Алексей Миртов о рынке анти-DDoS и облачной защите «Яндекса»

— Можете для начала нем­ного рас­ска­зать о себе? За какое нап­равле­ние вы отве­чаете?

— Я отве­чаю за про­дук­ты безопас­ности в Yandex Cloud. Основной фокус — это облачная безопас­ность, но мы так­же работа­ем над защитой гиб­ридных инфраструк­тур и пла­ниру­ем рас­ширять­ся в этом нап­равле­нии.

Ес­ли говорить обо мне: у меня про­филь­ное обра­зова­ние в области кибер­безопас­ности. Я успел порабо­тать в раз­ных сфе­рах — от бан­ков до интегра­торов в Рос­сии. Это дало мне богатый опыт в нас­трой­ке и исполь­зовании самых раз­ных средств защиты, а так­же в про­тиво­дей­ствии раз­ным угро­зам. Сей­час в моем отде­ле работа­ет коман­да спе­циалис­тов, каж­дый из которых отве­чает за один или два про­дук­та. Вмес­те мы соз­даем и совер­шенс­тву­ем решения для защиты дан­ных.

— Давай­те нач­нем с обще­го пла­на: что сей­час наб­люда­ется на рын­ке анти-DDoS? Какие трен­ды мож­но выделить?

— Я изу­чал отче­ты за этот год по DDoS-ата­кам — как от круп­ных вен­доров, так и на осно­ве нашей внут­ренней ста­тис­тики (мы ана­лизи­руем дан­ные, соб­ранные через сер­висы «Яндекса», а это весь­ма обширная база). Мож­но выделить нес­коль­ко клю­чевых трен­дов.

Во‑пер­вых, боль­шинс­тво атак сей­час доволь­но корот­кие. Это свя­зано с тем, что ата­кующие стре­мят­ся миними­зиро­вать риск обна­руже­ния. Их цель — нанес­ти удар быс­тро, что­бы вызывать мак­сималь­ный дис­комфорт, но не «зас­ветить­ся» слиш­ком силь­но.

Во‑вто­рых, объ­ем атак про­дол­жает рас­ти. Основны­ми целями оста­ются финан­совый и IT-сек­торы. При­чем замет­но, что сред­няя мощ­ность атак уве­личи­вает­ся, — мы фик­сиру­ем ата­ки на уров­не сотен тысяч зап­росов в секун­ду (RPS).

Учас­тились ата­ки на уров­не при­ложе­ния (уро­вень L7). Они ста­новят­ся всё более изощ­ренны­ми, пос­коль­ку такие ата­ки слож­нее отра­зить: они нап­равле­ны на непос­редс­твен­ное вза­имо­дей­ствие с сер­висами, что тре­бует прод­винутой защиты.

Та­ким обра­зом, мы видим и рост чис­ла атак, и их тех­нологи­чес­кую эво­люцию, что дела­ет анти-DDoS-решения всё более вос­тре­бован­ными.

— Пишут, что мно­гофак­торные ата­ки сей­час ста­новят­ся популяр­ными. Вы это тоже наб­люда­ете?

— Да, чис­ло мно­гофак­торных атак пос­тепен­но рас­тет. Одна­ко это не сов­сем новая тен­денция — такие ата­ки сущес­тво­вали всег­да, и нель­зя ска­зать, что сей­час про­исхо­дит какой‑то рез­кий всплеск. Тем не менее ком­биниро­ван­ные ата­ки дей­стви­тель­но ста­новят­ся слож­нее и раз­нооб­разнее. Нап­ример, мы видим слу­чаи, ког­да ата­ки на сетевом уров­не (L3) сочета­ются с ата­ками на уров­не при­ложе­ний (L7).

Ду­маю, такая эво­люция обус­ловле­на тем, что все боль­ше ком­паний исполь­зуют сов­ремен­ные средс­тва защиты от DDoS- и веб‑атак. Прос­тым ата­кам уже слож­нее про­бивать защиту круп­ных инфраструк­тур, поэто­му зло­умыш­ленни­ки вынуж­дены искать новые под­ходы и ком­биниро­вать тех­ники.

