреле и обновленном в июле.

Согласно совместному уведомлению, нацеливаясь на подключенные к интернету OT-устройства, такие как программируемые логические контроллеры (ПЛК), эти APT-группировки успешно нарушили работу ряда организаций критической инфраструктуры США, что привело к финансовым потерям.

«В результате этой деятельности посредством злонамеренного взаимодействия с файлами проектов ПЛК и манипулирования данными, отображаемыми на человеко-машинных интерфейсах (HMI) и дисплеях систем диспетчерского управления и сбора данных (SCADA). В ряде случаев эта деятельность приводила к сбоям в работе и финансовым потерям», — говорится в уведомлении.

Тактики, методы и процедуры (TTP) соответствуют тем, что используются CyberAv3ngers, группировкой национального уровня, которую правительство США ранее идентифицировало как действующую в составе Киберэлектронного командования Корпуса стражей исламской революции (IRGC-CEC) Ирана.

Совместное уведомление призывает группы безопасности организаций критической инфраструктуры США изучить TTP и индикаторы компрометации (IOC), указанные в документе, а также внедрить рекомендуемые меры по снижению рисков, такие как:

• Установка ПЛК в соответствии с рекомендациями производителей и передовыми методами обеспечения безопасности.
• Использование защищенных шлюзов и межсетевых экранов для исключения прямого доступа ПЛК к интернету.
• Проверка системных журналов на наличие IOC и подозрительного трафика на портах, используемых OT-устройствами.

Tenable Research подробно рассматривает группировку CyberAv3ngers в блоге «Что нужно знать о CyberAv3ngers: связанная с IRGC группировка, нацеленная на критическую инфраструктуру».

Tenable Research также задокументировала, как киберзлоумышленники, связанные с Министерством разведки и национальной безопасности Ирана (MOIS), в этом году усилили свои атаки на США и другие страны.

В блоге «Кибервозмездие: анализ иранской киберактивности после операции Epic Fury» Tenable Research объясняет, как связанные с Ираном субъекты переключили свое внимание со скрытого шпионажа на скоординированные деструктивные кампании, направленные против организаций в различных секторах, включая критическую инфраструктуру.

Более подробную информацию об угрозе со стороны связанных с Ираном злоумышленников можно найти в этом Information Technology-Information Sharing and Analysis Center (IT-SAC) joint advisory.

ИИ-угроза для организаций критической инфраструктуры

Как и все специалисты по киберзащите, команды безопасности, отвечающие за защиту организаций критической инфраструктуры, сталкиваются с тем, что злоумышленники используют ИИ, чтобы сделать свои атаки более скрытными, быстрыми, умными и непредсказуемыми.

Однако команды безопасности организаций критической инфраструктуры сталкиваются с беспрецедентными проблемами при попытке предотвратить или отреагировать на атаку, усиленную ИИ, особенно если их среда включает как IT, так и OT-системы.

Вот некоторые из факторов, усложняющих работу команд безопасности критической инфраструктуры при противодействии атакам с использованием ИИ:

• Получив первоначальный доступ через IT-среду, злоумышленники, использующие автоматизацию на базе ИИ, могут на высокой скорости составить карту конвергентной сети, переместиться по ней и обнаружить пути к OT-инфраструктуре организации.
• IT-команды и специалисты по безопасности испытывают трудности с проведением комплексной инвентаризации OT-сред. Во-первых, многие устаревшие OT-системы не поддерживают стандартные протоколы обнаружения, такие как Simple Network Management Protocol (SNMP), что означает, что они не могут «заявить» о себе современным инструментам инвентаризации активов, как это делают IT-системы. Устаревшие OT-системы также часто плохо реагируют на активное сканирование, что может привести к их сбою и потенциально нарушить предоставление жизненно важных услуг населению. Кроме того, OT-активы редко размещаются в центрах обработки данных, а могут быть разбросаны по множеству физических локаций, например, на электрических подстанциях, в городской системе водоснабжения или на морских нефтяных платформах. Эти пробелы в видимости активов создают огромный риск, поскольку неинвентаризированные OT-системы могут не подвергаться регулярному мониторингу или исправлению, что делает их легкой добычей для злоумышленников, использующих ИИ для быстрого картирования OT-сред и поиска уязвимых активов.

