Почему привычные барьеры перестают работать

Цифровизация экономики, госуправления и повседневной жизни повышает цену любого сбоя. Как отметил первый заместитель председателя комитета Госдумы по цифровому развитию и искусственному интеллекту Антон Немкин, традиционных подходов к защите цифровых систем уже недостаточно: нельзя пассивно ждать, пока уязвимость найдут злоумышленники, — сценарии атак нужно моделировать заранее и регулярно проверять инфраструктуру 1.

Этот тезис подкрепляют данные регуляторов. По словам представителя Национального координационного центра по компьютерным инцидентам (НКЦКИ) Ивана Минаева, более 90% реализованных кибератак — это простое проникновение с самыми базовыми способами входа, а целевые многофакторные атаки составляют лишь несколько процентов 3. При этом защищённость критической информационной инфраструктуры (КИИ) в России растёт, но отстаёт от возможностей атакующих 3.

В академической литературе также фиксируется сдвиг: современные атаки усложняются, а классические средства защиты оказываются неэффективны против новых, ранее неизвестных угроз, поэтому возникают запросы на более гибкие интеллектуальные системы кибербезопасности 5.

Машинное обучение в обнаружении атак

Один из ответов на этот вызов — применение методов машинного обучения (МО) для выявления криптографических атак и анализа уязвимостей. Систематический обзор, опубликованный в журнале Big Data Mining and Analytics, обобщает 24 рецензируемых исследования и оценивает модели Naïve Bayes, деревья решений C4.5, случайный лес, метод k ближайших соседей, опорные векторы, свёрточные нейронные сети и гибридные схемы с оптимизацией роем частиц 2.

Согласно обзору, случайный лес и деревья решений стабильно показывали высокую точность обнаружения — в отдельных работах до 99,9%, особенно при выявлении атак перебором и распределённых атак типа «отказ в обслуживании» (DDoS) 2. Гибридные подходы, например сочетание оптимизации роем частиц с нейронными сетями или случайным лесом, улучшали точность классификации и полноту 2. Авторы подчёркивают компромисс между скоростью обнаружения и точностью и отмечают, что большинство оценок проводилось в симулированных средах 2.

Отдельное направление — интеллектуальные методы защиты КИИ, включая финансовый сектор. Обзорная работа в журнале «Вопросы безопасности» анализирует применение искусственного интеллекта и МО и выделяет нерешённые задачи: устойчивость интеллектуальных систем к атакам, активное онлайн-обучение, федеративную обработку данных и дифференциальную приватность 5.

Что показывают проверки и как измерять защищённость

Практика регуляторов даёт более приземлённую картину. Федеральная служба по техническому и экспортному контролю (ФСТЭК) с 2024 по 2026 год проверила две тысячи значимых объектов КИИ и выявила 2141 нарушение; в 2026 году зафиксировано 593 нарушения — меньше, чем годом ранее 3. Нарушения типовые: не проводится анализ защищённости, используются несертифицированные средства, отсутствует контроль действий администраторов, не выполняются внешние и внутренние аудиты 3. В 30% случаев компании не исполняют меры по итогам анализа угроз 3.

Для оценки эффективности киберзащиты у ФСТЭК есть два показателя: минимальный уровень защищённости от типовых угроз, рассчитываемый по 16 индикаторам на основе данных о прошлых атаках, и показатель зрелости киберзащиты по утверждённой в 2026 году методике 3.

Проблема измерения обсуждалась и на международной сессии с участием экспертов России, Сербии и Республики Сербской. Участники отметили, что глобальные индексы NCSI и Global Cybersecurity Index часто фиксируют наличие законодательства и органов, но хуже отвечают на вопрос, насколько страна реально выдерживает атаки 4. В качестве практических метрик предлагалось учитывать долю успешных атак, масштаб ущерба, время обнаружения и локализации инцидента, время восстановления критических сервисов 4.

Человеческий фактор и организационные пробелы

Даже продвинутые технологии не отменяют базовых организационных требований. По наблюдениям основателя компании «Киберразведка» Антона Белоусова, около 10% сотрудников переходят по ссылкам в фишинговых сообщениях, а примерно 5% совершают потенциально опасные действия — скачивают и запускают файлы или вводят учётные данные на подозрительных страницах 4. Регулярные учебные симуляции фишинга помогают проверить реакцию персонала и скорректировать обучение 4.

Эксперты также указывают на необходимость готовить квалифицированных специалистов и совершенствовать правовые условия для исследователей уязвимостей, чтобы тестирование систем было легальным и ответственным, а найденные проблемы устранялись оперативно 1.

Ограничения и что важно учитывать

Во-первых, большинство оценок моделей МО в обзоре проводилось в симулированных условиях, а не на реальных промышленных системах, поэтому переносить показатели точности напрямую на практику следует осторожно 2. Во-вторых, данные о нарушениях ФСТЭК охватывают проверенные значимые объекты КИИ и не описывают всю совокупность организаций 3. В-третьих, метрики риска, предложенные частной компанией, отражают её собственную методику и не являются официальной статистикой 4. Наконец, интеллектуальные системы защиты сами нуждаются в доверии и устойчивости к атакам, а вопросы интерпретируемости и защищённости таких моделей остаются открытыми 5.

Что дальше

Повестка движется в сторону проактивности: моделирование атак, регулярные проверки инфраструктуры и устранение проблем до инцидента 1. Параллельно развиваются гибридные методы МО для обнаружения атак и интеллектуальные системы защиты КИИ, включая финансовый сектор 2, 5. Для исследователей и практиков ключевыми остаются задачи сравнения моделей на реальных данных, повышения устойчивости и интерпретируемости интеллектуальных средств защиты, а также перехода от формальных рейтингов к измеримым показателям киберустойчивости 4, 5.