— Сок­ращение вре­мени атак свя­зано с тем, что повыси­лась ско­рость их обна­руже­ния, осо­бен­но бла­года­ря авто­мати­зиро­ван­ным методам?

— Да, имен­но так. Сов­ремен­ные сис­темы авто­мати­зации и монито­рин­га поз­воля­ют быс­трее выяв­лять и бло­киро­вать ата­ки. Поэто­му зло­умыш­ленни­ки меня­ют так­тику — вмес­то дли­тель­ных атак на исто­щение они ста­рают­ся нанес­ти быс­трые уда­ры по нес­коль­ким целям. Это поз­воля­ет им оста­вать­ся менее замет­ными и адап­тировать­ся к более эффектив­ным защит­ным сис­темам.

— Какие еще трен­ды наб­люда­ете?

— Сей­час все боль­ше ком­паний выбира­ют облачные средс­тва защиты от DDoS- и веб‑атак. Рань­ше основное вни­мание уде­лялось on-premise-решени­ям, где исполь­зовались аппа­рат­ные средс­тва. Сей­час же наб­люда­ется зна­читель­ный рост исполь­зования облачных решений, даже для защиты on-premise-инфраструк­туры.

Эта тен­денция обус­ловле­на нес­коль­кими фак­торами. Во‑пер­вых, дефицит ква­лифи­циро­ван­ных кад­ров. Под­держи­вать собс­твен­ные желез­ные решения ста­новит­ся все слож­нее, а переда­ча этой задачи облачно­му про­вай­деру поз­воля­ет сни­зить наг­рузку на внут­ренние ресур­сы ком­пании.

Во‑вто­рых, гиб­кость опла­ты. С облачны­ми решени­ями не нуж­но сра­зу инвести­ровать в дорогос­тоящее обо­рудо­вание на годы впе­ред. Мож­но быс­тро под­клю­чить защиту, исполь­зовать ее по мере необ­ходимос­ти, а затем отклю­чить, если она боль­ше не нуж­на. Это дела­ет облачные решения более дос­тупны­ми и удоб­ными для мно­гих ком­паний.

Эти фак­торы, на мой взгляд, силь­но спо­собс­тву­ют популя­риза­ции облачных средств защиты.

— Есть какие‑то осо­бен­ности защиты от DDoS имен­но в Рос­сии?

— Я в основном сос­редото­чен имен­но на защите внут­ри Рос­сии, а о зарубеж­ных ата­ках могу судить лишь по отче­там и информа­ции от кол­лег. Одна­ко мож­но ска­зать, что за рубежом уро­вень внед­рения средств защиты выше. Это свя­зано с тем, что мас­совые DDoS-ата­ки начались там рань­ше и ком­пании успе­ли накопить боль­ше опы­та и внед­рить прод­винутые решения.

— Если говорить о сек­торах — какие ком­пании боль­ше все­го стра­дают от DDoS? Есть ли раз­ница, нап­ример, меж­ду бан­ков­ским сек­тором, e-commerce и дру­гими отрасля­ми?

— Тра­дици­онно бан­ки — одна из самых популяр­ных целей для зло­умыш­ленни­ков. Ата­ки на них обыч­но гораз­до мощ­нее и более про­думан­ны. Если, ска­жем, ата­ки на интернет‑магази­ны час­то огра­ничи­вают­ся сред­ней мощ­ностью, то ата­ки на финан­совые орга­низа­ции готовят­ся доль­ше, с учас­тием более серь­езных и опыт­ных зло­умыш­ленни­ков. Ког­да я работал в бан­ков­ском сек­торе, стал­кивал­ся с дей­стви­тель­но мощ­ными и затяж­ными ата­ками. E-commerce и IT-сек­тор тоже попада­ют под уда­ры. Одна­ко их ата­куют реже и, как пра­вило, с мень­шей интенсив­ностью, чем финан­совые учрежде­ния.

— Какие цели прес­леду­ют зло­умыш­ленни­ки, орга­низуя ата­ки?

