Бен Бернштейн, менеджер з консультантів з кібербезпеки у Huntress – серія інтерв’ю

Ben Bernstein, менеджер з консультантів з кібербезпеки в Huntress, є професіоналом у галузі кібербезпеки з більш ніж десятирічним досвідом, що охоплює технічну підтримку, адміністрування систем, успішну роботу з клієнтами, управління технічними обліковими записами та керівництво у сфері консультування з безпеки. Він розпочав кар’єру у практичних ІТ‑ролях, просуваючись від роботи в службі підтримки до адміністрування систем, а потім перейшов у управління обліковими записами та успішну роботу з клієнтами в Integris. Пізніше Бернштейн провів три роки в Red Canary, де керував відносинами з корпоративними клієнтами як технічний менеджер з обліку та старший технічний менеджер з обліку корпоративних клієнтів. З моменту приєднання до Huntress у 2024 році як засновника технічного менеджера з обліку, він просунувся у лідерстві управління технічними обліковими записами і зараз керує консультантами з кібербезпеки компанії, спираючись на поєднання технічної експертизи та досвіду взаємодії з клієнтами, щоб допомагати організаціям краще розуміти та реагувати на розвиток кіберзагроз.

Huntress — це компанія з кібербезпеки, що надає повністю керовану платформу безпеки, призначену для захисту організацій на рівні кінцевих точок, ідентичностей, журналів та користувачів. Її платформа поєднує технології, включаючи Managed Endpoint Detection and Response (EDR), Identity Threat Detection and Response (ITDR), Security Information and Event Management (SIEM) та навчання підвищенню обізнаності з безпеки, а також 24/7 AI‑центрований центр операцій безпеки (SOC), у якому працюють людські експерти з безпеки. Huntress заявляє, що її технологія наразі захищає понад 5 мільйонів кінцевих точок і 15 мільйонів ідентичностей у більш ніж 277 000 компаніях, а команда компанії здійснює виявлення загроз, розслідування, реагування та усунення від імені клієнтів.

Ви розпочали свою кар’єру у службі підтримки та адмініструванні систем, потім перейшли до управління технічними обліковими записами і, зрештою, до керівництва консультуванням з кібербезпеки в Huntress. Як ваш практичний ІТ‑досвід вплинув на те, як ви сьогодні сприймаєте безпеку, особливо коли ті ж інструменти, на які покладаються адміністратори, можуть стати точкою входу для зловмисників?

Я безмежно вдячний за свій ІТ‑досвід щодня, тепер коли працюю на спеціалізованій кібер‑стороні компанії. Це дає мені практичну перспективу. Коли ви розумієте, як працюють операційні системи, додатки та системні процеси в нормальному режимі, аномалії та загрози одразу виділяються. Мій час в ІТ також сформував мислення, орієнтоване на усунення проблем та пошук кореневих причин. Ви швидко навчаєтесь слідкувати за ланцюжком, щоб переконатися, що ви повністю охоплюєте проблему або загрозу.

Я пам’ятаю, як сильно покладався на ті самі інструменти, наприклад RMM, які сьогодні зловживають актори загроз. Розгортаючи їх сам, я повністю ціную їхню потужність як у руках ІТ‑адміністратора, так і у рук зловмисника. Оскільки RMM присутні повсюдно, це створює тиск на команди безпеки, змушуючи їх аналізувати всю активність, пов’язану з їх виконанням. Запуск RMM на машині сам по собі не є злом. Однак якщо цей RMM раптом починає завантажувати додаткові інструменти або генерувати незнайомі скрипти, це змушує захисників відмовитися від довіри до списків перевіреного ПЗ і повністю зосередитися на спостереженні за поведінкою.

