О характеристиках нового продукта, основных вызовах в ИБ и хакерских атаках «со звездочкой», с которыми приходится справляться на киберполигоне, в эксклюзивном интервью SecPost рассказал после презентации Ampire Cloud директор по развитию бизнеса «Перспективного мониторинга» Сергей Нейгер.
Компания «Перспективный мониторинг» 14 октября на собственной конференции Ampire 360° презентовала новый продукт — онлайн-платформу индивидуальных тренировок Ampire Cloud для физических лиц. Теперь тренировки на Ampire доступны каждому специалисту по информационной безопасности.
Как возникла идея разработки Ampire Cloud? Какие проблемы вы хотели решить с его помощью?
— Киберполигон Ampire появился на рынке в 2018 году. Мы задумывали его как площадку, на которой смогут тренироваться специалисты по информационной безопасности. В то время в России и за рубежом было представлено достаточно много решений для тренировки в области Offensive Security, а вот таких площадок, где может тренироваться защищающая сторона, было гораздо меньше.
Мы как вендор постоянно сопровождаем заказчика в работе с киберполигоном, а также проводим публичные киберучения на конференциях и на собственных мероприятиях. Благодаря этому мы получаем много обратной связи, и один из самых частых вопросов — «А где можно позаниматься?».
Раньше у физических лиц не было возможности самостоятельно заниматься на киберполигоне, это можно было сделать только в организации, в которой есть Ampire, например, в вузе. Поэтому мы постоянно получали запросы на индивидуальную самоподготовку и решили на них ответить. Ampire on-premise по-прежнему доступен и поставляется заказчикам как коробочный продукт. Но теперь стал доступен ещё один вариант Ampire, на котором могут заниматься все в любое удобное время.
Ampire Cloud — киберполигон именно для физических лиц. Юридическое лицо тоже может приобрести доступ, оплатив его для своих сотрудников, но учётная запись в Ampire Cloud привязана к конкретному человеку, который в любой момент может залогиниться, создать себе тренировку и начать заниматься.
Какие возможности есть в Ampire Cloud в настоящий момент?
— В Ampire Cloud можно самостоятельно тренироваться и контролировать свой прогресс. Сейчас доступен формат киберучений CSIRT, это полный цикл работы с кибератакой — детектирование, расследование и реагирование. В киберполигон встроены средства защиты информации и специализированные утилиты, доступно заполнение карточек инцидентов по форме НКЦКИ. При этом пользователь может сам регулировать сложность сценариев, то есть тренироваться на Ampire Cloud могут как студенты, так и действующие специалисты по информационной безопасности, в том числе сотрудники организаций КИИ.
А видите ли вы потенциальные риски для продукта из-за того, что человек пользуется личной техникой? Она же не всегда имеет достаточную степень защиты.
— Риски всегда есть ровно те же, которые есть у любых доступных из Интернета публичных сервисов. У нас достаточно опыта разработки, публикации и поддержки приложений и очень сильная команда пентестеров, которая перед выводом на рынок проверила Ampire Cloud на устойчивость к кибератакам. Мы защищаем Ampire Cloud ещё одним продуктом нашей собственной разработки — AML Web Protection.
Защиту от каких киберугроз и потенциальных атак сможет натренировать пользователь в домашней обстановке?
— Сейчас в Ampire Cloud доступна достаточно большая библиотека уязвимых узлов, которые есть в конфигураторе. В частности, атаки на веб, попытки эксплуатации на внешнем периметре, попытки эксплуатации программного обеспечения, используемого внутри инфраструктуры — всего 35 уязвимых узлов и 230 актуальных уязвимостей и последствий атак. Уже со старта Ampire Cloud покрывает почти все тактики и большое количество техник MITRE ATT&CK, все атаки по OWASP 2025. Поэтому пользователь знакомится с большим набором различных кибератак.
Какие этапы подготовки специалистов для ИБ вы охватываете? Специалистов какого профиля готовите?
