Почему производители все еще обнаруживают атаки программ-вымогателей, хотя злоумышленники уже украли их данные?
Хит Маллинз, главный евангелист ExtraHop
Обрабатывающая отрасль пострадает от программ-вымогателей сильнее, чем большинство других предприятий. Угроза простоя в работе и значительных затрат на производственные процессы вынуждает многих лидеров производства более тщательно инвестировать в инструменты безопасности и искусственного интеллекта, но не все стратегии защиты одинаковы. Вывод
- Производители обнаруживают программы-вымогатели слишком поздно, часто пропуская все предупреждающие сигналы из-за более скрытных методов атаки.
- Сегодняшние злоумышленники все чаще вмешиваются в сетевую активность, эксплуатируют сложные OT-среды и используют возможности атак, управляемых искусственным интеллектом.
- К тому времени, когда многие понимают, что они были скомпрометированы, конфиденциальные данные уже украдены и операции подвергаются риску сбоев, что побуждает многих платить.
- Речь идет не просто о более быстром реагировании на внедрение программы-вымогателя; устранение пробелов в видимости требует обнаружения вредоносного поведения на более ранних этапах жизненного цикла атаки.
1. Самая большая проблема с программами-вымогателями в производстве начинается с отсутствия прозрачности
ExtraHop’s Глобальная угроза 2026 https://www.extrahop.com/resources/reports/the-2026-extrahop-global-threat-landscape-report Ландшафтный отчет обнаружил, что 19% производственных организаций не осознавали, что они подверглись атаке программ-вымогателей, пока их данные уже не были похищены. Эксфильтрация — это конечная стадия атаки программы-вымогателя, и большая часть ущерба наносится задолго до этого.
Сегодняшний сценарий использования программ-вымогателей демонстрирует гораздо более широкую модель вымогательства, чем шифрование прошлого года, когда злоумышленники получают доступ, перемещаясь по средам и похищая ценные данные перед требованием оплаты. Фактически, злоумышленники сохраняли доступ к внутренним системам в среднем в течение 2,5 недель до обнаружения, и за это время они могли украсть данные, создать бэкдоры и вообще установить контроль.
Почему это такая проблема, особенно на производстве? Они работают во все более взаимосвязанных средах — ИТ, ОТ, производственных сетях, поставщиках, облачной инфраструктуре и т. Д. Эта обширная поверхность невероятно затрудняет установление видимости и, в конечном итоге, выявление вредоносной деятельности, скрытой среди законных операций.
"Когда вы смотрите на общую картину современных киберрисков, нитью, связывающей все основные проблемы, от пропущенных обнаружений и длительного времени ожидания до ложных срабатываний ИИ, является фундаментальное отсутствие ситуационной осведомленности или основной истины". – Раджа Мукерджи, соучредитель и главный научный сотрудник ExtraHop
2. ИИ расширяет поверхность атаки, в то время как команды безопасности изо всех сил пытаются сохранить темп
AI все чаще становится частью этой проблемы видимости. Производители внедряют операции на основе искусственного интеллекта, подключенные системы и автоматизацию: от профилактического обслуживания и роботов до оптимизации цепочки поставок и принятия решений. Эти технологии создают новые зависимости между приложениями, API и сторонними системами, которые требуют дополнительных мер по обеспечению безопасности.
Проблема не в самом внедрении, а в быстром цикле внедрения, который обнажает растущий разрыв между тем, как быстро организации развертывают возможности ИИ и насколько быстро они могут установить контроль безопасности и прозрачность. Исследования показывают, что организации все больше осознают, что их реализации ИИ являются новой точкой входа для злоумышленников: 55% назвали агенты ИИ, агентную инфраструктуру и приложения GenAI самым большим риском для кибербезопасности.
Еще хуже, 85% уже сообщили об инцидентах безопасности, раскрытии данных или опасных ситуациях, когда ИИ был основной причиной. Это не из-за расширяющейся атаки поверхность одна. Злоумышленники также используют ИИ для увеличения скорости и масштаба своих операций, при этом внешние атаки с использованием ИИ являются основным ответом на основные риски, связанные с ИИ, и предполагают, что защитникам необходимо улучшить свою собственную автоматизацию безопасности и контекст, чтобы противостоять угрозам, связанным со скоростью машины.
3. Простои производства создают давление на бизнес, которое приводит к выплате выкупов
Кибер-злоумышленники понимают, что сбои в работе являются серьезной проблемой для обрабатывающей промышленности, и именно это делает их такой хорошей мишенью. Последующие последствия кибератаки – как это было видно только в этом году с Stryker и West Pharmaceutical Services – могут задержать производство и доставку и значительно поставить под угрозу доверие клиентов и доходы.