ШІ часто обговорюють у контексті кібербезпеки як інструмент складних автономних атакувальників, проте наскільки його негайний вплив полягає просто у тому, що звичайні кіберзлочинці стають швидшими та більш спроможними? Чи наближаємося ми до моменту, коли відносно низькокваліфіковані атакувальники можуть проводити кампанії, які раніше вимагали значно глибшої технічної експертизи?

Зараз багато паніки навколо автономних систем хакерства на базі ШІ, але реальність така, що це не нова майстерність. Ці моделі не проникають у мережі, використовуючи надскладні техніки. Вони роблять саме те, що протягом років робили людські \”скрипт‑кідді\”, скануючи інтернет‑виставлені, незапатчені та неправильно налаштовані ресурси. Це привертає увагу, бо фраза \”автономний ШІ\” звучить страшно або сексуально, залежно від того, кого запитати, проте фактична механіка цих атак проста.

Справжня проблема полягає в тому, що ШІ знижує бар’єр входу для кіберзлочинців. Зловмисники можуть автоматизувати рутинні частини експлойту і масштабувати свої операції без глибоких технічних знань. Це дозволяє низькокваліфікованим атакувальникам проводити кампанії набагато швидше, що створює великий тиск на бізнес. Ви більше не можете встановити інструмент безпеки і просто його забути. Організації мають припускати, що їхні мережі постійно скануються.

Huntress спостерігала, як зловмисники використовують скрипти‑інфостілери, згенеровані LLM, під час вторгнень через RMM. Що це говорить нам про те, як генеративний ШІ змінює економіку та доступність кіберзлочинності?

Це показує, що генеративний ШІ спрощує операційні витрати кіберзлочинності. Написання скрипту‑інфостілера не є новою технічною задачею, проте традиційно це вимагало багато часу розробників або придбання спеціалізованих інструментів на підпільних форумах. Використовуючи LLM у мережі жертви, зловмисники можуть генерувати функціональні, індивідуальні скрипти за запитом, замість того щоб покладатися на готове шкідливе ПЗ.

Хоча доступ до цих моделей все ще потребує певних витрат, бар’єр входу нижчий, ніж будь‑коли. Ми часто бачимо, як середні атакувальники використовують ці інструменти, щоб працювати швидше та усувати ручні завдання кодування. Це фундаментально змінює економіку атаки, роблячи фазу виконання надзвичайно доступною, дозволяючи менш досвідченим акторів масштабувати свої операції без потреби в глибоких технічних знаннях.

Huntress повідомила про 277% річне зростання зловживань інструментами віддаленого моніторингу та управління. Чому легітимні платформи RMM стали таким привабливим варіантом замість власного шкідливого ПЗ, і які переваги вони дають атакувальникам після отримання доступу?

У RMM‑інструментів немає нічого вроджено злого. Вони виконують важливу функцію, допомагаючи ІТ‑адміністраторам та MSP ефективно працювати та підтримувати користувачів. Проблема полягає в тому, що власне шкідливе ПЗ позначається традиційним антивірусним програмним забезпеченням, тоді як RMM‑інструменти підписані, довірені та обходять стандартні засоби безпеки. Ще краще для атакувальника те, що агенти RMM зазвичай працюють з підвищеними правами адміністратора і забезпечують вбудовану стійкість, тобто залишаються активними після перезавантаження системи без додаткових зусиль для збереження доступу.

Як тільки атакувальник запускає власного агента RMM на цільовій машині, у нього фактично з’являється консоль віддаленого керування. Він може безперешкодно передавати файли туди й назад і часто заздалегідь налаштовує свій екземпляр RMM з шкідливими скриптами та інструментами, готовими до виконання на кінцевих точках одним кліком. Оскільки саме застосування є легітимним, захисники не можуть просто заблокувати інструмент. Це змушує команди безпеки перестати покладатися на списки довіреного ПЗ і зосередитися на спостереженні за поведінкою, що робить 24/7 моніторинг необхідним, якщо ви хочете спіймати атакувальника, який зловживає адміністративним програмним забезпеченням.

