Как выжить в новой реальности ИБ

Атаки с помощью ИИ по подписке за 27 долларов

Атака с помощью искусственного интеллекта теперь стоит как подписка на AI-модель: за 27 долларов можно получить атаку профессионального уровня. Раньше противостояние шло по схеме человек против человека: у каждой стороны были скрипты и средства автоматизации, но исход решали знания конкретного специалиста. Атакующий запускал один, два, десять скриптов параллельно, поэтому время на атаку и время на обнаружение ещё можно было посчитать.

Теперь модели дают быстрый доступ к знаниям на человеческом языке, а AI-агенты позволяют проверять гипотезы на лету. В одном из случаев за сутки было сгенерировано 17 миллионов событий. Это не попытки атаки в привычном смысле, а действия AI методом проб и ошибок.

Задача атакующего сводится к трём шагам: правильно составить запрос, выбрать цель и запустить систему.

Это уже видно в инцидентах, причём как во взломах, так и во внутренних ошибках администраторов. IT-специалисты активно используют агентов, и идея «инфраструктура как код» почти воплотилась: AI-агенты управляют инфраструктурой целиком. Но правил, как строить такую архитектуру, нет, а значит, нет и понятных правил, как её защищать.

Почему в кибербезопасности защитнику сложнее, чем атакующему

В кибербезопасности у защитника та же модель, но есть сдерживающие факторы. Главный из них инфраструктура, которую нужно защищать целиком. В крупных компаниях её начали строить в 80-х и 90-х, и каждый новый слой технологий превращает предыдущий в легаси.

Атакующему достаточно найти одну лазейку, защитнику нужно сделать так, чтобы её не нашли нигде.

Суть работы специалиста по информационной безопасности в трёх вещах:

• знать свой объект и ответить на вопрос, что именно ты защищаешь;
• понимать, как этот объект могут атаковать;
• уметь его модернизировать.

Делать это всё труднее: люди приходят и уходят, технологии меняются, скорость цифровизации растёт в разы, и уследить за всем уже невозможно. Часть задач можно отдать автоматизации, но не все. Например, остановку процессов: если остановить процесс, не зная контекста и не понимая, зачем он нужен, можно выключить функции, без которых не работает бизнес.

Масштаб задачи хорошо виден на кибериспытаниях, когда компания выставляет свою инфраструктуру под атаку хакеров за вознаграждение. У интегратора на полторы тысячи человек подготовка к таким испытаниям заняла около семи месяцев.

Как менялась профессия инженера ИБ: от универсала к узкому эксперту и обратно

Развитие профессии инженера удобно описать как спираль: от «я» к «мы» и снова к «я». В 2000-х доступа к интернету почти не было, и ценились универсалы: одной рукой оказываешь техподдержку, другой настраиваешь маршрутизатор.

Глобальная цифровизация дала огромный рост инфраструктуры и количества систем. Появились команды и разделение труда, безопасники отделились от IT. Информацию было тяжело найти, поэтому проще было держать всё в одной голове и уйти в узкую экспертизу. Таких людей очень ценили: когда случалась проблема, звали гуру, который уже с ней сталкивался.

Сейчас спираль снова пришла к «я». Доступ к информации неограничен, рутину берут на себя агенты, и большую часть задач один человек может решать сам. Быть суперэкспертом не обязательно: когда сталкиваешься с проблемой, под рукой оказываются знания всего мира. Следующий шаг для инженера: смотреть не только на свою специализацию, а на надсистему. Что происходит вокруг, как на это влиять, что нужно бизнесу.

Бизнес уже говорит одним языком: раз вы перевели меня в цифру, сделайте так, чтобы всё работало так же понятно, как до цифровизации. Через пять лет профессия инженера, скорее всего, станет неузнаваемой. Отдельно ИБ и отдельно IT уже не будет, цифра должна давать бизнесу результат, а инженер будет управлять каким-то слоем этого результата.

Навыки инженера по информационной безопасности: фундамент нужен, за старое держаться нельзя

Знать всё невозможно, поэтому инженеру стоит выбрать сферу и разобраться хотя бы в одном уровне технологического стека, грубо по модели OSI. Не как работает конкретный коммутатор, а зачем вообще нужна сеть. Операционный слой может поменяться: AI позволяет переписывать инфраструктуру с нуля и выходить за пределы операционных систем. Но понимать, зачем нужна ОС, что такое приложение, на каких уровнях оно работает и как его создают, всё равно придётся.

Фундаментальное понимание всё ещё очень ценно: столкнулся с непонятным, и ты падаешь на уровень своих знаний, а не на уровень того, что за тебя делают. Но превращаться в луддита сейчас нельзя. Кто пять лет учил Java со всеми фреймворками и был самым дорогим экспертом, ещё пять лет в этой парадигме не продержится.

Егор Богомолов

Инженерное мышление держится на двух навыках: выкручиваться и разбираться.

Разбираться значит накапливать опыт и понимать, как всё устроено на уровне логики. Смотреть не просто на конфигурацию, а на то, зачем она нужна. Логи и конфигурации можно читать как скелет, который задаёт логику работы системы.

Систематизировать мышление помогает ТРИЗ, теория решения изобретательских задач. Методика старая, ещё советская, но даёт универсальный подход: выходить в надсистему и раскладывать любую сложную проблему на микропроблемы, каждую из которых уже понятно, как решить.

