Кібербезпека мілтеку: повний посібник покупця для оборонних підрядників

Компанії оборонних технологій — виробники безпілотних систем, апаратного забезпечення C4ISR, компонентів радіоелектронної боротьби, балістичних матеріалів і програмного забезпечення військового класу — займають особливе й вразливе місце в ландшафті загроз. Вони володіють інтелектуальною власністю з прямим військовим застосуванням, працюють у складних ланцюгах постачання з кількома рівнями та входять до цілей державних кіберрозвідувальних програм, що діють у військовому темпі.

Кібербезпека мілтеку — скорочена назва дисципліни безпеки, що охоплює компанії оборонних технологій та їхні ланцюги постачання, — це не корпоративна безпека з іншими наклейками. Це окрема практика, сформована профілем противника, чутливістю активів і регуляторними зобов'язаннями. Цей посібник пояснює, чим кібербезпека мілтеку відрізняється, зіставляє відповідні засоби контролю з NIST Cybersecurity Framework, описує мінімально життєздатний стек безпеки та дає чекліст вибору постачальника, що відсікає маркетинг.

Що таке кібербезпека мілтеку?

Визначення сектору мілтеку

«Мілтек» охоплює компанії, що проєктують, розробляють, виробляють або інтегрують технології для військового та оборонного застосування. Категорія ширша, ніж здається:

• Головні підрядники та системні інтегратори, що працюють над платформами (БпЛА, броньована техніка, флот)
• Виробники компонентів, що постачають оптику, силові установки, засоби зв'язку й електроніку
• Софтверні компанії, що створюють платформи C2, інструменти аналізу ISR і системи управління на полі бою
• Компанії подвійного призначення, чиї цивільні та військові лінійки продуктів використовують спільну інфраструктуру розробки
• Учасники ланцюга постачання, що постачають матеріали, вузли чи послуги будь-кому з вищезазначених

Компанії не обов'язково мати державний оборонний контракт, щоб вважатися мілтеком для цілей моделювання загроз. Якщо ваша ІВ має військове застосування — незалежно від того, чи продаєте ви зараз військовим, — противники вважатимуть вас ціллю.

Чому кібербезпека мілтеку — окрема дисципліна

Три риси відрізняють кібербезпеку мілтеку від стандартної корпоративної безпеки:

Противник — це регулярна армія. Комерційні компанії стикаються з кіберзлочинцями, яких мотивує фінансова віддача. Компанії мілтеку стикаються з розвідувальними службами та військовими кіберпідрозділами з багаторічними оперативними мандатами, необмеженим терпінням і державними ресурсами. Профілювання атакуючих, логіка виявлення та сценарії реагування, доречні для груп вимагачів, недостатні проти підрозділу 74455 ГРУ чи Центру 18 ФСБ.

Цінність активів — стратегічна, а не фінансова. Витоки даних коштують комерційним підприємствам грошей і репутації. Для компанії мілтеку еквівалентний витік — файли CAD системи наведення дрона, вихідний код інтерфейсу керування вогнем, персональні дані допущеного персоналу — має наслідки, що вимірюються стратегічною спроможністю та людською безпекою.

Регуляторне середовище — обов'язкове й підконтрольне. Корпоративні рамки безпеки здебільшого добровільні й ринкові. Кібербезпека мілтеку працює за обов'язковими рамками — НКЦК в Україні, NIS2 в ЄС, ITAR/EAR для технологій під експортним контролем США та галузеві стандарти для сумісності з НАТО. Невідповідність несе кримінальну відповідальність для окремих осіб, а не лише штрафи для організації.

