ИИ раскрывает 20-летнюю предвзятость вендоров в аналитике киберугроз

Киберразведка (CTI) долгое время служила краеугольным камнем современной цифровой защиты, однако знаковое лонгитюдное исследование показало, что два десятилетия отчетности сформировали фрагментированный ландшафт, определяемый скорее обособленностью вендоров (vendor silos), чем единой глобальной стратегией. Исследователи Mauro Conti, Manuel Suarez-Roman и Francesco Marciori недавно провели масштабный автоматизированный анализ 13 308 отчетов CTI из открытых источников, обнаружив, что отрасль страдает от значительного эффекта «эхо-камеры». Эта фрагментация означает, что, несмотря на взрывной рост объемов разведывательных данных, наше коллективное понимание долгосрочной динамики отношений между субъектами угроз и жертвами остается затуманенным из-за непоследовательных стандартов отчетности и структурных искажений, присущих экосистеме поставщиков услуг безопасности.

Необходимость данного исследования продиктована возрастающей сложностью цифровой геополитики и огромным объемом неструктурированных данных, генерируемых фирмами по безопасности. Исторически данные киберразведки (CTI) публиковались в самых разных форматах — от постов в блогах до технических «белых книг», что делало практически невозможным для аналитиков-людей ручной синтез трендов за два десятилетия. Чтобы восполнить этот пробел, исследовательская группа разработала высокоточный конвейер (pipeline) на базе больших языковых моделей (LLM) для обработки и структурирования данных, извлечения критически важных сущностей, таких как атрибутированные субъекты угроз, мотивы и технические индикаторы. Этот автоматизированный подход позволил провести первый комплексный метаанализ результатов работы отрасли, количественно оценив, как на самом деле производятся и распространяются разведывательные данные.

Как специфика вендоров влияет на анализ CTI?

Специфика вендоров в анализе CTI ограничивает широту выводов, привязывая отчеты к продуктам или услугам конкретных поставщиков, что потенциально создает «эхо-камеры» и заставляет игнорировать угрозы на уровне всей цепочки поставок. Такая узкая специализация часто приводит к региональным слепым зонам, где географическое расположение штаб-квартиры вендора или его основная клиентская база определяют, за какими угрозами он следит и о каких сообщает. Следовательно, организации, полагающиеся на один источник разведданных, могут получить искаженное представление о глобальном ландшафте угроз, что ведет к фрагментированной оценке рисков, не учитывающей взаимосвязанные уязвимости в цифровой экосистеме.

Исследование показало, что искажения в отчетности глубоко укоренены в коммерческих интересах и технической зоне видимости отдельных охранных фирм. Вендоры демонстрируют явную секторальную предвзятость, отдавая приоритет таким отраслям, как финансы или государственный сектор, в зависимости от их охвата рынка. Например, вендор с сильным присутствием в Северной Америке может предоставить глубокие сведения о государственном хакинге (State-Sponsored Hacking) из Восточной Азии, оставаясь при этом практически слепым к возникающим угрозам в Южной Америке или Африке. Эта специализация создает эффект «изоляции», когда разведданные глубоки, но узки, что препятствует целостному пониманию того, как субъекты угроз мигрируют между различными секторами и регионами с течением времени.

Более того, эта специфика усложняет специалистам возможность оценки полноты имеющихся разведданных. Поскольку отчеты часто составляются так, чтобы продемонстрировать ценность конкретного инструмента или услуги безопасности, предоставляемые метаданные и технические индикаторы (IoC) могут выбираться выборочно. Mauro Conti и его коллеги утверждают, что отсутствие стандартизации затрудняет перекрестную проверку данных между поставщиками. Без единой структуры экосистема CTI остается набором разрозненных снимков, а не непрерывной видеозаписью глобальной киберактивности в высоком разрешении.

Какую роль играет автоматизация в анализе данных CTI за 20 лет?

Автоматизация позволяет обрабатывать и анализировать обширные наборы данных CTI за 20 лет, обеспечивая оповещения в реальном времени, скоринг рисков и корреляцию угроз между вендорами. Используя большие языковые модели (LLM), исследователи могут преобразовывать тысячи неструктурированных документов в структурированную базу данных мотивов субъектов угроз и профилей жертв. Этот подход на основе ИИ необходим для выявления исторических искажений и обнаружения долгосрочных паттернов, невидимых при ручном анализе, что фактически превращает десятилетия необработанных данных в практически значимые выводы (actionable insights).

Разработанный исследовательской группой конвейер на базе LLM был специально спроектирован для обработки лингвистических нюансов технической отчетности разных эпох. За изученный двадцатилетний период терминология, используемая для описания тактик, техник и процедур (TTP), значительно эволюционировала. Автоматизация позволила исследователям нормализовать эти термины, гарантируя, что «бэкдор», описанный в 2005 году, можно будет точно сравнить с современным механизмом устойчивой угрозы (persistent threat). Такой уровень гранулярного извлечения критически важен для понимания эволюции плотности информации, поскольку отчеты сместились от кратких эпизодических сводок к перегруженным данными документам, содержащим тысячи индикаторов компрометации.

