Попросите любого CISO назвать самую критически важную бизнес-систему на предприятии, и вы услышите привычные ответы: ERP, основная банковская платформа, производственная MES или озеро данных клиентов. Но задайте более острый вопрос: какая единственная система, если ее скомпрометировать хотя бы на час, остановит работу всех остальных? Есть только один честный ответ — Active Directory (AD).

Цифры, которые должен дважды прочитать каждый совет директоров

Масштаб рисков, связанных с AD, больше не является гипотезой. Это подтверждается отчетами об инцидентах во всех отраслях:

~9 из каждых 10 кибератак на каком-то этапе цепочки атак затрагивают Active Directory — от разведки до кражи учетных данных и повышения привилегий. [eventussecurity.com]
Количество атак, нацеленных на AD, выросло на 42% по сравнению с прошлым годом, что обусловлено индустриализацией сценариев программ-вымогателей и ускоренным сбором учетных данных с помощью ИИ. [vectra.ai]
Количество сбоев AD во всем лесу (forest-wide) выросло на 172% с 2021 года, при этом 79% организаций уже сталкивались с таким сбоем, по сравнению с 29% пять лет назад. [panorays.com]
В отчете Verizon DBIR за 2026 год сообщается, что программы-вымогатели присутствуют в 48% всех подтвержденных взломов — это самая высокая доля за 19-летнюю историю отчета. [cyberkech.com]
В отчете Mandiant M-Trends 2026 предупреждается, что злоумышленники «систематически атакуют резервные копии, службы идентификации и уровни виртуализации, чтобы предотвратить восстановление» — при этом передача первоначального доступа партнерам по программам-вымогателям иногда происходит менее чем за 30 секунд. [paloaltonetworks.com]

Это не риски завтрашнего дня. Это отчеты об инцидентах сегодняшнего дня. Когда AD выходит из строя, пользователи теряют доступ, приложения не могут пройти аутентификацию, резервные копии невозможно проверить, а восстановление становится практически невозможным. Когда отказывает идентификация, отказывает все. Киберустойчивость начинается с устойчивости AD.

AD — это невидимый хребет современного предприятия, контролирующий доступ и доверие ко всем системам. Эта повсеместность сделала ее самой спорной территорией в кибербезопасности. В 2026 году растущая зависимость организаций от идентификации стала экзистенциальным риском, и ландшафт угроз доказывает это каждый день.

Почему злоумышленники продолжают возвращаться к AD

Active Directory была создана для другой эпохи, когда периметр был основной защитой, а самым большим риском для идентификации было случайное удаление учетной записи администратором. Она никогда не была рассчитана на противостояние враждебному, ускоренному ИИ разрушению всего леса, и это наследие оставляет три структурные слабости, которые злоумышленники используют с механической точностью. AD гиперсвязана, поэтому одно вредоносное изменение распространяется по сайтам за считанные минуты. Она насыщена привилегированными путями, групповыми политиками, сервисными учетными записями и вложенными группами, которые создают тысячи путей к уровню Tier 0. У большинства предприятий процедуры резервного копирования существуют только на бумаге, но немногие когда-либо репетировали полное восстановление леса в условиях реальной атаки.

Сценарий теперь удручающе знаком: злоумышленники закрепляются через фишинг, повышают привилегии в AD, отключают средства защиты, похищают данные и запускают программу-вымогатель, часто до того, как защитники успевают завершить сортировку первого оповещения.

Почему традиционного резервного копирования больше недостаточно

Многие организации до сих пор приравнивают ночное резервное копирование контроллеров домена к устойчивости AD. Тем не менее, данные о восстановлении говорят об обратном. Только 6% предприятий могут восстановить AD менее чем за час после серьезного взлома; для остальных восстановление растягивается на дни, недели или месяцы. 90% крупных предприятий вынуждены перестраивать серверы, и поскольку 73% тестируют восстановление реже одного раза в месяц (23% — только раз в год), большинство обнаруживает, что их план не работает в разгар инцидента. Уровень риска ошеломляет: простой AD может стоить до 730 000 долларов в час, а крупные предприятия рискуют терять 4,5 миллиона долларов в день только на оплате труда, не считая потери выручки, регуляторных штрафов или оттока клиентов [info.infoblox.com].