— Изначально Ampire предназначался для действующих специалистов по информационной безопасности. Формат Blue Team построен по тому же принципу, что и работа SOC — первая линия мониторит, вторая линия реагирует. Потом добавились форматы Red Team, Red Team Labs (чтобы «вкатиться» в OffSec), появились задания по форензике (цифровая криминалистическая экспертиза компьютерных систем — прим. SecPost).
По отзывам преподавателей вузов, Ampire отлично закрывает потребность в практическом обучении студентов направлений, связанных с информационной безопасностью и информационными технологиями.
Сейчас мы смотрим на обучение основам цифровой гигиены и информационной безопасности широко, оно должно начинаться ещё со школы. Для этого предназначен модуль Ampire Junior. Он в большей степени ориентирован на повышение осведомлённости: о том, как себя вести в интернете, с какими угрозами могут люди столкнуться в цифровом мире, как им противостоять. Есть сценарии для обучения антифишингу. Есть задания, связанные с эффективным поиском информации в интернете, использованием различных сервисов, в том числе и геоинформационных.
Эти задания, но немного в адаптированном виде, проходят и неспециалисты в ИТ и ИБ. Речь идет, в частности, об офисном персонале, который тоже подвержен всем этим угрозам — фишингу, вишингу, социальной инженерии.
Для студентов ИБ-направлений и для специалистов — форматы Blue Team, CSIRT, Red Team и Red Team Labs. Есть также большой объём заданий для IT-специалистов, связанных с DevOps, DevSecOps. Они могут свои специфические задачи отрабатывать на Ampire.
Сколько регионов вы охватываете в настоящее время?
— Сейчас Ampire есть в 23 регионах России. Это почти все федеральные округа. Киберучения мы тоже почти во всех регионах страны проводили — от Владивостока до Калининграда.
Какие у вас есть планы по количеству вузов, где будет развернут киберполигон? Есть ли в планах сотрудничество с зарубежными вузами?
— Сейчас вообще по стране мы развернули 43 киберполигона, до конца года их станет больше, потому что уже подписан определённый пул контрактов. Вообще в стране, если я не ошибаюсь, чуть больше 100 вузов, где есть направления по информационной безопасности. Большой потенциал сотрудничества мы также видим в работе с вузами, которые готовят студентов по ИТ-специальностям.
Быстрыми темпами развивается подготовка специалистов в системе среднего профессионального образования. В нескольких колледжах киберполигон Ampire уже развёрнут и успешно применяется.
Совсем недавно Ampire Junior появился в школе. Первопроходцем стала Школа 24 г. Сарапула Удмуртской Республики. Теперь школьники всего региона могут проходить задания на киберполигоне.
Контакты с зарубежными вузами у нас определённые были, интерес мы видим и поддерживаем его, активно взаимодействуем. Что из этого получится, посмотрим. Пока без прогнозов.
Наблюдается ли сейчас дефицит специалистов по ИБ? И специалистов какого профиля?
— Тут очень двоякая ситуация, и я не уверен, что она в ближайшее время станет проще. Буквально ещё два года назад был осязаемый дефицит специалистов: было опубликовано огромное количество вакансий в ИТ- и ИБ-компании, и с рынка труда буквально сгребали вообще всех, кто есть. Это вызвало впечатление, что в ИБ не очень высокий порог входа в профессию, что в отрасль можно «вкатиться» после условно трёхдневных курсов с непонятными «корочками». Ты мог отучится не пойми где, и тебя всё равно брали на работу.
Сейчас же ситуация довольно сильно изменилась — стало гораздо меньше вакансий, многие компании «оптимизируют» штат. Но по отзывам наших HR-специалистов и руководителей технических направлений подбор сотрудников всё равно идёт долго. На вакансии приходят десятки, а иногда и сотни откликов, которые надо фильтровать ещё до собеседования. А на собеседования потенциальные сотрудники приходят вооружённые «знаниями» ИИ-сервисов. И это элементарно проверяется. По моему мнению, уверенное владение нейросетями не должно заменять базовых знаний и понимания будущих задач. Хотя, конечно, современные БЛМ — это мощнейшие помощники.
