За лаштунками SOC: як ШІ посилює захист DNS від програм-вимагачів

За матеріалами Білла Спрая (Bill Spry), blogs.cisco.com

У сучасному центрі оперативної безпеки (Security Operations Center, SOC) найбільша проблема — не брак даних, а недостатній їх аналіз. Аналітики часто потопають у потоках телеметричних даних, намагаючись відрізнити дії зловмисника, який маскується у звичайному трафіку, від шуму глобальної мережі.

Проблему ускладнює те, що чимало традиційних засобів безпеки намагаються запобігти загрозам на основі того, що вже потрапило в поле їхнього зору, а не того, що потенційно може статися.

Команди SOC щодня стикаються з чималою кількістю викликів під час багатоетапних атак програм-вимагачів. Водночас аналітик ці події часто сприймає як фрагментарні. Якщо SOC не налаштований на розуміння шаблонів загроз, вони з’являються як одиничні сповіщення на окремих інформаційних панелях, змушуючи людину вручну з’єднувати показники «хто», «що» і «де».

У Cisco вважають, що безпека повинна виходити за межі простого контролю: системи мають розуміти поточну ситуацію та прогнозувати майбутні дії зловмисників. Задля цього вендор випустив нову платформу захисту DNS на базі штучного інтелекту, доступну в рамках Cisco Secure Access та засновану на аналітиці Cisco Talos. Завдяки алгоритмам, що підтримуються штучним інтелектом, платформа додає до DNS новий прогностичний рівень захисту.

Ці нові можливості заповнюють прогалину між тим, як користувачі підключаються до мережі, й тим, як мережа забезпечує проактивний, інтелектуальний захист.

Новий стандарт захисту
Перехід від ручного зведення журналів до автоматизованого блокування загроз змінює динаміку роботи SOC — і все це завдяки новій платформі Cisco

Розгляньмо процеси, які відбуваються під час атаки програм-вимагачів. Зосередимося на ролі, яку загрози на основі DNS відіграють у таких процесах, як доставка шкідливого програмного забезпечення, викрадення даних, тунелювання DNS, комунікації типу «команда-контроль» (command-and-control, C2) і доступ до фішингових доменів.

Як Cisco перериває життєвий цикл програм-вимагачів (з акцентом на DNS)

Cisco Talos DNS Security (повністю інтегрований у Cisco Secure Access) виявляє замасковані дані, приховані в пакетах DNS. Штучний інтелект допомагає проактивно ідентифікувати та прогнозувати шкідливі домени, зокрема аналізує алгоритми генерації доменів (DGA). Так загрози зупиняються ще до того, як вплинуть на організацію.

Прогнозна аналітику від Cisco Talos, вбудована безпосередньо в Secure Access, допомагає перешкоджати роботі зловмисників на кількох критичних етапах атаки ransomware:

1. Початковий доступ. Програми-вимагачі можуть проникнути через кілька каналів — від шкідливих посилань (фішинг — досі найпоширеніший канал проникнення, він фігурував у 40% випадків реагування на інциденти Cisco Talos у 2025 році) і прихованих завантажень до вразливостей, що експлуатуються. Cisco Secure Access використовує аналітику Talos DNS Security, щоб аналізувати наміри кожного пункту призначення та проактивно блокувати з'єднання зі шкідливими сайтами, серверами доставки шкідливого програмного забезпечення та підозрілою інфраструктурою.
2. Блокування з’єднань C2. Після потрапляння на пристрій шкідливе програмне забезпечення має встановити канал управління (C2), щоб отримати свої ключі шифрування. Завдяки Talos DNS Security спеціально розроблені моделі машинного навчання виявляють унікальну «лексичну структуру» доменів, згенерованих за допомогою алгоритмів (DGA), які використовують зловмисники. Виявляючи ці штучно створені шаблони, система блокує канал зв’язку на самому початку, унеможливлюючи атаку зловмисника.
3. Запобігання горизонтальному переміщенню (lateral movement). Cisco Hybrid Mesh Firewall використовує аналітичні дані від Talos у режимі реального часу і в такий спосіб розпізнає «відбиток» активного вторгнення. Якщо скомпрометований пристрій намагається сканувати мережу або переміщатися в бік серверів з конфіденційними даними, міжмережевий екран використовує правила SNORT®, розроблені Talos, для виявлення експлойтів, а також Encrypted Visibility Engine (EVE) для виявлення зловмисної активності — навіть у зашифрованому трафіку. Міжмережевий екран поєднує можливості детального виявлення з суворими політиками сегментації, утримуючи загрозу у «віртуальній клітці» та забезпечуючи багаторівневий захист у всьому середовищі організації.
4. Виявлення та запобігання витоку даних. Ще до початку шифрування зловмисники можуть спробувати викрасти дані за допомогою прихованого тунелювання DNS. Нейронні мережі, вбудовані в Talos DNS Security, здатні виявляти та блокувати такі загрози, аналізуючи структуру доменних імен і поведінкові шаблони в DNS-запитах. За допомогою Cisco Secure Access підозрілі запити блокуються на рівні сервера доменних імен (DNS resolver), що не дає даним залишити мережу та забезпечує захист конфіденційної інформації.