Помимо простого извлечения данных, автоматизация облегчает анализ предельного охвата, который количественно определяет ценность добавления новых источников разведданных. В исследовании использовалось машинное обучение для определения момента, когда отчет дополнительного вендора перестает давать новую информацию и начинает просто повторять уже известные данные. Этот количественный подход жизненно важен для центров мониторинга безопасности (SOC), которые должны сопоставлять стоимость нескольких фидов разведданных с реальным приростом информированности, который они обеспечивают. Результаты исследователей предполагают, что автоматизация — единственный жизнеспособный способ поддержания ситуационной осведомленности в условиях постоянно растущего информационного шума.

Эволюция плотности информации и мотивов угроз

За последние два десятилетия характер отчетности киберразведки (CTI) претерпел резкую трансформацию как в объеме, так и в технической глубине. Исследование выделяет несколько ключевых тенденций в представлении данных общественности:

• Повышенная техническая детализация: Современные отчеты содержат гораздо более высокую плотность индикаторов компрометации (IoC) и TTP по сравнению с отчетами начала 2000-х годов.
• Отслеживание мотивации: Исследователи выявили четкую корреляцию между конкретными субъектами угроз и их основными мотивами, такими как шпионаж, финансовая выгода или хактивизм.
• Стратегический сдвиг: В последние годы наблюдается растущий акцент на государственном хакинге, при этом отчеты становятся более сфокусированными на цифровой геополитике и последствиях для национальной безопасности.
• Стандартизация данных: Несмотря на рост плотности данных, отсутствие последовательных стандартов отчетности продолжает препятствовать совместимости этих данных в масштабах всей отрасли.

Почему в отчетах о киберугрозах наблюдаются совпадения?

Дублирование в отчетности о киберугрозах возникает из-за того, что вендоры обмениваются данными разведки, чтобы преодолеть ограничения собственных данных и получить конкурентные преимущества за счет кластеризации и общинных структур. Такая избыточность часто отражает коммодитизацию CTI, когда несколько фирм сообщают об одних и тех же резонансных инцидентах, чтобы поддерживать видимую актуальность на рынке. Хотя такой обмен может обогатить коллективные знания, он также создает «эхо», когда одни и те же предвзятые или неполные данные повторяются в десятках источников, создавая ложное чувство консенсуса.

Проведенный в исследовании анализ предельного охвата показал, что дублирование разведданных удивительно высоко среди основных поставщиков. Когда обнаруживается крупная поддерживаемая государством кампания, отчеты публикует почти каждый крупный вендор, часто полагаясь на одну и ту же базовую телеметрию или публичные IoC. Это приводит к ситуации убывающей отдачи для защитников: после первых нескольких отчетов последующие данные часто дают мало или совсем не дают «предельной» ценности в плане новых технических идей. Эта избыточность может быть даже вредной, так как она поглощает время аналитиков, не обеспечивая более глубокого понимания угрозы.

Это дублирование также указывает на структурное искажение в отрасли, где «видимые» угрозы — те, которые легко обнаружить или которые уже находятся в тренде — получают львиную долю внимания. В то же время более тонкие, долгосрочные кампании по кибершпионажу, нацеленные на нишевые секторы, могут оставаться совершенно незамеченными, поскольку они не вписываются в шаблоны отчетности или коммерческие приоритеты крупных вендоров. Mauro Conti и его команда подчеркивают, что такая концентрация усилий на нескольких известных игроках оставляет значительные сегменты глобальной цифровой инфраструктуры уязвимыми для менее «популярных», но не менее опасных угроз.

Будущие направления для глобальной прозрачности безопасности

Чтобы выйти за пределы «эхо-камеры», исследователи предлагают несколько критических сдвигов в том, как киберразведка (CTI) производится и потребляется. Первым и самым важным является стандартизация отчетности. Без общего языка и структурированного формата фрагментация экосистемы будет только усиливаться по мере роста объема данных. Внедрение протоколов автоматизированного обмена в реальном времени, ориентированных на уникальные выводы, а не на дублирующие наблюдения, могло бы помочь восполнить текущие информационные пробелы.

Более того, роль ИИ и автоматизации должна сместиться от простого извлечения данных к обнаружению искажений. Будущие платформы CTI должны уметь предупреждать пользователей, когда их источники разведданных предоставляют искаженную картину ландшафта из-за географических или секторальных предубеждений. Интегрируя эти высокоточные конвейеры на базе LLM в стандартные рабочие процессы защиты, организации смогут лучше оценивать полноту своих данных и искать разнообразные источники, обеспечивающие реальную предельную ценность. В конечном счете, цель состоит в том, чтобы превратить цифровую геополитику из набора специфических для вендоров нарративов в прозрачную глобальную науку о киберзащите.