Задача
Традиционные средства защиты хорошо ловят уже известное. Хуже им даются медленные многоэтапные сценарии, работа под легитимными учётными данными, боковое перемещение, атаки на управляющий слой облака и злоупотребление AI-агентами: в этих сценариях каждое отдельное действие выглядит законным. Аналитик получает поток разрозненных алертов, в котором связь между «выдан новый токен», «перечислены ресурсы», «прочитан секрет» и «необычный исходящий трафик» приходится восстанавливать вручную и уже постфактум.
Нужна была система, которая собирает контекст из нескольких слоёв инфраструктуры, знает нормальное поведение этой организации, связывает слабые сигналы в одну последовательность, оценивает риск до наступления последствия, объясняет своё решение и реагирует соразмерно цене ошибки, в том числе когда ошибка означает остановку продакшн-сервиса.
Решение
Четыре слоя телеметрии. Сеть даёт метаданные потоков, DNS и TLS-наблюдения, HTTP/API-запросы, входящий и исходящий трафик, service mesh, фингерпринты соединений. Конечные точки и рабочие нагрузки — eBPF-события процессов, файлов, сокетов и системных вызовов, запуск бинарников, изменение привилегий, журналы аудита Kubernetes, обращения к секретам. Учётные записи и облако — входы, MFA-события, выдачу токенов, изменение ролей и групп безопасности. Приложения и AI — OpenTelemetry-трейсы, логи API-шлюза, метаданные промптов и вызовы инструментов агентов. Сенсоры фильтруют события на периферии, а чувствительное содержимое токенизируется до попадания в аналитику.
Устойчивые сущности. IP сам по себе ненадёжен: за ним может стоять NAT, динамическая рабочая нагрузка или общий шлюз. Платформа связывает IP, хост, pod, пользователя, сервисный аккаунт, токен и приложение в устойчивую внутреннюю сущность. Опорой служат временной интервал, workload identity, TLS-фингерпринт, процесс-инициатор, trace ID и облачный ресурс. Из сущностей складывается граф, общий для расследования и для признаков моделей.
Ансамбль из пяти методов. Ни один алгоритм не решает в одиночку. Сигнатуры, Sigma, YARA и репутационные фиды быстро закрывают известное. UEBA строит профиль нормы для пользователя, устройства, сервиса и группы аналогов. Последовательностные модели отличают обычный административный вход от цепочки «новый токен → перечисление ресурсов → доступ к секрету → необычный исходящий трафик». Графовые модели показывают боковое перемещение и общую инфраструктуру нескольких алертов. Self-supervised слой ловит поведение без разметки, но в одиночку необратимую реакцию не запускает.
Единый балл риска. Итоговый балл учитывает вероятность компрометации, критичность актива и близость к чувствительным данным. В расчёт идут также распространённость поведения, достоверность источника, история сущности, совпадение с техниками ATT&CK, возможный ущерб и наличие безопасного ответного действия. Несколько сигналов средней уверенности, связанных причинно и движущихся к критичному активу, поднимают приоритет выше одного громкого срабатывания.
Граф атаки и объяснимость. В карточке инцидента показаны конкретные улики: новый токен для сервисной учётной записи, обращение к ранее неиспользуемому секрету, нетипичная последовательность API, новое внешнее назначение, вклад каждой модели в итоговый риск и альтернативные безвредные объяснения. Из общей цепочки аналитик проваливается в исходный сетевой поток, системный вызов, трейс или решение политики.
AI-gateway. Отдельный шлюз контролирует запросы к моделям, извлечение контекста и вызовы инструментов агентных систем. Он ловит прямые и косвенные prompt injection, попытки вытащить системные инструкции, подмену содержимого в RAG-источнике, нехарактерные вызовы инструментов, эскалацию полномочий и массовую выгрузку через легитимный инструмент. Для каждого агента заданы разрешённые инструменты, допустимые параметры, область данных, сетевые назначения, лимит частоты, потолок стоимости операции и необходимость подтверждения человеком. Вызов вне контракта блокируется до исполнения. Авторизация и лимиты работают детерминированно вне модели, поэтому границей безопасности LLM здесь не служит.
Две скорости реагирования. Дешёвое и обратимое выполняется автоматически: ограничение скорости, усиленное логирование, повторная аутентификация, остановка вызова инструмента, блокировка вредоносного домена. Дорогое и болезненное — изоляция продакшн-хоста, отзыв привилегированного сервисного токена, остановка сервиса, блокировка учётной записи — требует подтверждения аналитика или заранее согласованной аварийной политики. Плейбук фиксирует причину, улики, инициатора, версию политики и результат каждого шага; действия проектируются обратимыми там, где это возможно.
Цена ложного срабатывания. Порог блокировки выше порога расследования. Шум снижают сравнение с группой аналогов, сезонные профили нормы, окна обслуживания, критичность актива, срочные подавления, причинная корреляция и подтверждение несколькими независимыми детекторами. Неполная телеметрия автоматически понижает уверенность и отключает рискованные автодействия; при недоступности ML остаются сигнатуры и детерминированные правила, при недоступности LLM продолжают работать и детектирование, и реакция.
Результат
Наблюдаемость, детектирование, расследование и реакция замкнулись в один цикл. Сигнатуры быстро закрывают известные сценарии, поведенческие модели ловят отклонения, граф связывает слабые сигналы в гипотезу, а движок политик не позволяет ИИ самостоятельно принять необратимое решение вне согласованного уровня автономности.
Аналитик получает расследование с графом атаки, хронологией, затронутыми активами, разметкой по MITRE ATT&CK, уже выполненными защитными действиями и предложенными следующими шагами. Он может отклонить гипотезу, объединить расследования или изменить критичность, и эта обратная связь идёт в калибровку моделей. Руководитель безопасности получает разделение ролей и двойной контроль на высокорисковых операциях. Инженер по моделям — управляемый жизненный цикл: теневое развёртывание, сравнение champion/challenger, постепенное включение, мониторинг дрейфа и немедленный откат. Для каждого решения сохранены версия модели, признаки, правила и контекст политики, поэтому причину старого алерта можно воспроизвести и после обновления системы.