Чому ландшафт загроз найболючіше вражає мілтек

Хто націлюється на компанії оборонних технологій

Український сектор оборонних технологій стикається зі специфічним, задокументованим набором противників. Три групи, пов'язані з ГРУ та ФСБ, відповідальні за більшість вторгнень, які AmonSul розслідувала в клієнтів мілтеку протягом останніх трьох років:

Sandworm (підрозділ 74455 ГРУ) — найагресивніша в оперативному сенсі група, активна проти українських цілей. Відома атаками на енергосистему 2016 і 2022 років, Sandworm суттєво розширила націлення на мілтек з 2022 року, пріоритезуючи довготривале попереднє розміщення в мережах оборонних підрядників перед розгортанням руйнівних навантажень. Її поточні TTP роблять наголос на техніках living-off-the-land, експлуатації периферійних пристроїв і зловживанні Active Directory — усе це задокументовано в нашому аналізі TTP Sandworm.

Gamaredon (Центр 18 ФСБ, підрозділ 71330) веде найоб'ємнішу програму націлення на мілтек з-поміж російських груп, компенсуючи нижчу витонченість постійною автоматизованою фішинговою інфраструктурою та здатністю швидкого повторного зараження. Основний інтерес — персональні дані, перехоплення комунікацій і облікові дані доступу, тобто розвідка з негайною тактичною цінністю.

APT28 / Fancy Bear (підрозділ 26165 ГРУ) проводить прецизійні операції спірфішингу проти керівного персоналу компаній мілтеку для крадіжки облікових даних і довготривалого шпигунства. На відміну від Sandworm, APT28 рідко розгортає руйнівні навантаження — її оперативний мандат — збір і виведення даних.

Окрім цих основних груп, на компанії мілтеку націлюються кримінальні атакуючі, що шукають викупи від ransomware (які створюють важелі впливу для державних атакуючих через подвійне вимагання), північнокорейські ІТ-працівники, які вбудовуються в ланцюги постачання підрядників, та іранські групи з доведеним інтересом до технологій дронів і ракет.

Чого шукають противники

Категорії цілей, ранжовані за частотою в проєктах AmonSul з реагування на інциденти:

1. Файли CAD та інженерні файли — 3D-моделі, дані моделювання, специфікації матеріалів і виробнича документація систем і компонентів озброєння
2. Прошивки та вбудоване ПЗ — вихідний код систем наведення, цілевказання та зв'язку
3. Персональні дані — особи з допуском, їхні родинні зв'язки, маршрути поїздок, фінансовий тиск — розвідка з цінністю для шантажу та цілевказання
4. Перехоплення комунікацій — архіви пошти, внутрішні платформи обміну повідомленнями, інструменти керування проєктами з даними оперативного й стратегічного планування
5. Стосунки з постачальниками — переліки вендорів, умови договорів і технічні специфікації постачальників, що уможливлюють атаки на ланцюг постачання проти важчих цілей
6. Архітектура мережі — схеми й конфігурації, що підтримують планування майбутніх вторгнень

Основні вектори атак

Розуміння того, які вектори найчастіше експлуатують у вторгненнях у мілтек, визначає, де захисні інвестиції дають найвищу віддачу:

Експлуатація периферійних пристроїв становить дедалі більшу частку початкового доступу. VPN-шлюзи, міжмережеві екрани та поштові шлюзи доступні з інтернету, рідко охоплені EDR і часто працюють на версіях ПЗ, що відстають від оновлень на місяці чи роки. Задокументована перевага Sandworm до експлуатації Ivanti, Fortinet і Cisco IOS XE відображає надійний початковий доступ, який дають ці пристрої.

Спірфішинг зі зброєними вкладеннями лишається ефективним проти компаній мілтеку, бо листування, пов'язане з обороною, — запити на закупівлі, технічні специфікації, партнерські пропозиції — дає переконливі принади. Інфраструктура Gamaredon щотижня генерує тисячі цілеспрямованих принад на основі зібраної інформації про компанії.

Компрометація ланцюга постачання експлуатує стосунки довіри між головними підрядниками мілтеку та їхніми постачальниками. Атака на постачальника другого чи третього рівня зі слабшими засобами безпеки часто дає латеральний доступ до середовища головного підрядника.

Крадіжка облікових даних із витоків експлуатує повторне використання паролів. Облікові дані, розкриті в комерційних витоках, систематично перевіряють на VPN-порталах оборонних підрядників, вебпошті та системах доступу партнерів.