IT-команды и специалисты по безопасности испытывают трудности с проведением комплексной инвентаризации OT-сред. Во-первых, многие устаревшие OT-системы не поддерживают стандартные протоколы обнаружения, такие как Simple Network Management Protocol (SNMP), что означает, что они не могут «заявить» о себе современным инструментам инвентаризации активов, как это делают IT-системы.

Устаревшие OT-системы также часто плохо реагируют на активное сканирование, что может привести к их сбою и потенциально нарушить предоставление жизненно важных услуг населению. Кроме того, OT-активы редко размещаются в центрах обработки данных, а могут быть разбросаны по множеству физических локаций, например, на электрических подстанциях, в городской системе водоснабжения или на морских нефтяных платформах.

Эти пробелы в видимости активов создают огромный риск, поскольку неинвентаризированные OT-системы могут не подвергаться регулярному мониторингу или исправлению, что делает их легкой добычей для злоумышленников, использующих ИИ для быстрого картирования OT-сред и поиска уязвимых активов.

• Традиционно для компрометации промышленной системы управления (ICS) требовались специальные инженерные знания об этих активах. Но сегодня злоумышленники могут привлечь LLM, чтобы быстро получить подробную информацию о конструкции конкретной ICS, принципе ее работы, способах взаимодействия с другими системами и спланировать соответствующий взлом.

Исполнительный указ Белого дома 14409, «Promoting Advanced Artificial Intelligence Innovation and Security», подчеркивает важность защиты организаций критической инфраструктуры от атак с использованием ИИ.

В частности, указ призывает федеральное правительство содействовать операторам критической инфраструктуры в доступе к инструментам и услугам кибербезопасности, включая передовые модели ИИ, чтобы эти организации могли укрепить свою кибербезопасность. В блоге Tenable «Исполнительный указ по ИИ от июня 2026 года: что нужно знать федеральным агентствам и как Tenable может помочь» подробно разбирается этот указ.

Для получения подробных рекомендаций по пересечению сфер ИИ и OT мы рекомендуем посмотреть серию вебинаров Tenable из двух частей «Frontier AI for OT», в которой рассматриваются такие темы, как:

• Стратегии защиты OT-активов, которые невозможно исправить, например, упреждающее использование инструментов, обнаруживающих слабые места в OT на высокой скорости, и внедрение строгих узких мест в OT-сети и средств контроля доступа
• Способы предотвращения эксплуатации злоумышленниками коммуникаций между вашими OT-устройствами, включая использование систем машинного обучения для выявления и анализа путей атаки, а также использование агентского ИИ для проведения непрерывного моделирования атак
• Внедрение платформы управления рисками на базе ИИ, такой как Tenable One, которая помогает вам: объединять данные безопасности по всем вашим OT- и IT-активам, выявлять и приоритизировать наиболее критические угрозы, автоматизировать рабочие процессы с помощью агентского ИИ, проводить направленное устранение уязвимостей
• Объединение данных безопасности по всем вашим OT- и IT-активам
• Выявление и приоритизация наиболее критических угроз
• Автоматизация рабочих процессов с помощью агентского ИИ
• Проведение направленного устранения уязвимостей

Заходите сюда на следующей неделе, когда мы продолжим нашу серию публикаций в рамках Месяца осведомленности о кибербезопасности блогом о том, как снизить киберриски от теневого ИИ. А если вы пропустили, прочитайте первый блог из этой серии: «Как снизить риски от приложений, созданных с помощью ИИ вашими сотрудниками-«гражданскими разработчиками».