Если говорить про конкретных дефицитных специалистов, то на текущий момент в основном требуются аналитики центров мониторинга (SOC) и специалисты по реагированию на инциденты (Incident Response), специалисты по защите облачных сред и гибридных инфраструктур (Cloud & DevSecOps), специалисты по защите КИИ.
Если говорить про искусственный интеллект, используете ли вы ИИ-инструменты для имитации атак при обучении?
— Да, сейчас такие инструменты у нас находятся в разработке. Есть целый раздел дорожных карт, посвящённый ИИ-инструментам. В 2027-м году ИИ точно будет использоваться в Ampire для генерации атак, для генерации сценариев атак и будет нам помогать описывать карточки инцидентов.
Это уже будут более серьёзные угрозы? ИИ усложняет задачу для защищающихся?
— Да, конечно, усложняет, потому что ИИ даёт огромную вариативность атак. То есть инструменты, может быть, используются ровно те же самые, но ИИ эти инструменты использует с недостижимой для человека скоростью. Стоимость атаки понижается: злоумышленник затрачивает меньше ресурсов на большее количество атак. Противостоять такой скорости живой человек не может — только такой же ИИ. Мы и в эту сторону работаем, у нас есть продукт AML Web Protection — система защиты веба, основанная на искусственном интеллекте. Сегодня на конференции как раз была битва искусственных интеллектов, нападающим была LLM, которая атаковала заведомо уязвимый сайт — у нас на Ampire есть связанный с этим уязвимый узел. Так вот, AML Web Protection победила, смогла отбить атаки. То есть для того, чтобы противостоять угрозам с использованием ИИ, защищающиеся должны владеть ИИ-инструментами защиты не хуже, чем атакующие. Поэтому мы встраиваем AML Web Protection в киберполигон в качестве СЗИ, чтобы и это взаимодействие можно было отработать на тренировках.
В чем вы видите основные угрозы для ИБ в 2026-27 годах?
— Тенденции 2026 года точно переедут и на следующий год. Наверное, в своем отчёте о ландшафте киберугроз в декабре мы будем больше всего говорить про фишинг и социальную инженерию. Они никуда не деваются, чудовищно эффективны. Искусственный интеллект делает эти атаки для атакующих тривиальными.
Уже есть опубликованные в даркнете платформы, через которые атакующий может выбирать страну, язык, тематику фишинга, когорту людей, на которых будет осуществлена атака. Нажимаешь «Запустить атаку», эта платформа сама звонит, сама анализирует ответы, сама получает данные. И атакующему человеку приходит отчёт о том, о чём она говорила с жертвами, со списком кодов и другой полученной от жертвы информации. Даже в голове не укладывается, насколько это просто для атакующего. И действенность фишинга очень высокая. У нас есть целое направление, которое занимается пентестами с применением социальной инженерии. И там практически стопроцентный результат в каждом из проектов, которые мы проводим.
Ещё одна угроза — компрометация учётных записей. Данные продолжат утекать, тут мы не видим какой-то тенденции к снижению количества утечек.
Продолжится использование вредоносного программного обеспечения. Точно будут попытки эксплуатации на внешнем периметре. Тут основная проблема не в том, что кто-то из злоумышленников использует эти инструменты. Проблема в том, что все эти вектора злоумышленники используют в комбинации: что-то получилось, что-то не получилось, но результат все равно один.
Точно будут атаки на цепочки поставок, потому что ИТ-подрядчики, ИБ-подрядчики, телеком-провайдеры — это очень лакомая точка входа в инфраструктуру их заказчиков, они представляют высокую ценность для атакующих. Будут атаковаться доверенные сервисы — публичные сервисы точно должны подумать о планомерной и актуальной защите.