Зіставлення з NIST CSF для оборонних підрядників

NIST Cybersecurity Framework 2.0 (випущений у лютому 2024 року) дає найпоширенішу структуру для зіставлення засобів безпеки мілтеку. Шість функцій — Govern, Identify, Protect, Detect, Respond, Recover — безпосередньо переходять у вимірювані вимоги до програми.

Govern (управління)

CSF 2.0 підняв управління до функції верхнього рівня, бо програми безпеки без відповідальності керівництва послідовно працюють гірше. Для компаній мілтеку вимоги до управління виходять за межі затвердження політик:

• Заява про апетит до ризику, що явно охоплює сценарії противників рівня держав, а не лише загрози від кіберзлочинців
• Політика управління ризиками ланцюга постачання з обов'язковими базовими вимогами безпеки до постачальників із будь-яким мережевим чи даними доступом
• Відповідальність на рівні ради, узгоджена з вимогами статті 20 NIS2 для essential entities
• Політика класифікації оборонної ІВ, що розрізняє публічні, внутрішні, чутливі та контрольовані/засекречені дані

Identify (ідентифікація)

Видимість активів — передумова всіх інших засобів контролю. Компанії мілтеку послідовно недооцінюють свою поверхню атаки, бо інженерна інфраструктура — системи PLM, сервери CAD, середовища моделювання — лежить поза традиційним управлінням ІТ-активами.

• Повний перелік апаратних і програмних активів, зокрема систем OT/ICS/вбудованих систем
• Картування потоків даних, що показує, де зберігаються й передаються контрольовані технічні дані (ITAR/EAR, засекречені, під експортним контролем)
• Перелік доступів третіх сторін, що охоплює кожного постачальника, підрядника й партнера з мережевим чи даними доступом
• Картування поверхні атаки, зокрема всіх інтернет-доступних активів — методологію див. у нашому посібнику з управління поверхнею атаки

Protect (захист)

• MFA на всьому віддаленому доступі — VPN, вебпошта, партнерські портали, хмарні платформи. Апаратні токени для привілейованих користувачів
• Сегментація мережі, що відокремлює інженерні мережі (PLM, CAD, моделювання) від корпоративної IT
• Захист кінцевих точок з EDR на всіх кінцевих точках, зокрема контролерах домену та інженерних робочих станціях
• Управління виправленнями із SLA ≤7 днів для систем, доступних з інтернету, та ≤30 днів для внутрішніх систем
• Безпека пошти, зокрема пісочниця для вкладень і навчання проти фішингу з тестуванням симульованими принадами
• Запобігання втраті даних у сховищах інженерних файлів і комунікаційних платформах

Detect (виявлення)

Функція виявлення — де більшість програм безпеки мілтеку мають найбільшу прогалину. Стандартний комерційний EDR надійно виявляє відомі родини шкідливого ПЗ. Він має значні сліпі зони проти технік living-off-the-land (LOTL), якими атакуючі рівня держав уникають виявлення:

• SIEM із правилами, налаштованими під TTP атакуючих оборонного сектору, а не із загальним покриттям MITRE ATT&CK
• EDR на контролерах домену — зазвичай виключені з міркувань продуктивності; критичні для виявлення закріплення на основі AD
• Мережеве виявлення та реагування (NDR), що охоплює трафік east-west, а не лише потоки north-south на периметрі
• Моніторинг DNS для виявлення комунікацій C2 та сповіщень про перше побачення нового домену
• Моніторинг змін Active Directory, що спеціально стежить за AdminSDHolder, членством у групі Domain Admins і змінами GPO

Respond (реагування)

Спроможність реагування на інциденти для компаній мілтеку потребує вищої витонченості, ніж стандартне комерційне реагування:

• План і сценарії реагування, що спеціально охоплюють TTP атакуючих рівня держав: заздалегідь розміщені імпланти, сценарії руйнівних навантажень, компрометація ланцюга постачання, виведення інтелектуальної власності
• Процедури збереження доказів, що відповідають стандартам ланцюга зберігання для потенційних судових проваджень
• Процеси регуляторних повідомлень, що одночасно задовольняють вимоги НКЦК (4 години — інцидент у ланцюгу постачання, 72 години — загальний інцидент) і NIS2 (24 години — значний інцидент)
• Ретейнер зі спеціалізованим провайдером реагування, який має документований досвід мілтеку, — оцінювати фірму з реагування слід не тоді, коли інцидент уже почався

Recover (відновлення)

• План безперервності бізнесу з перевіреними процедурами відновлення інженерної інфраструктури (PLM, CAD, ERP), а не лише ІТ-систем
• Офлайн-резервні копії критичних інженерних даних з перевіреними процедурами відновлення
• План комунікації для регуляторних повідомлень і (де застосовно) повідомлень клієнтів/партнерів
• Процес післяінцидентного перегляду, що повертає висновки в засоби виявлення та захисту

Стек MDR/CTI/ZTNA для мілтеку

Три категорії послуг становлять мінімально життєздатний стек безпеки для компаній мілтеку, що працюють під активною загрозою рівня держав:

Кероване виявлення та реагування (MDR)

MDR забезпечує цілодобове покриття SOC з аналітиками, що розслідують сповіщення, ведуть активне полювання на загрози та передають підтверджені інциденти на реагування. Для компаній мілтеку критична відмінність — чи охоплюють логіка виявлення та підготовка аналітиків провайдера MDR TTP атакуючих рівня держав, а не лише типові сценарії ransomware, що домінують у комерційних пропозиціях MDR.

MDR, придатний для мілтеку, включає:

• Керування EDR на всіх кінцевих точках, зокрема контролерах домену
• SIEM із власними правилами виявлення для конкретних APT-груп, що націлюються на оборонні технології
• Активне полювання на загрози за гіпотезами, специфічними для атакуючих рівня держав (закріплення LOTL, бекдори AD, виведення даних із довгим часом присутності)
• Інтеграцію з шаром CTI для збагачення сповіщень даними про конкретних атакуючих

Кероване виявлення та реагування AmonSul побудоване на чотирьох роках оперативного контакту з противниками, що націлюються на український мілтек, — гіпотези полювання та правила виявлення випливають зі спостережень реальних інцидентів, а не з опублікованих звітів.

Розвідка кіберзагроз (CTI)

Загальні потоки розвідки загроз — типові списки IOC, бази CVE, відкриті звіти — мають обмежену цінність для компаній мілтеку, що стикаються з конкретними противниками. CTI за конкретними атакуючими дає:

• Профільовані TTP конкретних груп, що націлюються на ваш сектор і географію
• Розвідку про інфраструктуру: діапазони IP C2, шаблони реєстрації доменів, відбитки TLS, що уможливлюють проактивне блокування наперед списків відомих IOC
• Раннє попередження про кампанії проти компаній мілтеку — інфраструктуру атак часто будують і тестують до надсилання принад
• Потоки у форматі STIX/TAXII, що інтегруються з платформами SIEM і SOAR для автоматичного збагачення

Сервіс розвідки загроз AmonSul надає розвідку, спеціально відкалібровану під атакуючих, що націлюються на українські та європейські компанії мілтеку, — 47+ профілів APT-атакуючих, що підтримуються на основі безпосереднього оперативного спостереження й оновлюються щотижня.

Доступ до мережі за принципом zero trust (ZTNA)

ZTNA замінює неявну довіру до розташування в мережі безперервною перевіркою ідентичності користувача, стану пристрою та контексту доступу. Для компаній мілтеку ZTNA — архітектура, що закриває прогалину, яку експлуатують компрометація ланцюга постачання та крадіжка облікових даних:

• Доступ на основі ідентичності — користувачам і пристроям ніколи не довіряють неявно через розташування в мережі; кожне рішення про доступ оцінюється за політикою
• Примусове застосування мінімальних привілеїв — інженери мають доступ лише до конкретних систем, потрібних для їхньої ролі; жодного широкого мережевого доступу
• Перевірка стану пристрою — доступ забороняється з кінцевих точок, що не проходять перевірки стану (відсутні виправлення, вимкнений EDR, невідомий пристрій)
• Безперервний моніторинг сесій — аномальні шаблони доступу (незвичні години, незвичні обсяги даних, незвичні пункти призначення) запускають повторну автентифікацію або завершення сесії

ZTNA не усуває всі шляхи атаки, але суттєво підвищує ціну латерального переміщення — стадії вторгнення, що перетворює початковий доступ на виведення даних чи руйнівну спроможність.