— Как пра­вило, их основные цели — это наруше­ние биз­нес‑про­цес­сов и кибер­шпи­онаж с пос­леду­ющей выг­рузкой кон­фиден­циаль­ной информа­ции. Некото­рые инци­ден­ты свя­заны с деятель­ностью APT-груп­пировок. Они запус­кают DDoS-ата­ки, что­бы осла­бить защиту ком­пании, отвлечь вни­мание и в этот момент, нап­ример, попытать­ся похитить средс­тва или ата­ковать при­ложе­ния.

— Какие есть под­ходы к борь­бе с DDoS?

— Во‑пер­вых, CDN — это эффектив­ный инс­тру­мент защиты. Раз­мещая ста­тичес­кий кон­тент на CDN, вы рас­пре­деля­ете его по точ­кам хра­нения по все­му миру. Это дела­ет одновре­мен­ную ата­ку на все точ­ки прак­тичес­ки невоз­можной, а зна­чит, ваш кон­тент оста­ется дос­тупным. Прав­да, не всё мож­но вынес­ти на CDN, но для ста­тичес­ких дан­ных это отличный метод.

Еще один вари­ант — резер­вирова­ние. Исполь­зование нес­коль­ких пло­щадок, multi-cloud или гиб­ридных решений (сочета­ние on-premise и обла­ков) зна­читель­но повыша­ет устой­чивость. Если одна пло­щад­ка выходит из строя, дру­гая про­дол­жает обслу­живать тра­фик.

Важ­но не пре­неб­регать нас­трой­ками сетево­го обо­рудо­вания. Даже базовые меры, такие как rate limiting, син­хрон­ные SYN cookies, SYN proxy и дру­гие минималь­ные нас­трой­ки, могут помочь отсечь часть атак. Это сво­его рода «гиги­ени­чес­кий минимум», которым час­то пре­неб­рега­ют.

Ну и балан­сиров­ка наг­рузки игра­ет клю­чевую роль. Необ­ходимо заранее зак­ладывать допол­нитель­ные ресур­сы, что­бы справ­лять­ся с пиковы­ми наг­рузка­ми. В облачных решени­ях это сде­лать про­ще бла­года­ря авто­мати­чес­кому мас­шта­биро­ванию балан­сиров­щиков. В on-premise-инфраструк­туре пот­ребу­ется зак­ладывать резер­вные мощ­ности вруч­ную, но это тоже рабочий метод.

Эти меры, допол­няя стан­дар­тные сис­темы защиты, поз­воля­ют эффектив­но бороть­ся с DDoS и миними­зиро­вать вли­яние таких атак на биз­нес.

— Есть ли спе­цифи­ка защиты облачных архи­тек­тур?

— Спе­цифи­ка есть, и она доволь­но инте­рес­ная. Во‑пер­вых, это ско­рость работы с инфраструк­турой. Обла­ка — это динамич­ная сре­да, где мож­но быс­тро раз­ворачи­вать или уда­лять ресур­сы. Нап­ример, механиз­мы автоскей­лин­га поз­воля­ют авто­мати­чес­ки уве­личи­вать количес­тво вир­туаль­ных машин для обра­бот­ки тра­фика, если наг­рузка воз­раста­ет. Это осо­бен­но важ­но в усло­виях DDoS-ата­ки, ког­да нуж­но опе­ратив­но под­клю­чать допол­нитель­ные мощ­ности. Если, ска­жем, коман­да раз­работ­чиков выпус­кает новый про­дукт каж­дую неделю, защита дол­жна быть готова к его момен­таль­ному под­клю­чению.

Во‑вто­рых, в облачных сре­дах час­то исполь­зует­ся под­ход «инфраструк­тура как код». Это зна­чит, что вся кон­фигура­ция опи­сыва­ется в виде кода с помощью инс­тру­мен­тов, таких как Terraform. Нап­ример, вы зада­ете парамет­ры вир­туаль­ных машин, балан­сиров­щиков и дру­гих ком­понен­тов, а затем все это авто­мати­чес­ки раз­ворачи­вает­ся через API. Что­бы защита от DDoS- и веб‑атак работа­ла эффектив­но, она тоже дол­жна под­держи­вать этот под­ход, что­бы лег­ко интегри­ровать­ся в быс­тро меня­ющуюся архи­тек­туру.

