Дхананджай Ганджу, управляващ директор за Индия и SAARC
Неприятната част от адаптивната атака не е колко бързо започва, а колко бързо може да промени посоката си.
Подпомаганите от изкуствен интелект операции могат да проучват среди, да се учат от отговорите, да сменят техники и да верижно да свързват последващи действия, докато атаката все още е в ход.
Анализът на Anthropic от 2026 г. на 832 акаунта, блокирани заради злонамерена кибердейност, насочва към тази промяна.
Макар голяма част от наблюдаваната дейност да е била фокусирана върху подготовката на атаки, високорисковите злонамерени субекти са използвали изкуствен интелект в реални операции, включително автономно изпълнение, оркестрация и вземане на решения за промяна на посоката в реално време.
За защитниците това създава движеща се мишена. Атаката, която навлиза в дадена среда, може да не следва същия модел, докато напредва през нея.
Приложенията сами по себе си представляват движеща се мишена. Те обхващат локална инфраструктура, мултиоблачни среди, Kubernetes клъстери и периферни мрежи (edge), като API интерфейсите пренасят трафик между потребители, работни натоварвания и услуги.
Появяват се нови крайни точки, интеграциите се променят, а поведението на приложенията еволюира непрекъснато.
Превантивните контроли и откриването на познати заплахи остават от съществено значение. Но когато както заплахата, така и средата могат да се променят в реално време, сигурността също трябва да разбира какво правят приложенията и API интерфейсите, докато работят.
Когато моделът на атаката продължава да се променя
Сигурността на приложенията стана много добра в разпознаването на познато злонамерено поведение. Сигнатурите идентифицират установени техники. Политиките на WAF проверяват заявките спрямо дефинирани правила.
API схемите установяват как се очаква да бъдат използвани крайните точки. Разузнаването за заплахи добавя знания за нововъзникващи кампании и индикатори.
Предизвикателството започва, когато злонамерената дейност не остава в рамките на тези познати модели.
Атакуващ, който проучва API интерфейс, може да промени структурата на заявките след неуспешен опит, да премине към друга крайна точка, да промени последователността на извикванията или да злоупотреби с легитимна функционалност на приложението въз основа на това, което разкрива средата.
Това означава, че защитниците се нуждаят от още едно ниво на контекст: как се държи атакуващият в процеса на развитие на атаката.
Една отделна заявка може да разкрие твърде малко. Но погледнете последователността около нея. Кои крайни точки се извикват? Как се променят моделите на заявките? До кои ресурси се осъществява достъп? Дали дейността излиза извън установените модели? Може да се очертае съвсем различна картина.
Проучване в индустрията установи, че 48% от организациите актуализират продукционните си API интерфейси ежедневно или по-често, но само 19% поддържат напълно автоматизиран и непрекъснато актуализиран инвентар на API интерфейсите.
Ето защо екипите по сигурност се справят с две променливи едновременно – среда от приложения, която се променя непрекъснато, и злонамерена дейност, която може да не следва предвидим път.
Поведението става видимо по време на изпълнение (Runtime)
Голяма част от това, което сигурността знае, се установява преди трафикът да достигне до работещо приложение – идентичности, политики, конфигурации, API дефиниции, информация за уязвимости и индикатори за заплахи.
Това, което невинаги може да се знае предварително, е как ще се държи злонамерената дейност, след като се сблъска с приложението. Средата по време на изпълнение (runtime) осигурява този контекст.
Наблюдението на трафика на приложенията и API интерфейсите в реално време позволява на екипите по сигурност да свързват сигнали, които сами по себе си може да означават малко – промени в честотата на заявките, многократен достъп до различни обекти, неочаквана последователност от API извиквания или трафик, преминаващ между крайни точки.
Тук поведенческото откриване допълва установените контроли за сигурност. Откриването на познати заплахи пита дали трафикът наподобява нещо, което защитниците вече разбират.
Поведенческото откриване пита дали приложението или API интерфейсът се държат според очакванията.
За заплахи, способни да се променят по време на изпълнение, това разграничение може да направи разликата между виждането на изолирани събития и разбирането на това какво се случва по целия път на данните в приложението.
Откриването трябва да води до принудително прилагане на мерки
Видимостта сама по себе си не намалява риска.
Ако дадено необичайно поведение бъде идентифицирано едва след като приложението е обработило трафика и атакуващият е постигнал целта си, информацията е пристигнала твърде късно.