Відповідність НКЦК для компаній мілтеку

Обов'язкові вимоги безпеки НКЦК в Україні поширюються на компанії мілтеку, чиї системи класифіковано як критичну інформаційну інфраструктуру (КІІ). Оцінка класифікації — перший крок: більшість компаній мілтеку з державними контрактами та ліцензіями на оборонне виробництво класифікуються щонайменше як категорія II.

Що мають упровадити компанії мілтеку

Для класифікації категорії II НКЦК вимагає:

• Безперервний моніторинг безпеки з журналюванням SIEM, узгодженим із визначеними категоріями подій
• Повідомлення про інциденти до Державного центру кіберзахисту (SCCD) протягом 72 годин після виявлення (4 години для інцидентів у ланцюгу постачання)
• Щорічний зовнішній аудит безпеки від фірми, акредитованої НКЦК
• Сканування вразливостей із визначеною періодичністю та відстеженням усунення
• Затверджені криптографічні стандарти (ДСТУ 4145, ДСТУ 7564) для систем, що взаємодіють із державною інфраструктурою
• Заходи безпеки персоналу, зокрема навчання з безпекової обізнаності та перевірка біографії для працівників із доступом до критичних систем

Системи категорії I (з прямим військовим чи стратегічним значенням) мають додаткові вимоги, зокрема тестування на проникнення, суворіше зберігання журналів і жорсткіші строки повідомлення про інциденти.

Інтеграція НКЦК із NIS2

Для компаній мілтеку з європейським бізнесом чи доступом до ринку ЄС подвійна відповідність НКЦК/NIS2 дедалі частіше є базовою вимогою. Рамки мають понад 70% спільних засобів контролю — єдина ISMS, збудована одночасно за обома стандартами, суттєво ефективніша за послідовні проєкти відповідності. Наше зіставлення відповідності NIS2 і НКЦК докладно описує додаткові вимоги.

Практика консультацій AmonSul з відповідності веде специфічні для мілтеку оцінки розривів НКЦК від визначення обсягу до готовності до аудиту. Програма включає проєктування процесу повідомлення SCCD, планування інтеграції криптографії ДСТУ та координацію з акредитованим аудитором. Повний обсяг послуг дивіться на сторінці галузі «оборонні технології».

Чекліст вибору постачальника: провайдери кібербезпеки мілтеку

Оцінювання провайдера кібербезпеки мілтеку відрізняється від вибору корпоративного програмного забезпечення безпеки. Запитання, що мають значення, — операційні та розвідувальні:

Спроможність розвідки загроз

• [ ] Чи підтримує провайдер власну розвідку про конкретні APT-групи, що націлюються на ваш сектор і географію, — чи перепродає типові потоки?
• [ ] Чи може він надати задокументовані приклади розвідки, що сприяла випереджальному захисту (блокування інфраструктури атакувальника до спроби вторгнення), а не лише післяінцидентній атрибуції?
• [ ] Чи профілі його атакуючих оновлюються з безпосереднього оперативного спостереження чи лише з відкритих джерел?

Специфічність виявлення

• [ ] Чи правила виявлення його SIEM налаштовані під TTP атакуючих рівня держав (техніки LOTL, зловживання AD, експлуатація периферійних пристроїв), чи орієнтовані переважно на типове шкідливе ПЗ?
• [ ] Чи має він задокументовану логіку виявлення для конкретних APT-груп, що націлюються на ваш сектор?
• [ ] Чи може він продемонструвати гіпотези полювання на загрози, виведені з реального досвіду інцидентів мілтеку?