И конеч­но, есть осо­бен­ности, свя­зан­ные с авто­мас­шта­биро­вани­ем. В слу­чае DDoS-ата­ки обла­ко может авто­мати­чес­ки уве­личи­вать ресур­сы до опре­делен­ного пре­дела, что поз­воля­ет выдер­живать наг­рузку. Одна­ко важ­но сле­дить за лимита­ми и опти­мизи­ровать защиту, что­бы не допус­тить чрез­мерно­го рас­хода ресур­сов.

Та­ким обра­зом, защита в обла­ке тре­бует гиб­кости, авто­мати­зации и спо­соб­ности интегри­ровать­ся с динами­чес­кой инфраструк­турой.

— Дру­гими сло­вами, нуж­но позабо­тить­ся о том, что­бы ата­кующие не сож­гли все день­ги?

— Имен­но так. За исполь­зование допол­нитель­ных ресур­сов в обла­ке нуж­но пла­тить. Если защита нас­тро­ена неп­равиль­но, ата­ка может при­вес­ти к тому, что ресур­сы мас­шта­биру­ются бес­кон­троль­но, и в ито­ге сче­та вырас­тают до огромных сумм.

Это осо­бен­но важ­но, если исполь­зует­ся сто­рон­ний вен­дор для защиты от DDoS. Нап­ример, если про­вай­дер про­пус­тил какую‑то ата­ку, это может при­вес­ти к серь­езным пос­ледс­тви­ям для кли­ента. Поэто­му важ­но, что­бы про­вай­дер учи­тывал осо­бен­ности облачной инфраструк­туры и пред­лагал механиз­мы, поз­воля­ющие миними­зиро­вать подоб­ные рис­ки. Защита дол­жна быть адап­тирова­на к облачным реалиям и эффектив­но отра­баты­вать все воз­можные кей­сы, что­бы не допус­тить ни про­боев, ни избы­точ­ного рас­хода ресур­сов.

— Почему «Яндекс» занял­ся этой проб­лемой?

— Мы начали занимать­ся этим, мож­но ска­зать, вынуж­денно. У «Яндекса» одна из самых круп­ных инфраструк­тур в Рос­сии, с огромным количес­твом сер­висов, которы­ми ежед­невно поль­зуют­ся мил­лионы людей. Стан­дар­тные средс­тва защиты прос­то не выдер­жива­ют таких наг­рузок.

По­это­му нам нуж­но было свое решение. Внут­ри мы называ­ем этот про­ект «Анти­робот». Над ним тру­дит­ся целая коман­да раз­работ­чиков и ана­лити­ков, которые спе­циали­зиру­ются на защите от DDoS- и веб‑атак. Этот про­ект вклю­чает как тех­нологи­чес­кую, так и про­цес­сную часть, и уже мно­гие годы он защища­ет сер­висы «Яндекса», ана­лизи­руя пат­терны тра­фика, поведе­ние наруши­телей и легитим­ных поль­зовате­лей. Тех­нологии и опыт про­дук­та «Анти­робот» лег­ли в осно­ву сер­виса Smart Web Security, который мы пред­лага­ем нашим облачным кли­ентам.

Ес­ли заг­лянуть нем­ного глуб­же, сис­тема сос­тоит из нес­коль­ких сло­ев. Пер­вый — защита на низ­ком уров­не, L3 и L4, что­бы пре­дот­вра­тить перег­рузку каналов. Далее идет балан­сиров­ка тра­фика, с исполь­зовани­ем как облачных, так и локаль­ных балан­сиров­щиков, пос­коль­ку у нас гиб­ридная инфраструк­тура.

Сле­дующий этап — rate limiting, поз­воля­ющий быс­тро отсечь явно нежела­тель­ный тра­фик. А чем глуб­же мы пог­ружа­емся в обра­бот­ку, тем боль­ше исполь­зует­ся интеллек­туаль­ных тех­нологий. Здесь при­меня­ется машин­ное обу­чение, вклю­чая модели на базе CatBoost.

На пер­вом эта­пе ML помога­ет быс­тро ана­лизи­ровать огромные потоки тра­фика. Для это­го сис­тема работа­ет с тысяча­ми фак­торов, что поз­воля­ет опе­ратив­но и точ­но отсе­кать подоз­ритель­ный тра­фик. Такой под­ход помога­ет «Яндексу» справ­лять­ся с наг­рузка­ми и эффектив­но защищать свои сер­висы.