Следователно видимостта по време на изпълнение трябва да свързва откриването с прилагането на политики, способни да действат върху трафика на приложенията и API интерфейсите в реално време.
Отговорът не трябва да бъде бинарен. Някои злонамерени дейности трябва да бъдат блокирани незабавно.
В други случаи екипите по сигурност могат да ограничат честотата на заявките, да ограничат достъпа до крайна точка, да затегнат политика или да изолират подозрителна дейност, докато легитимният трафик продължава.
Това разграничение е важно, тъй като екипите по сигурност защитават платежни системи, обработващи трансакции, здравни платформи, поддържащи пациенти, услуги за електронна търговия, обслужващи клиенти, и индустриални приложения, поддържащи операциите.
Спирането на атака чрез ненужно спиране на приложението не е устойчивост. Целта е да се попречи на злонамерената дейност да постигне целта си, като същевременно се позволи на легитимните потребители и услуги да продължат да работят.
Защитата трябва да следва приложението
Предизвикателството става по-трудно, когато едно приложение обхваща няколко среди.
Услуга, насочена към клиентите, може да има работни натоварвания в публичен облак, чувствителни системи на локални сървъри, контейнеризирани услуги, работещи в Kubernetes, и API интерфейси, свързващи всички тях.
Всяка среда може да има различни контроли, политики и оперативни екипи.
Пътят на атаката не зачита тези граници.
Ако видимостта и прилагането на политики се променят всеки път, когато трафикът на приложението пресича дадена среда, се появяват слепи петна там, където организациите се нуждаят от последователност.
Следователно защитата трябва да следва приложението и неговите API интерфейси в цялата хибридна мултиоблачна инфраструктура, вместо да зависи от това къде се изпълнява работното натоварване.
Това изисква последователен поглед върху трафика на приложенията, способност за идентифициране на злонамерено или аномално поведение, където и да се появи то, и контроли, способни да реагират без ненужно прекъсване на легитимния трафик.
Наличността е част от резултата за сигурността
Сигурността на приложенията в крайна сметка е проблем на наличността. Съвременният бизнес зависи от това приложенията да бъдат непрекъснато достъпни.
Когато дадено приложение или API интерфейс спре да работи, инцидентът със сигурността бързо се превръща в прекъсване на бизнеса.
Проучвания в индустрията установиха, че значимите инциденти, свързани с API интерфейси, ботове и DDoS атаки, отнемат на организациите средно по 2.8 часа за пълно разрешаване.
Те също така изчисляват, че средната цена на престоя поради DDoS атака на ниво приложение е $7,530 на минута.
Следователно за лидерите по сигурността успехът не може да се измерва просто с това колко трафик е блокиран или колко заплахи са открити.
Важното е дали организацията може да овладее злонамерената дейност, докато поддържа критичните услуги работещи.
Сигурността и предоставянето на приложения все повече трябва да се движат заедно. Защитата трябва да бъде достатъчно силна, за да спре злонамерения трафик, достатъчно прецизна, за да запази легитимния трафик, и достатъчно последователна, за да работи навсякъде, където се изпълнява приложението.
От познаване на заплахата към готовност за нея
Разузнаването за заплахи, управлението на уязвимости, сигнатурите, контролът на достъпа и превантивните защити остават фундаментални за киберотбраната.
Но организациите не могат да предполагат, че винаги ще знаят точната форма на атаката, преди тя да достигне до работещо приложение.
Тъй като заплахите стават все по-адаптивни, сигурността трябва да съчетава това, което знае предварително, с онова, което може да научи от поведението на приложенията и API интерфейсите по време на изпълнение.
Непрекъснатата видимост трябва да захранва поведенческото откриване, а поведенческото откриване трябва да се превръща в прилагане на политики, преди злонамерената дейност да окаже оперативно въздействие.
Това означава непрекъсната готовност за сигурност. Става дума по-малко за предсказване на всяка атака, а повече за разпознаване кога поведението се променя, оценка на риска и действие, докато приложението остава достъпно.
Киберустойчивостта все повече ще се определя в пространството между първото значимо отклонение и прекъсването на бизнеса.
Най-добре подготвените организации ще бъдат тези, които могат да разпознаят тази промяна рано, да адаптират защитата си и да поддържат работещи приложенията, от които зависи техният бизнес.