«Лаборатория Касперского»: более половины критических киберинцидентов компании обнаруживают только спустя три месяца

Многие организации слишком поздно обнаруживают признаки компрометации своей ИТ-инфраструктуры. К такому выводу пришли эксперты «Лаборатории Касперского», проанализировав результаты работы сервиса Kaspersky Compromise Assessment за 2025 год.

Согласно исследованию, 52% инцидентов высокой критичности были выявлены только спустя более 90 дней, а в 31% случаев злоумышленники оставались в корпоративной инфраструктуре свыше трёх месяцев. Эксперты также зафиксировали случай, когда признаки компрометации оставались незамеченными в течение четырёх лет.

Исследование показало, что существующих средств мониторинга зачастую недостаточно для своевременного выявления угроз. Каждый пятый инцидент был обнаружен вручную, а в 60% случаев организации не получили надёжных оповещений от используемых средств защиты. Кроме того, около 40% обнаруженных веб-шеллов находились в резервных копиях, что создавало риск повторной компрометации даже после устранения первоначальной атаки.

Ещё одной распространённой проблемой стали внутренние организационные процессы. Почти в трети случаев (32%) эффективность реагирования снижалась из-за недостатков коммуникации между командами, включая потерю знаний вследствие текучести кадров и несогласованность действий.

«По мере цифровой трансформации бизнеса в Азербайджане вопросы своевременного обнаружения киберугроз становятся всё более актуальными. Компании инвестируют в средства защиты, однако злоумышленники также совершенствуют свои методы. Поэтому важно не только предотвращать атаки, но и регулярно проверять инфраструктуру на наличие скрытых признаков компрометации. Такой подход помогает своевременно выявлять потенциальные угрозы, снижать риск серьёзных инцидентов и повышать общий уровень киберустойчивости организации», — отметил Мушвиг Мамедов, официальный представитель «Лаборатории Касперского» в Азербайджане.

Полная версия исследования доступна на Securelist.

«Лаборатория Касперского» рекомендует:

• провести комплексную проверку работоспособности механизма обнаружения, уделяя приоритетное внимание целостности телеметрических данных и актуальности правил;
• создать команду валидации оповещений первого уровня, которая будет регулярно проверять все события с низким уровнем достоверности по установленному графику;
• организовать тщательный круглосуточный мониторинг и усилить его активным поиском поиска угроз, ориентированным на базовые профили активности, оповещения с низкой точностью и новые техники злоумышленников;
• пересмотреть процессы управления уязвимостями и обеспечить регулярное внедрение исправлений и полноценное ведение логов аудита на всех критически важных активах;
• обновить программы повышения осведомлённости в области информационной безопасности, уделив особое внимание вопросам утечки учётных данных с личных устройств и практике безопасного использования персональных устройств для работы (BYOD);
• регулярно проводить тренинги для отработки сценариев реагирования, повышения квалификации команд и улучшения коммуникаций;
• разработать соглашения об уровне операционной поддержки (OLA), регламентирующие взаимодействие между командами, а также стандартные операционные процедуры (SOP) для корректного документирования.