Одна техніка, яку задокументувала Huntress, — це «ланцюжок» кількох інструментів RMM, що розбиває телеметрію та створює надлишковий доступ. Чи можете ви пояснити, як зазвичай розгортається така інфільтрація і чому захисникам так важко розпізнати, що відбувається?

Ось один особливо цікавий приклад, який ми виявили і написали про нього блог . Інфільтрація розпочалася з фішингового листа, що використовував підроблену ділову пропозицію, наприклад \”Network Solutions Agreement\”. Жертва клікнула посилання в листі, потрапила на сторінку, захищену підробленою CAPTCHA, і завантажила те, що, на її думку, був звичайний PDF або сервісний документ. На справді це був виконуваний інсталятор. Коли користувач двічі клацнув файл, щоб відкрити угоду, він безшумно встановив легітимний, але несанкціонований інструмент віддаленого доступу під назвою Tiflux RMM.

Як тільки зловмисник запустив початковий агент Tiflux, він одразу використав його вбудовані можливості, щоб розгорнути та підвантажити додаткові інструменти, такі як Splashtop, ScreenConnect та UltraVNC, на ту саму машину. Важливо зазначити, що усі вони також є легітимними інструментами RMM.

Атакувники роблять це, щоб забезпечити надпостійність. Вони знають, що якщо ІТ‑адміністратор виявить один несанкціонований віддалений інструмент і видалить його, у зловмисника все одно залишаться два‑три інші активні бекдори. Ця тактика розбиває телеметрію. Платформи безпеки просто бачать окремі підписані адміністративні застосунки, що працюють одночасно і «дзвонять додому» до легітимної інфраструктури постачальника. Якщо захисник не відстежує цю активність і не запитує, чому один кінцевий пристрій раптом потребує кількох різних агентів віддаленого управління, встановлених в один і той же день, це просто зливається з шумом рутинного ІТ‑обслуговування.

Окрім цілодобового моніторингу поведінки, іншим ефективним контролем у цьому випадку є управління станом безпеки кінцевих точок та контроль застосунків. Якщо організація чітко визначає, які саме варіанти RMM дозволені для запуску на їхніх машинах, вона може повністю заборонити виконання несанкціонованих інструментів, зупиняючи ланцюжок ще до його початку.

Традиційні моделі безпеки часто розрізняють довірене та недовірене програмне забезпечення, але атаки RMM використовують інструменти, які можуть бути легітимними, підписаними та вже схваленими ІТ. Чи означає це, що захисникам слід відмовитися від питання «чи є застосунок довіреним» і зосередитися натомість на тому, чи довірена його поведінка?

Так, звичайно. Традиційна модель довіри до бінарних файлів зламана. Підписання бінарних файлів було створене для підтвердження, що застосунок походить від легітимного постачальника, а не для гарантії безпечності його дій.

Якщо атакувальник використовує підписаний бінарний файл RMM або утиліту «living‑off‑the‑land», сам виконуваний файл чистий, але активність за ним є шкідливою. Захисникам потрібно перестати задавати питання «Чи є цей файл довіреним?», а почати зосереджуватись на тому, чи його поведінка відповідає контексту. Запуск RMM на машині сам по собі не є вродженим злом. Однак якщо цей інструмент раптом починає встановлювати додаткові утиліти, створювати незнайомі скрипти або виконуватись о 2:00 ранку під обліковим записом служби, це є індикатором компрометації. Контекст і поведінка завжди мали значення, а коли атакувальники так сильно покладаються на довірене ПЗ, вони важливі зараз більше, ніж будь‑коли.

Оскільки ШІ стискає час між виявленням уразливості чи конфігураційного прогалину та їх експлуатацією, як це змінює роль управління станом безпеки? Які вразливості ідентифікації, кінцевих точок та віддаленого доступу організації мають пріоритетизувати, перш ніж у атакувальників з’явиться можливість їх використати?