На вто­рой фазе про­исхо­дит более глу­бокая интеллек­туаль­ная оцен­ка. Здесь уже ана­лизи­руют­ся свы­ше 10 тысяч фак­торов. Этот этап занима­ет боль­ше вре­мени, но он поз­воля­ет мак­сималь­но точ­но клас­сифици­ровать тра­фик.

Ес­ли мы уве­рены, что это ата­ка, зап­росы сра­зу бло­киру­ются. Если же оста­ются сом­нения — нап­ример, есть веро­ятность, что это легитим­ный поль­зователь, — зап­росы перенап­равля­ются на про­вер­ку через CAPTCHA. У нас в «Яндексе» исполь­зует­ся Yandex SmartCaptcha, которая помога­ет убе­дить­ся, что перед нами дей­стви­тель­но человек.

— Это всё раз­ные про­дук­ты или для кли­ента это еди­ное решение?

— Мы под­ходим к это­му ком­плексно и не делим стро­го на DDoS, веб‑ата­ки или ботов. Smart Web Security — это еди­ная сис­тема защиты, которая пок­рыва­ет сра­зу все аспекты. Она вклю­чает анти-DDoS, WAF (защита веб‑при­ложе­ний), Yandex SmartCaptcha, rate limiting и дру­гие механиз­мы.

По­чему так? Потому что в сов­ремен­ном мире угро­зы ред­ко огра­ничи­вают­ся чем‑то одним. Нап­ример, кли­ент может сна­чала стол­кнуть­ся с DDoS-ата­кой L3 или L4, затем с ата­кой L7, потом с SQL-инъ­екци­ей, а парал­лель­но его могут ата­ковать пар­серы или нежела­тель­ные роботы.

Кро­ме того, кли­енты час­то хотят нас­тро­ить исклю­чения для «дру­жес­твен­ных» роботов, нап­ример поис­ковых сис­тем или сво­их собс­твен­ных инс­тру­мен­тов. Поэто­му мы раз­работа­ли ком­плексное решение, которое поз­воля­ет защищать­ся от все­го это­го сра­зу, пре­дос­тавляя гиб­кость для нас­трой­ки под кон­крет­ные нуж­ды.

Ко­неч­но, мы соз­даем эти решения, что­бы помочь нашим кли­ентам, улуч­шить их защиту и зак­рыть их пот­ребнос­ти. Но есть и обратная сто­рона — мы тоже извле­каем из это­го поль­зу.

Вы­пус­кая про­дукт наружу, мы получа­ем дос­туп к раз­нооб­разно­му фид­бэку и реаль­ным пат­тернам тра­фика, ата­кам, спе­цифи­ке исполь­зования. Это помога­ет нам улуч­шать наши модели и насыщать их новыми дан­ными. В ито­ге мы не толь­ко совер­шенс­тву­ем защиту кли­ентов, но и уси­лива­ем собс­твен­ные сис­темы, делая их еще более эффектив­ными.

— Давай­те под­робнее погово­рим о Yandex SmartCaptcha. Какие у нее есть инте­рес­ные фиш­ки?

— Один из самых инте­рес­ных эле­мен­тов нашей SmartCaptcha — это так называ­емая невиди­мая CAPTCHA. Она поз­воля­ет про­верять поль­зовате­ля незамет­но для него. То есть человек может даже не осоз­навать, что про­ходит какой‑то чел­лендж.

В целом мы ста­раем­ся най­ти баланс меж­ду удобс­твом для челове­ка и эффектив­ностью защиты. Нам важ­но, что­бы CAPTCHA не раз­дра­жала поль­зовате­лей, но при этом была слож­ной для зло­умыш­ленни­ков. Мно­гие стал­кивались с кап­чами, где нуж­но бес­конеч­но выбирать све­тофо­ры или дру­гие объ­екты, — это утом­ляет.

