Nuspire, поставщик управляемых услуг безопасности, опубликовала квартальный отчёт об угрозах за второй квартал 2022 года. Главные выводы: активность вредоносного ПО выросла более чем на 25%, количество ботнет-событий удвоилось, а активность эксплойтов выросла почти на 150%. Удалённая работа названа одним из факторов.

Разберём, что стоит за цифрами, почему Log4j до сих пор влияет на статистику и как защищать сети.

Что такое ботнет

Ботнет — сеть заражённых устройств, управляемых злоумышленником. Это могут быть компьютеры, серверы, роутеры и камеры. Боты получают команды и выполняют задачи: рассылают спам, участвуют в DDoS, подбирают пароли, распространяют вредоносное ПО.

Рост активности ботнетов означает, что больше устройств заражено и чаще используются для атак. Для владельца сети это риск: трафик с его адресов может попасть в блок-листы.

# проверить подозрительные соединения
ss -tunp | head -30
# посмотреть топ удалённых адресов
ss -tn state established | awk '{print $5}' | cut -d: -f1 | sort | uniq -c | sort -rn | head

Почему эксплойты выросли

Отчёт связывает рост с Log4j. Уязвимость Log4Shell (CVE-2021-44228) позволяет выполнить код через журналирование специально созданной строки. Она затрагивает множество Java-приложений и до сих пор встречается в необновлённых системах.

Автоматические сканеры находят уязвимые сервисы и пытаются эксплуатировать их круглосуточно. Организации, которые не обновили зависимости, остаются целями.

# найти уязвимые версии log4j в файлах (пример)
find / -name "log4j-core*.jar" 2>/dev/null | head -20
# проверить версии
unzip -p path/to/log4j-core.jar META-INF/MANIFEST.MF | grep -i version

Для Java-приложений важно обновлять не только сервер, но и встроенные библиотеки. Иногда log4j поставляется внутри другого продукта.

Удалённая работа и периметр

Когда сотрудники работают из дома, корпоративный периметр размывается. Домашние роутеры, VPN, личные устройства — всё это расширяет поверхность атаки. Злоумышленники используют слабые пароли, устаревшие прошивки и фишинг.

Nuspire отмечает, что удалённая работа сыграла важную роль в эскалации. Это не значит, что удалёнка «плохая»; это значит, что модели безопасности нужно адаптировать.

# проверить VPN-подключения и правила файрвола
sudo wg show 2>/dev/null
sudo ufw status verbose
# посмотреть журналы входов
journalctl -u ssh -b | grep -i "failed" | tail -20

Что делать организациям

  1. Инвентаризируйте активы: серверы, устройства, приложения.
  2. Обновляйте ПО и зависимости, особенно интернет-доступные.
  3. Закройте лишние порты и ограничьте доступ по IP.
  4. Включите многофакторную аутентификацию.
  5. Настройте мониторинг и оповещения об аномалиях.
  6. Обучайте сотрудников фишингу.
  7. Имейте план реагирования и резервные копии.
# базовая проверка поверхности атаки
sudo ss -tulpn
sudo nmap -sT -p- --min-rate 1000 127.0.0.1 2>/dev/null | head
# список запущенных сервисов
systemctl list-units --type=service --state=running | head -30

Не полагайтесь на «мы маленькие, нас не заметят». Автоматические сканеры не различают размер компании.

Домашние устройства

Роутеры и IoT-устройства часто остаются с заводскими паролями и без обновлений. Ботнеты вроде Mirai используют именно такие цели. Проверьте прошивку, смените пароли и отключите удалённое управление.

# проверить, какие устройства в сети (пример с arp)
ip neigh
# сканировать домашнюю сеть осторожно
nmap -sn 192.168.1.0/24 2>/dev/null | head -30

Изолируйте IoT в отдельную сеть или VLAN. Если камера заразится, она не получит доступ к компьютерам.

Метрики и отчётность

Цифры отчёта полезны как тренд, но не как абсолют. Разные вендоры считают события по-разному. Смотрите на динамику в своей инфраструктуре: число заблокированных атак, попытки входа, подозрительные соединения.

# пример анализа журналов nginx
awk '{print $1}' /var/log/nginx/access.log | sort | uniq -c | sort -rn | head -20
# топ URL
awk '{print $7}' /var/log/nginx/access.log | sort | uniq -c | sort -rn | head -20

Настройте централизованный сбор логов. Без него вы видите только фрагменты.

Реагирование на заражение

Если устройство в вашей сети стало ботом, изолируйте его, сохраните образ и логи, переустановите систему. Не пытайтесь «вылечить» заражённый сервер удалением одного файла: злоумышленник мог оставить несколько точек входа.

# изолировать интерфейс
sudo ip link set eth0 down
# сохранить логи
tar -czf /root/incident-$(date +%F).tar.gz /var/log /etc
# проверить автозапуск
systemctl list-unit-files --state=enabled | head -30
crontab -l

После восстановления смените все пароли и ключи, которые были на машине.

Долгосрочная стратегия

Ботнеты не исчезнут. Единственный устойчивый подход — снижать поверхность атаки и время реакции. Автоматизируйте обновления, сегментируйте сети, используйте EDR и мониторинг.

Для небольших организаций это может быть сложно, но базовые меры — MFA, обновления, резервные копии, ограничение портов — дают наибольший эффект при минимальных затратах.

# проверить автоматические обновления безопасности
systemctl status unattended-upgrades --no-pager 2>/dev/null | head
cat /etc/apt/apt.conf.d/20auto-upgrades 2>/dev/null

Что делать малому бизнесу

Начните с трёх вещей: обновления, MFA и резервные копии. Затем закройте доступ к панелям управления из интернета и настройте оповещения о входах. Этого достаточно, чтобы отсечь большинство автоматических атак.

Итог

Отчёт Nuspire фиксирует рост вредоносного ПО на 25%, удвоение ботнет-активности и рост эксплойтов почти на 150%. Log4j и удалённая работа усиливают риск. Защита строится на инвентаризации, обновлениях, MFA, сегментации и мониторинге. Не игнорируйте домашние устройства и IoT: они часто становятся частью ботнета.

Насколько публикация полезна?

Нажмите на звезду, чтобы оценить!

Средняя оценка 0 / 5. Количество оценок: 0

Оценок пока нет. Поставьте оценку первым.

Поделиться: Telegram ВКонтакте