Управління станом безпеки зараз важливіше, ніж будь‑коли, оскільки воно допомагає організаціям проактивно усувати поширені прогалини безпеки, які зловмисники експлуатують щодня. Воно доповнює виявлення та реагування, постійно ідентифікуючи та усуваючи такі проблеми, як неправильні налаштування, надмірні дозволи, неавторизовані застосунки та інші вразливості на кінцевих точках та ідентичностях. Коли вікно між розкриттям вразливості та автоматичним скануванням скорочується до кількох годин, зменшення цих прогалин до їх експлуатації стає критичним. Організаціям потрібно підтримувати послідовний, зміцнений стан у всіх середовищах, щоб знизити кількість інцидентів і обмежити те, до чого може дістатися зловмисник, якщо він прорветься всередину.

Хоча майже кожен постачальник кіберпродуктів охоче “освітлює” (або лякає) публіку щодо будь‑якої загрози чи сфери безпеки, для якої він пропонує рішення, реальний список пріоритетів — це те, на що може відповісти лише кожна окрема організація. Кожний бізнес цінує різні складові триади CIA, і у кожної компанії чутливі дані зберігаються або доступні в різних місцях. Справжня порада, яку більшості компаній потрібно почути, — це оцінити, які дані, активи чи виробничі системи є найкритичнішими для їхньої діяльності, а потім, виходячи з цього, захистити саме те, що має найбільше значення.

Зростає стурбованість щодо того, що агенти ШІ з часом будуть виконувати значну частину життєвого циклу атаки автономно. Які можливості мають покращитися, перш ніж автономні кібератаки стануть суттєво небезпечнішими, ніж сьогоднішні атаки за підтримки ШІ, і чи достатньо швидко готуються захисники?

Турбота щодо автономних агентів натякає, що це майбутня проблема, проте ми вже спостерігаємо їхні атаки сьогодні. Однак ці автономні атаки далекі від досконалості. Погляньте на нещодавню кампанію викупного ПЗ JadePuffer. Вона була повністю керована агентом ШІ, але зробила явні помилки. Модель «галюцила» частини операції, зокрема вигадала підроблену адресу Bitcoin‑гаманця для вимоги викупу. Ще більш абсурдно, ШІ забув зберегти або передати ключ шифрування. Він просто вивів випадково згенерований ключ у тимчасовий консольний вивід і закрив сеанс, що зробило математично неможливим для жертви відновити дані, навіть якщо вона заплатить.

Реальність полягає в тому, що з точки зору тактик, технік і процедур автономний ШІ, автоматизовані скрипти та людські зловмисники роблять саме те ж саме. Вони й надалі експлуатують однакові типи інтернет‑виставлених, вразливих і неправильно налаштованих ресурсів. ШІ все ще проходить стандартний ланцюжок вбивства. Він все ще має отримати початковий доступ, підвищити привілеї, переміститися горизонтально та виконати корисне навантаження. У випадку JadePuffer він просто використав відому, не виправлену вразливість, щоб отримати вхід, а потім крок за кроком просувався по мережі.

Оскільки основні механізми атаки не змінилися, захисникам не потрібно викидати свій поточний план дій. Потрібна багаторівнева безпека, базова ІТ‑гігієна та потужне виявлення поведінкових аномалій. Змінюються лише тиск і швидкість, з якими захисники мають обробляти події та сортувати тривоги. Коли агент ШІ робить помилку, читає журнал помилок і самостійно виправляє її за секунди, захисники просто повинні пристосуватися до швидкості, з якою зараз рухаються кібератаки.

Зловмисники впроваджують ШІ, але захисники мають доступ до багатьох тих самих технологій. Де, на вашу думку, ШІ забезпечує найбільшу оборонну перевагу: у виявленні незвичної поведінки, аналізі телеметрії, пріоритезації вразливостей, автоматизації реагування чи зовсім в іншій сфері?