ИИ продолжат использовать для проведения атак. Это и автоматизация фишинга, в том числе целевой фишинг. Конечно, ИИ помогает атакующим адаптировать сценарии атак на отдельных людей и организации, то есть для злоумышленников это очень мощный помощник.
Если брать первые полгода 2026 года, как изменились количество, интенсивность хакерских атак на российские компании по сравнению с 2025 годом? И как изменился их характер?
— Тут данные достаточно сильно зависят от отрасли и от типов атак. Есть определённый рост попыток эксплуатации уязвимостей. Ещё несколько лет назад в нашем центре мониторинга мы фиксировали атаки на чуть более старые уязвимости. Например, на момент атаки проходит попытка эксплуатации уязвимости двух- или трёхлетней давности. Сейчас попытки эксплуатации идут на очень свежие уязвимости. Вот это тенденция последних, наверное, полутора лет, которую мы видим по своим отчётам. Таким образом, сейчас перед компаниями, организациями, госструктурами очень остро стоит задача по своевременному патчингу элементов ИТ и ИБ-инфраструктуры.
Рост атак мы видим и в промышленности, их стало больше примерно на 30%, чем в прошлом году. Достаточно серьёзный рост атак на транспорт и логистику — в основном это атаки на цепочки поставок. Это связано с тем, что в логистике очень много различных интеграций со сторонними системами.
Какой процент атак в среднем удаётся отразить в ходе моделирования вмешательства на киберполигоне?
— Это зависит от нескольких факторов. В рамках киберучений мы обычно предлагаем командам справиться с несколькими уязвимостями и последствиями эксплуатации этих уязвимостей. И тут успех или неуспех команды зависит прежде всего от их квалификации и от сложности сценария. В Ampire это тоже изменяемая величина, то есть можно сделать как суперсложные сценарии, так и простую атаку для начинающих специалистов.
Успех зависит в том числе от вовлечённости самих участников, а также от помощи тренера, который проводит киберучения. На публичных мероприятиях, где нет соревновательной части, хочется, чтобы люди справились с заданиями. Тренеры, бывает, помогают, проводят подробный разбор полётов. Но да, иногда бывают ситуации, когда «Ampire победил», как мы это называем.
А есть ли атаки «со звездочкой», с которыми труднее всего справиться на киберполигоне?
— Есть сценарии, в которых команды довольно быстро разбираются и понимают, что делать. Это какие-то сессии с нарушителем, дефейс веб-приложений, подбор учётных записей. Такие атаки широко известны и хорошо детектируются средствами защиты информации в Ampire, команды быстро решают такие задачи.
Сложность вызывают сценарии, где надо проводить расследование заражения вредоносным программным обеспечением, заражение шифровальщиками, потому что там действительно надо серьёзно поработать. С этими заданиями иногда требуется помощь тренера.
В настоящее время можно говорить, что отечественные ИБ-решения конкурентоспособны с международными аналогами? В каких сегментах нам нужно ещё прибавить?
— С одной стороны, есть конкурентоспособные решения на международных рынках. Я к этим решениям и Ampire тоже готов отнести. Просто потому, что есть отзывы людей, которые работали и с зарубежными решениями, и с нашими решениями. Мы точно уверенно стоим рядом с лидерами этого сегмента.
Что касается других классов решений, то есть очень хорошие решения в сетевой безопасности. Да, где-то предстоит развитие, но тут важно помнить, что зарубежные лидеры — это компании, которые развивают, разрабатывают эти продукты на протяжении 40–50 лет. В России этот срок исчисляется десятилетием в лучшем случае. Не бывает чудес. Нельзя создать решения по защите информации, чтобы они полностью повторяли функциональность, которая разрабатывалась в течение гораздо большего срока. Работа в этом направлении идет планомерно. Мы видим развитие существующих продуктов и появление новых.
Да, какие-то продукты не выстреливают, мы видим сообщения в СМИ о том, что некоторые проекты закрываются, но другие остаются, допиливаются, развиваются. И я уверен, что здесь точно есть перспективы, с которыми мы как вендоры должны работать.