По­это­му мы дви­жем­ся в сто­рону гей­мифика­ции. Нап­ример, у нас есть чел­лен­джи с силу­эта­ми или калей­дос­копами. Они выг­лядят инте­рес­нее, лег­че вос­при­нима­ются поль­зовате­лями, но при этом эффектив­но отсе­кают ботов. Такой под­ход дела­ет защиту не толь­ко надеж­ной, но и более дру­желюб­ной для людей.

— Можете при­пом­нить какие‑нибудь инте­рес­ные кей­сы, ког­да борь­ба с DDoS и ботами ощу­тимо помог­ла биз­несу?

— Нап­ример, такая исто­рия: у кли­ента был сер­вис, где поль­зовате­ли мог­ли регис­три­ровать­ся, пос­ле чего отправ­лялись SMS для под­твержде­ния. Зло­умыш­ленни­ки исполь­зовали ботов для мас­совой ата­ки на этот сер­вис. Боты регис­три­рова­лись в огромных количес­твах, вынуж­дая кли­ента тра­тить зна­читель­ные сум­мы на отправ­ку SMS. Это ока­залось доволь­но дорого. Сис­тема защиты, которая была у кли­ента до нас, не справ­лялась — боты про­ника­ли и про­дол­жали генери­ровать рас­ходы.

Пос­ле внед­рения нашего решения — ком­бинации SmartCaptcha и Smart Web Security — такие ата­ки прек­ратились, и финан­совые потери уда­лось миними­зиро­вать. Это хороший при­мер того, как авто­мати­зиро­ван­ная защита может справ­лять­ся с ботовой активностью.

Еще один инте­рес­ный и более слож­ный кейс. В некото­рых слу­чаях нанима­ют людей, которые за неболь­шую пла­ту вруч­ную про­ходят CAPTCHA или выпол­няют дру­гие чел­лен­джи, пыта­ясь обой­ти авто­мати­чес­кие сис­темы. Здесь борь­ба слож­нее, потому что про­тивос­тоять реаль­ным людям труд­нее, чем ботам.

Для таких ситу­аций мы исполь­зуем машин­ное обу­чение. Оно помога­ет выяв­лять подоз­ритель­ное поведе­ние, ана­лизи­руя динами­ку вза­имо­дей­ствия с сер­висом. Ста­тичес­кие методы в таких слу­чаях мало­эффектив­ны, а вот динами­чес­кая защита, осно­ван­ная на ML, поз­воля­ет находить законо­мер­ности и бло­киро­вать таких поль­зовате­лей.

— Тра­дици­онный теперь в каж­дом интервью воп­рос. Какие еще при­мене­ния ML в целом и язы­ковых моделей вы видите?

— С точ­ки зре­ния защиты я всег­да нем­ного скеп­тичес­ки отно­шусь к заяв­лени­ям вен­доров, что у них все пос­тро­ено исклю­читель­но на ML и все иде­аль­но работа­ет. Чаще все­го это боль­ше мар­кетинг, чем реаль­ность. Но могу рас­ска­зать, где мы реаль­но исполь­зуем или пла­ниру­ем при­менять AI и боль­шие язы­ковые модели (LLM).

Пер­вое — это ана­лиз боль­ших объ­емов дан­ных и поведен­ческих пат­тернов. Нап­ример, в защите от DDoS-атак, веб‑атак и в CAPTCHA. Здесь при­мене­ние ML дей­стви­тель­но полез­но, потому что обра­баты­вать вруч­ную такие объ­емы дан­ных и тра­фика было бы слиш­ком тру­дозат­ратно. AI помога­ет находить законо­мер­ности и быс­тро при­нимать решения.

Вто­рое нап­равле­ние — ана­лиз пер­сональ­ных дан­ных в S3-бакетах. У нас есть про­дукт клас­са DSPM, который помога­ет про­верять заг­ружен­ные дан­ные, нап­ример опре­делять, содер­жат ли они пас­пор­тные дан­ные или дру­гую кон­фиден­циаль­ную информа­цию. Регуляр­ные выраже­ния час­то дают слиш­ком мно­го лож­ных сра­баты­ваний, поэто­му мы исполь­зуем AI, который более точ­но рас­позна­ёт, что дей­стви­тель­но явля­ется пас­портом, а что — нет. Это силь­но повыша­ет точ­ность.