Досвід реагування на інциденти

• [ ] Чи реагував він на вторгнення атакуючих рівня держав у середовищах оборонних технологій чи критичної інфраструктури, а не лише на комерційні інциденти з ransomware?
• [ ] Чи охоплюють його сценарії реагування заздалегідь розміщені імпланти, стримування руйнівних навантажень і розслідування виведення ІВ?
• [ ] Чи може він дотриматися строків повідомлення НКЦК (72 години — загальні, 4 години — ланцюг постачання) у межах своєї послуги реагування?

Регуляторне покриття

• [ ] Чи знайомий він із вимогами відповідності НКЦК і процесом повідомлення SCCD?
• [ ] Чи може він надати документацію та пакети доказів, придатні для зовнішніх аудитів НКЦК категорії II?
• [ ] Чи розуміє він наслідки ITAR/EAR для компаній із технологіями американського походження під контролем?

Операційна модель

• [ ] Чи покриття SOC справді цілодобове з аналітиками в Україні чи ЄС — чи нічне покриття обробляє зовнішня команда з іншим контекстом загроз?
• [ ] Який шлях ескалації від сповіщення до аналітика та команди реагування? Які задокументовані SLA?
• [ ] Чи має він спроможність виїжджати на місце для реагування на інцидент, чи його модель співпраці лише віддалена?

Рекомендації та докази

• [ ] Чи може він надати рекомендації від клієнтів мілтеку, готових обговорити співпрацю (за NDA, якщо потрібно)?
• [ ] Чи публікує він оригінальні дослідження загроз — а не лише маркетинговий контент, — що демонструють оперативну глибину?
• [ ] Чи його працівники є співавторами консультативних бюлетенів CERT-UA або учасниками галузевих спільнот обміну інформацією про загрози?

FAQ

Чим кібербезпека мілтеку відрізняється від стандартної корпоративної безпеки?

Фундаментальна відмінність — профіль противника. Комерційні компанії переважно стикаються з фінансово мотивованими кіберзлочинцями, які уникають дорогих і ризикованих цілей. Компанії мілтеку стикаються з розвідувальними службами та військовими кіберпідрозділами зі стратегічними мандатами, що явно включають вашу компанію. Ці противники терплячі (час присутності вимірюється місяцями), добре забезпечені ресурсами (державні бюджети, а не кримінальні доходи) і спеціально навчені проти тих самих цілей, які ви намагаєтеся захищати. Логіка виявлення, сценарії реагування та розвідка загроз, доречні для банд вимагачів, значною мірою недостатні проти підрозділу 74455 ГРУ.

Які APT-групи найактивніше націлюються на українські компанії мілтеку?

Три основні групи, задокументовані в проєктах AmonSul з реагування на інциденти, — Sandworm (підрозділ 74455 ГРУ), Gamaredon (Центр 18 ФСБ) і APT28 (підрозділ 26165 ГРУ). Sandworm — найнебезпечніша: зосереджена на довготривалому попередньому розміщенні та здатна на руйнівні навантаження проти критичної інфраструктури. Gamaredon веде найбільший обсяг фішингових операцій проти мілтеку. APT28 спеціалізується на прецизійній крадіжці облікових даних і довготривалому шпигунстві проти керівного персоналу. Усі три активно діють проти українських цілей у 2025 році.

Чи є відповідність НКЦК обов'язковою для компаній мілтеку?

Так, для компаній, чиї системи кваліфікуються як критична інформаційна інфраструктура (КІІ) за Законом України 2163-IX. Більшість компаній мілтеку з активними державними контрактами, ліцензіями на оборонне виробництво чи системами, інтегрованими з військовою інфраструктурою C2, кваліфікуватимуться щонайменше як категорія II. Відповідність НКЦК несе вимоги до аудиту, обов'язкове повідомлення про інциденти до SCCD та конкретні зобов'язання щодо технічних засобів контролю. Невідповідність наражає на юридичну відповідальність і організацію, і відповідальних осіб.

Що зазвичай включає розгортання MDR для мілтеку?