Такое давление на бесперебойную работу может повлиять на то, как организации производственной отрасли реагируют на переговоры о программах-вымогателях. Когда время простоя на один инцидент с программами-вымогателями в среднем составляет около 30 часов, многие руководители могут предпочесть заплатить выкуп, а не бороться с операционными последствиями.
Это становится проще, когда злоумышленники требуют более низких платежей, и новое исследование показывает, что: средние выплаты по программам-вымогателям снизились с 3,6 миллиона долларов до 2,8 миллиона долларов, но 83% жертв платят выкуп – на 18% больше, чем в прошлом году. Поскольку злоумышленники отдают предпочтение более частым и дешевым выкупам, производители становятся идеальными целями, поскольку у них часто есть стимул платить быстро.
4. Будущее производственной киберзащиты зависит от лучшего контекста
Злоумышленники движутся быстрее с помощью ИИ, используя преимущества сложных производственных операционных сред, а команды безопасности сталкиваются со значительными "слепыми зонами". В ответ многие правозащитники обратились к инструментам безопасности на базе искусственного интеллекта. Но реальность такова, что эти инструменты эффективны только тогда, когда у них есть доступ к точной информации в реальном времени о том, что происходит в их среде.
"Как Злоумышленники используют ИИ для масштабирования своих операций, защитники противостоят им автоматизированными операциями, у которых нет контекста, необходимого для принятия окончательных решений. Сеть устраняет этот критический разрыв, точно показывая, как угрозы движутся и взаимодействуют, поэтому команды безопасности имеют полную картину".
— Раджа Мукерджи, соучредитель и главный научный сотрудник ExtraHop
Без надлежащего контекста эти инструменты создают утомительную работу для групп безопасности, где им приходится тратить значительное время на изучение предупреждений, сбор данных вручную и проверку подозрительной активности. Почти 30% заявили, что оповещения, созданные искусственным интеллектом, создают ложные срабатывания, которые негативно влияют на сроки расследования.
Сеть является источником данных с высочайшей точностью для обнаружения и расследования угроз. Ее невозможно скомпрометировать или отключить, и каждый пользователь и устройство должны обмениваться данными по сети. Организации также должны составить карту зависимостей своих существующих OT-сред и объединить эту информацию с уровнем сетевого контекста в реальном времени для полной ясности в области атаки с помощью искусственного интеллекта. С помощью этого уровня команды безопасности могут гораздо лучше видеть весь трафик, отличать необычное поведение от законной активности и обнаруживать атаки по мере их развития. Операционная среда и высокие затраты, связанные с простоями, что делает его привлекательной целью для злоумышленников.
Как ИИ меняет риск программ-вымогателей?
AI расширяет количество систем, которые организации должны защищать, помогая злоумышленникам увеличить скорость и масштаб их операций.
Почему организации обнаруживают программы-вымогатели позже?
Злоумышленники все чаще используют смешанные методы в обычную деятельность, включая зашифрованную связь, действительные учетные данные и надежные рабочие процессы.
Каким приоритетам должны уделяться производители, чтобы снизить риск программ-вымогателей?
Организации должны сосредоточиться на улучшении прозрачности и ситуационной осведомленности в своих средах, чтобы выявлять угрозы до того, как произойдет кража данных или сбой в работе.
Вывод
Производители сталкиваются с новой проблемой Ландшафт угроз программ-вымогателей, где злоумышленники действуют быстрее и скрытнее, чем когда-либо прежде. Задача, которую предстоит решить, заключается не в создании непроницаемой операционной среды, а в том, чтобы перехватывать атаки до их эскалации, закрывая пробелы в видимости, которыми пользуются злоумышленники.
AI играет решающую роль в этой стратегии защиты, но только если она основана на целостном, высокоточном контексте. Организации, которые инвестируют в предоставление комплексного сетевого контекста своим инструментам искусственного интеллекта, будут иметь наилучшие возможности для более раннего обнаружения угроз, более быстрого сдерживания атак и, в конечном итоге, минимизации сбоев в работе, которые призваны вызвать современные кампании по вымогательству. Хит Маллинз — главный евангелист ExtraHop, где он возглавляет интеллектуальное лидерство и занимается пропагандой передовых решений в области кибербезопасности. До прихода в ExtraHop он работал старшим аналитиком в Forrester, консультируя предприятия из списка Global 100, федеральные агентства США, Министерство обороны и союзные правительства по вопросам стратегии кибербезопасности. Признанный голос в отрасли, Хит известен своим опытом в области нулевого доверия, киберустойчивости и обнаружения угроз для строго регулируемых организаций. ЗГ113З ЗГ114З