Третье — упро­щение вза­имо­дей­ствия с сис­темами через боль­шие язы­ковые модели. Нап­ример, в SIEM-сис­темах час­то нужен высокий уро­вень ква­лифи­кации, что­бы писать зап­росы к дан­ным. Сей­час рынок испы­тыва­ет дефицит таких спе­циалис­тов, поэто­му мы экспе­римен­тиру­ем с тем, что­бы сни­зить порог вхо­да. LLM может поз­волить поль­зовате­лю написать зап­рос прос­тыми сло­вами, вро­де «Покажи все дан­ные за неделю по такому‑то устрой­ству», а модель сама пре­обра­зует это в слож­ный SQL-зап­рос и отпра­вит его в сис­тему. Это упро­щает работу и уско­ряет про­цес­сы.

— Есть ли опа­сения, что и зло­умыш­ленни­ки пос­тавят ИИ себе на служ­бу? Как это может про­изой­ти?

— Опа­сения, безус­ловно, есть. С помощью GPT-моделей зло­умыш­ленни­ки могут быс­трее генери­ровать вре­донос­ные наг­рузки, соз­давать слож­ные фишин­говые ата­ки или даже авто­мати­зиро­вать сбор бот­нетов. Так что раз­витие тех­нологий в этом нап­равле­нии опре­делен­но вли­яет на сни­жение порога вхо­да для ата­ки. Но пока это боль­ше пер­спек­тива, а не реаль­ность, с которой мы стал­кива­емся каж­дый день.

Но и защит­ные механиз­мы не сто­ят на мес­те. Уже сей­час ведет­ся работа по внед­рению филь­тров и огра­ниче­ний в боль­ших язы­ковых моделях, что­бы пре­дот­вра­тить их исполь­зование для зло­наме­рен­ных целей. Нап­ример, такие сис­темы обу­чают игно­риро­вать зап­росы на соз­дание вре­донос­ного кода или помощь в мошен­ничес­тве. Кро­ме того, законо­датель­ство в этой области тоже будет раз­вивать­ся. Это поз­волит огра­ничить исполь­зование AI в прес­тупных схе­мах. Так что у меня ско­рее позитив­ный нас­трой: тех­нологии раз­вива­ются, но вмес­те с ними раз­вива­ется и защита.

— Вы упо­мяну­ли регули­рова­ние и законы. В пла­не DDoS и ботов воз­можно какое‑то регули­рова­ние, которое при­ведет к сни­жению вре­донос­ной активнос­ти?

— Если говорить кон­крет­но о борь­бе с DDoS, веб‑ата­ками или ботами, я не при­пом­ню зна­читель­ных изме­нений в законо­датель­стве за пос­леднее вре­мя. Одна­ко есть дру­гой важ­ный тренд — ужес­точение законов, свя­зан­ных с утеч­ками дан­ных, и уве­личе­ние обо­рот­ных штра­фов за такие инци­ден­ты.

Это, на мой взгляд, сущес­твен­но вли­яет на рас­простра­нение средств защиты. Ком­пании, которые рань­ше мог­ли сом­невать­ся или откла­дывать внед­рение ИБ‑про­дук­тов, теперь начина­ют дей­ство­вать заб­лагов­ремен­но. Угро­за серь­езных штра­фов побуж­дает их при­обре­тать средс­тва защиты или хотя бы нас­тра­ивать базовые парамет­ры, что­бы миними­зиро­вать рис­ки. Так­же сот­рудни­ки ком­паний про­ходят спе­циаль­ные кур­сы по ИБ — их уже мно­го в откры­том дос­тупе. Нап­ример, мы в Yandex Cloud так­же опуб­ликова­ли кур­сы по основным облачным сер­висам безопас­ности.

В ито­ге это сти­мули­рует раз­витие отрасли кибер­безопас­ности в целом. Даже кос­венные изме­нения в регули­рова­нии, такие как законы об утеч­ках дан­ных, соз­дают пред­посыл­ки для более активно­го при­мене­ния защит­ных тех­нологий, в том чис­ле и про­тив DDoS- и веб‑атак.

Рек­лама. ООО "Яндекс.Обла­ко". ИНН 7704458262