По‑перше, це надзвичайно ефективно для кореляції команди синього щита. У команд безпеки немає проблеми з даними; у них проблема шуму. ШІ надзвичайно корисний для витягування голок з копиці сіна, об’єднання розрознованих, здавалося б, несуміжних подій і склеювання їх у повну історію вторгнення.

По‑друге, ШІ робить для захисників те саме, що робить для зловмисників, заповнюючи прогалину навичок. Коли молодший аналітик SOC стикається з сильно зашифрованим скриптом або складним сповіщенням, він може використати LLM, щоб миттєво перекласти ці дані на просту мову. Це усуває ручну важку роботу з реверс‑інжинірингу та дозволяє захисникам швидше сортувати та реагувати.

Нарешті, дивлячись за межі реактивного захисту, існує величезна можливість для червоних та пурпурових команд використовувати ШІ для проактивного тестування та валідації захисту. Повністю охоплені, керовані людьми пентести залишаються обов’язковими. Однак ШІ знижує технічний поріг для проведення менших, атомарних тестів, які перевіряють різні шари в стеку безпеки. Замість того, щоб чекати щорічного пентесту або тримати пальці схрещеними, коли з’являється реальна органічна загроза, організації можуть використовувати ШІ для безпечного та частого тестування власних середовищ, щоб побачити, що саме зламається.

Дивлячись у майбутнє, чи очікуєте ви, що індустрія кібербезпеки перейде в середовище, де як зловмисники, так і захисники все більше працюватимуть через автономні агенти? Якщо так, що в кінцевому підсумку визначить, хто матиме перевагу, коли машини з обох сторін можуть виявляти та реагувати на загрози зі швидкістю машин?

ШІ безсумнівно змінює підпільну економіку. Темний ринок кібершахрайства як сервіс процвітав, продаючи шкідливе ПЗ та скрипти, оскільки їх створення традиційно вимагало спеціалізованих навичок розробників. ШІ змінює доступність і економіку цієї екосистеми, дозволяючи операторам із нижчим рівнем навичок генерувати власні інструменти за запитом. Це, ймовірно, закриє двері багатьом традиційним постачальникам готового шкідливого ПЗ. Навіщо загрозовому актору платити за загальне готове шкідливе ПЗ на підпільному форумі, коли він може просто підказати LLM створити індивідуальний інструмент за запитом?

Коли обидві сторони озброєні ШІ, перевага зводиться до інфраструктури, налаштувань і контролю. Це битва за те, хто має більший обчислювальний бюджет (хто має більше токенів для спалювання) і хто має краще налаштовану модель. Для загрозових акторів випробуванням є те, чи їх ШІ може ітеративно усувати проблеми, читати журнали помилок і відповідно переключатися, коли експлойт не вдається. Для захисників випробуванням є те, чи ваші детектори дійсно налаштовані і чи ваші конвеєри даних правильно підключені, щоб у реальному часі подавати ШІ потрібну телеметрію. Але, що важливіше, усе залежить від того, чи є у вас людські експерти з бізнес‑контекстом у процесі, які можуть приймати критичні рішення, наприклад, інтерпретувати аналіз ШІ інциденту і вирішувати, чи ізолювати скомпрометований комп’ютер, чи вимкнути виробничу систему для нейтралізації загрози.

Зрештою, ШІ не змінює фундаментальні принципи безпеки. Найкраще успішними будуть ті компанії, які продовжуватимуть правильно виконувати дрібні речі. Це зводиться до зменшення вашої поверхні атаки, виправлення вразливостей, посилення конфігурацій, цілодобового моніторингу, припущення компрометації та проактивного регулярного тестування захисту. ШІ — лише прискорювач. Той, хто швидше і послідовніше виконує базові завдання, виграє.

Дякуємо за чудове інтерв’ю, читачі, які хочуть дізнатися більше, повинні відвідати Huntress.