Розгортання MDR для компанії мілтеку починається з етапу виявлення активів і визначення обсягу (зазвичай 1–2 тижні), далі — розгортання агентів EDR на всіх кінцевих точках, інтеграція SIEM із наявними джерелами журналів і розробка власних правил виявлення, налаштованих під конкретних атакуючих, що націлюються на ваш сектор. Постійна послуга включає цілодобовий моніторинг сповіщень, щотижневі сесії полювання на загрози, щомісячну звітність і підтримку реагування, коли виявлено підтверджені інциденти. Повне розгортання MDR для компанії мілтеку на 100–500 працівників зазвичай займає 4–8 тижнів від договору до повного покриття.

Як ZTNA захищає від компрометації ланцюга постачання?

Атаки на ланцюг постачання завдячують ефективністю неявній довірі між головним підрядником мілтеку та його постачальниками. Коли атакувальник компрометує довіреного постачальника, він успадковує цю довіру — ZTNA її усуває. За моделлю ZTNA доступ постачальника до вашого середовища прив'язаний до конкретних застосунків, конкретних ресурсів даних і конкретних часових вікон — оцінюється безперервно за ідентичністю користувача постачальника, станом пристрою та поведінкою. Скомпрометовані облікові дані постачальника не можуть латерально переміщуватися вашою мережею; вони дають доступ лише до того, що конкретна політика явно дозволяє, а аномальна поведінка сесії запускає повторну оцінку до того, як дані можуть бути виведені.

Які дані атакуючі рівня держав зазвичай цілять у компаніях мілтеку?

За спостереженнями AmonSul з реагування на інциденти, найчастіші категорії цільових даних: інженерні файли (CAD, моделювання, вихідний код прошивок); персональні дані допущеного персоналу; архіви комунікацій (пошта, внутрішні повідомлення, керування проєктами); стосунки з постачальниками й технічні специфікації; документація мережевої архітектури. Пріоритет змінюється залежно від оперативного мандата противника — Gamaredon зосереджена на розвідці про персонал, а Sandworm пріоритезує доступ до інфраструктури для потенційного руйнівного використання.

Скільки часу потрібно, щоб досягти відповідності НКЦК категорії II з низького базового рівня?

Для компанії мілтеку, що починає без наявної ISMS чи формальної програми безпеки, досягнення відповідності НКЦК категорії II зазвичай потребує 6–9 місяців. Позиції критичного шляху: інвентаризація активів і оцінка класифікації КІІ (місяці 1–2), створення ISMS з оцінкою ризиків і базовим набором політик (місяці 2–4), впровадження технічних засобів контролю, зокрема SIEM, EDR і процесу повідомлення про інциденти (місяці 3–6), та підготовка й проведення зовнішнього аудиту (місяці 6–9). Компанії з наявним сертифікатом ISO 27001 зазвичай можуть скоротити це до 3–4 місяців, зосередившись на специфічних вимогах НКЦК.

Чи варто компанії мілтеку мати власний SOC чи користуватися керованим MDR?

Для переважної більшості компаній мілтеку — з чисельністю до ~2 000 працівників — побудова внутрішнього SOC, що зрівнявся б за спроможністю виявлення зі спеціалізованим провайдером MDR, не є ні економічно доцільною, ні практично досяжною. Кваліфікований SOC потребує 8–12 аналітиків для цілодобового покриття (з урахуванням змін, відпусток і плинності), плюс інфраструктуру SIEM, підписки на розвідку загроз і безперервне навчання. Сукупна вартість зазвичай перевищує €1,5–2 млн на рік до разових витрат на запуск. Ще важливіше, що аналітики внутрішнього SOC рідко мають експертизу щодо конкретних противників, якої вимагають загрози мілтеку, — розвідку загроз і логіку виявлення, на створення яких йдуть роки, не можна швидко найняти. MDR від спеціалізованого провайдера з документованим досвідом мілтеку дає вищу спроможність виявлення за частку вартості з можливістю нарощувати внутрішню спроможність у міру дозрівання функції безпеки.