Кого не хватает в ИБ: дефицит не инженеров, а любознательных

В ИБ людей, которые называют себя инженерами, много: у них в голове набор инструкций и время, за которое их нужно выполнить. Инженеров в смысле людей, которые хотят разбираться, остро не хватает.

Инженер не работает по инструкции: всё, что можно сделать по инструкции, рано или поздно отдадут AI и автоматизируют. Не хватает именно любознательности, желания докопаться и разобраться.

Антон Кузьмин

На стажировках это видно сразу: из двадцати человек остаётся в лучшем случае один. Остальные приходят формально: отправили, а тут надо работать и отвечать на вопросы. За ошибки никого не ругают, но стажёр, который перестаёт появляться и даже не пытается, исчезает очень быстро.

AI экономит огромное количество времени. Презентацию раньше собирали вручную, двигая каждую букву, теперь достаточно наговорить или написать контекст. Вопрос в том, куда это время направить. Если на любознательность и создание нового, скорость решений станет совсем другой. Если просто разгрузить себя, чтобы сидеть на bug bounty платформах и ничего не делать, карьера быстро закончится: этому научатся противодействовать, а таких людей станет пара сотен, и они будут конкурировать между собой.

Как начать карьеру в кибербезопасности студенту: стажировка со второго курса

Студенту, который хочет стать инженером по информационной безопасности, не стоит рассчитывать, что всю жизнь придётся работать с тем, чему учат сейчас.

Технологии могут исчезнуть послезавтра, поэтому из учёбы важно вытаскивать логику, а адаптацию принять как данность.

• Идти на стажировку в ИБ. Многие компании берут студентов со второго-третьего курса, и это самое ценное, во что можно себя инвестировать. На стажировке дают задачи на логику, а не инструкции.
• Не бояться менять направление. Если стажировка, например, в сетях у интегратора не зашла, можно перейти в другое направление.
• Смотреть на целевую подготовку. В некоторых IT-вузах есть группы, которые готовят под конкретное предприятие: теория сразу идёт вместе с практикой и боевыми знаниями этой организации.
• Вступать в профильные сообщества: межвузовские SOC, команды пентестеров, кибербитвы.
• Не бросать отклики на вакансии. HR возвращаются даже к тем, кто писал три года назад.
• Пользоваться знакомствами. Сарафанное радио работает лучше, чем всё остальное вместе взятое: если в компании есть знакомый, держись за него.

Навык на ближайшие полгода для новичка: вайб-кодинг и привычка складывать в голову логику, как можно и как нельзя.

Мидлу — упаковать опыт и выйти за рамки специализации

Риск для мидла в информационной безопасности с пятью годами рутины в интеграторе в том, что рядом всё больше людей, которым не нужно ставить задачу: они видят общую цель, разбирают свой кусок и экспериментируют. Тех, кто цепляется за знания, накопленные тяжёлым трудом, это погубит: эти знания теперь доступны всем.

Что делать, по шагам:

1. 1

   Начать собирать свой опыт прямо сейчас. Упаковывать его в заметки и контексты, чтобы, когда появится нормальная инфраструктура хранения знаний, своя «вторая память», выгрузить туда накопленное, освободить голову и решать новые задачи. Каждая решённая или проваленная задача формирует логику принятия решений, а через десять лет её уже не вспомнить. Этот совет не устарел за 18 лет: записывай всё, что проходишь как опыт.

2. 2

   Выйти со своим опытом в надсистему, за пределы узкой специализации. Скоро появятся задачи на автоматизированное изучение инфраструктуры, и в эти модели нужно вкладывать накопленное: знания людей, особенности архитектуры. Серебряной пули, которая изучит любую инфраструктуру, пока нет.

Сеньору — задать AI границы: новая профессия AI Security Engineering

У сеньоров огромный опыт того, как делать не надо, и на нём будет строиться модель новой инфраструктуры. Если просто запустить AI в инфраструктуру и сказать «защити», он пойдёт по самому короткому пути: отрежет компанию от интернета или выключит всё целиком.

В моделях, которые мы захотим запускать в инфраструктуру, самое важное задать правильные границы, ограничения и правила игры. Эти ограничения сейчас в головах у сеньоров и мидлов, которые прожили проекты и изменения. Именно они снимут страх внедрения AI в собственную инфраструктуру.

Антон Кузьмин

Без AI противостоять атакующему уже невозможно, человек просто не справится.

Отсюда новая профессия AI Security Engineering (инженерия безопасности ИИ): это специалист, который управляет границами AI. Потребность критическая, а учить этому пока некому. Начать можно с того, как работают модели и как правильно задавать им границы. Корпорации уже спрашивают, как дать людям автоматизировать рутину и не дать им выгрузить в AI лишнее. Готовых решений нет, и эту компетенцию придётся выращивать.

Запретят ли AI и стоит ли учить квантовые атаки

Массового запрета, который привёл бы к исчезновению технологии, не будет. Офлайн-модели уже доступны: скачал и запускаешь на своей видеокарте, хоть на ноутбуке с 4070, хоть на 4090. Ограничения возможны для политических и откровенно деструктивных сценариев, но локальные модели уже решают множество задач. AI стоит принять как часть новой эпохи: попытка вернуться в девяностые не сработает.

Квантовые системы для атакующего пока далёкая тема. Ломать ещё долго будут через фишинг и старые баги в софте.