UDV Group: шифрование трафика не делает угрозы невидимыми

Российский разработчик решений в области киберустойчивости UDV Group рассказал, как компаниям искать угрозы в зашифрованном трафике без массовой расшифровки соединений. Менеджер продукта UDV NTA Михаил Пырьев объяснил, почему командам ИБ важно анализировать не содержимое каждой сессии, а поведение узлов, сетевые метаданные и контекст соединений.

Зашифрованный трафик стал нормой для корпоративной инфраструктуры: через HTTPS, облачные сервисы, мессенджеры и средства удаленного доступа проходит значительная часть рабочих коммуникаций. Для бизнеса это базовый механизм защиты данных, но для ИБ-команд - новая сложность: содержимое соединений все чаще недоступно для анализа, и этим пользуются атакующие.

В UDV Group отмечают, что шифрование не делает сетевую активность полностью невидимой. Даже если содержимое сессии закрыто, вокруг соединения остаются признаки, которые помогают оценить риск: направление трафика, частота обращений, длительность сессий, объемы передачи, параметры TLS-рукопожатия, цифровые отпечатки клиента и сервера, история поведения конкретного узла.

«Задача сетевого анализа не сводится к тому, чтобы расшифровать каждую сессию. Важно понять, что делает узел, с кем он взаимодействует и насколько это похоже на его обычное поведение. Именно по косвенным признакам сегодня можно выявлять скрытые каналы управления, аномальные объемы передачи данных и использование запрещенных приложений без доступа к содержимому переписки или файлов», - отметил Михаил Пырьев, менеджер продукта UDV NTA компании UDV Group.

По словам эксперта, злоумышленники активно используют легитимные протоколы и разрешенные каналы обмена. Вредоносная программа может обращаться к управляющему серверу через HTTPS, маскируя обмен под обычную работу браузера или облачного приложения. DNS-запросы могут уходить через DNS over HTTPS и смешиваться с веб-трафиком. В таких условиях простая проверка содержимого уже не работает, а подозрительность нужно оценивать по совокупности слабых признаков.

Один параметр сам по себе редко дает надежный вывод. Большой объем трафика может быть связан с обновлением, рабочим файлом или видеосервисом. Но если у узла одновременно меняются привычные направления соединений, появляются обращения к новым внешним адресам, растут объемы передачи и фиксируется нетипичный цифровой отпечаток клиента, у аналитика появляется основание для проверки. В этом и состоит ценность поведенческого анализа: он связывает отдельные признаки в сценарий.

В UDV Group подчеркивают, что массовая расшифровка трафика не всегда является оптимальным ответом на рост шифрования. Такой подход может затрагивать персональные данные, частную переписку и внутренние коммуникации сотрудников, создавать юридические и организационные риски. Поэтому для многих компаний более устойчивой моделью становится анализ поведения без чтения содержимого соединений.

При этом сетевые данные не должны рассматриваться изолированно. Если злоумышленник использует легитимную учетную запись администратора или штатное средство удаленного доступа, одно сетевое соединение может выглядеть допустимым. В таких случаях сетевую телеметрию необходимо дополнять логами конечных точек, приложений и систем удаленного доступа, чтобы понимать, кто был за устройством, какие процессы выполнялись и как это связано с сетевой активностью.

«Работа аналитика все больше напоминает антифрод-подход. Важно не читать содержимое соединения, а понимать его смысл: привычно ли такое поведение для узла, соответствует ли оно роли пользователя, не меняется ли профиль взаимодействий и не появляется ли цепочка действий, похожая на подготовку атаки», - пояснил Михаил Пырьев.

UDV Group рекомендует компаниям заранее выстраивать видимость сети, а не ждать инцидента. Первый шаг - начать собирать и анализировать сетевую телеметрию, постепенно расширяя покрытие. Данные, накопленные до атаки, становятся опорой для расследования: помогают понять, какие адреса блокировать, какие узлы проверять глубже и куда злоумышленник мог успеть продвинуться.

Следующий шаг - определить слепые зоны. В любой инфраструктуре есть сегменты, которые не попадают в сетевую телеметрию: удаленные площадки, VPN-подключения, облачные сервисы, подрядные зоны или отдельные участки распределенной сети. Их нужно включать в контур наблюдения не только через сетевые сенсоры, но и за счет дополнительных источников данных, прежде всего логов узлов, приложений и средств удаленного доступа.

Отдельное значение имеет проверка готовности компании к реальному сценарию атаки. Имитация проникновения показывает, какие действия системы и службы действительно видят, а какие проходят мимо контроля. Такой подход помогает заранее понять, есть ли у команды ИБ опора для расследования или при инциденте она начнет работу с пустого места.

В UDV Group считают, что развитие шифрования будет и дальше сокращать объем признаков, доступных без расшифровки. Поэтому главным вопросом становится не возможность вскрыть каждую сессию, а способность компании заметить, что узел начал вести себя не так, как обычно, и быстро понять, куда это поведение может привести. Чем меньше видно внутри соединения, тем большее значение получают контекст, ретроспектива и связка сетевых событий с действиями пользователей и систем.