Проблема носит структурный, а не процедурный характер. Обычная резервная копия захватывает AD вместе с любыми следами присутствия злоумышленника, имевшимися на момент создания снимка, поэтому восстановление из нее часто возвращает ту самую компрометацию, от которой вы пытаетесь избавиться, заставляя выбирать между отказом от недель законных изменений и возвращением злоумышленнику его точки опоры. Ручное восстановление леса, тем временем, — это многодневное испытание, зависящее от документации, которая сама могла быть подделана.

Организации, ориентированные на устойчивость, переросли это. Они сочетают неизменяемые, изолированные (air-gapped) резервные копии идентификационных данных с автоматизированным восстановлением леса без вредоносного ПО, гранулярным восстановлением на уровне объектов и непрерывным обнаружением аномалий в активах уровня Tier 0, сокращая время восстановления с дней до часов.

Шесть столпов устойчивости AD и киберустойчивости

Программа современной устойчивости идентификации опирается на шесть взаимно усиливающих друг друга столпов:

Непрерывное обнаружение и укрепление защиты: перечисление привилегированных групп, осиротевших учетных записей и устаревших доверительных отношений, а затем внедрение строгой модели администрирования Tier 0/1/2.
Неизменяемые, изолированные резервные копии идентификационных данных: защищенные от несанкционированного доступа, хранящиеся вне производственного периметра идентификации и поддающиеся независимой проверке.
Автоматизированное восстановление леса и объектов: восстановление на основе сценариев (runbooks) до известного чистого состояния с гранулярным откатом объектов групповой политики (GPO), учетных записей и атрибутов.
Восстановление в «чистой комнате» без вредоносного ПО: изолированная среда восстановления, гарантирующая, что никакие следы злоумышленника не вернутся в продуктивную среду.
Защита гибридной идентификации: единая видимость и скоординированное восстановление как в локальной AD, так и у облачных провайдеров идентификации.
Репетируемая, прозрачная для совета директоров устойчивость: учения по восстановлению леса и ежеквартальные отчеты перед советом директоров, которые превращают устойчивость в реальное обязательство по обеспечению непрерывности бизнеса.

Точка зрения HCLTech

В HCLTech мы рассматриваем устойчивость Active Directory как краеугольный камень киберустойчивости предприятия, а не как ее часть. Работая с ведущими специализированными платформами для обеспечения устойчивости идентификации и кибервосстановления, мы помогаем предприятиям оценивать риски AD с помощью анализа путей атак уровня Tier 0, проектировать архитектуры неизменяемых изолированных резервных копий, автоматизировать восстановление леса и объектов, проводить тренировки по кибервосстановлению в реальных условиях и управлять устойчивостью идентификации как услугой через наш центр операций безопасности (SOC) и центры управления кибервосстановлением. В сочетании с нашими предложениями по модели Zero Trust, безопасности данных и кибервосстановлению, это делает нас единым ответственным партнером на протяжении всего жизненного цикла устойчивости идентификации: от предотвращения и обнаружения до гарантированного восстановления.

Итог

Киберустойчивость — это способность предприятия предвидеть, выдерживать, восстанавливаться и адаптироваться к неблагоприятным киберсобытиям, и ни один из этих глаголов не достижим без устойчивой Active Directory. Если идентификация отказывает, предотвращение становится неактуальным, обнаружение превращается в шум, а восстановление становится невозможным.

Организации, которые будут лидировать в следующем десятилетии, — это те, кто действует в соответствии с этой зависимостью сейчас, пока защитные механизмы все еще работают в их пользу. Устойчивость Active Directory — это больше не задача ИТ-гигиены; это фундамент, на котором стоят все остальные инвестиции в киберустойчивость.