В результаті команда з безпеки замість того, щоб вивчати окремі сповіщення, які можуть не вказувати на безпосередню загрозу атаки, отримує уніфіковану, прогнозну оборону. Рішення Cisco зменшують навантаження на аналітиків і допомагають зупинити здирницьке ПЗ, перш ніж воно порушить роботу організації.

Погляд із SOC-центру

На панелі інструментів аналітика раптово з’являється попередження: різке зростання кількості DNS-запитів до підозрілих доменів. Функція прогнозного блокування Talos DNS Security у складі Cisco Secure Access зупиняє ці домени ще до того, як активність пошириться — і це дає змогу ІБ-спеціалісту зосередитися на реальних загрозах, а не на шумі.

Під час розслідування аналітичний модуль Secure Access надає детальні діаграми з вбудованими «профілями зрізів», що генерують контекстний знімок того, які клієнти, піддомени та протоколи викликали кожен сплеск активності. Фахівець може швидко побачити тенденцію, зрозуміти точні джерела та поведінку, що стоять за нею, і намітити потенційну атаку програм-вимагачів.

Незабаром ІБ-аналітик бачить, що Secure Access позначає домени з високими показниками лексичного ризику та скоординованою клієнтською активністю — класичні ознаки спроби C2 на основі DGA. Secure Access негайно блокує ці домени, перекриваючи канали зв’язку зловмисників, перш ніж вони зможуть закріпитися.

Новий стандарт захисту

Коли засоби безпеки уможливлюють перехід від ручного зведення журналів до автоматизованої нейтралізації загроз, динаміка роботи SOC змінюється:

• Від сортування сповіщень до контекстного розслідування: замість того, щоб вручну узгоджувати DNS-запит з журналом міжмережевого екрана, спільна аналітична інформація надає повну, попередньо скорельовану картину подій. Коли спрацьовує сповіщення, аналітики отримують інформацію про «хто», «що» і «де» уже у зв’язку з подією.
• Від Whack-a-Mole до блокування кампаній: оскільки продукти Cisco Security мають інтегровану інформацію Talos, замість того, щоб блокувати окремі IP-адреси, виникає можливість блокувати цілі інфраструктури кампаній. Коли виявляється фішингова приманка або канал C2 на основі DGA, заходи застосовуються по всій мережі, що не дає зловмиснику просто перейти в іншу частину мережі організації

У мить, коли зловмисники для ransomware-атаки активно застосовують тактики приховування та порушення захисту, ця інтеграція гарантує, що стек безпеки діє як цілісна й злагоджена система. Це уніфікований захист, який обмінюється контекстом між усіма рівнями — хмарою, філіями та центром обробки даних, — щоб зупиняти загрози швидко та масштабно.

Дізнайтеся більше про те, як Talos забезпечує роботу платформи Cisco Security, у офіційного дистриб'ютора Cisco в Україні — компанії Мегатрейд: cisco@megatrade.ua, (044) 538-00-06

Webex Calling Hybrid: оптимальний шлях до інтеграції хмарних технологій у Cisco UCM

Бездротова магістральна мережа замість оптики: три сценарії використання