В июльском партнёрском дайджесте Positive Technologies сразу несколько заметных обновлений: ускорение моделирования атак, новые ML-механизмы анализа файлов, расширение мониторинга промышленных сетей и исследование того, насколько доступным стало изменение мобильных приложений с помощью LLM.
Главное в июле
MaxPatrol Carbon быстрее строит маршруты атак, PT Sandbox усиливает первичный анализ файлов, а PT ISIM получает безагентный сбор событий. Одновременно исследование PT показывает, как LLM снижают порог для модификации Android-приложений.
MaxPatrol Carbon 26.2: маршруты атак рассчитываются в 20 раз быстрее
В MaxPatrol Carbon 26.2 Positive Technologies оптимизировала построение графа атак и алгоритмы расчёта потенциальных путей злоумышленника. Производительность моделирования выросла в 20 раз — это особенно заметно в крупных и сложных инфраструктурах, где состояние защищённости приходится пересчитывать после каждого существенного изменения.
Два ключевых показателя релиза
- 20-кратное ускорение расчёта маршрутов атак;
- покрытие 81% техник MITRE ATT&CK 15.1 при моделировании действий злоумышленника.
Экспертиза дополнена сценариями компрометации Active Directory, злоупотребления делегированием Kerberos и групповыми политиками, атак через Microsoft Exchange, слабые парольные политики, Kaspersky Security Center и Microsoft SCCM. В едином окне теперь можно оценивать площадь атаки, качество аудита и полноту данных об ИТ-инфраструктуре; также упрощены первичная настройка точек входа и работа с рекомендациями.
PT Sandbox: ByteDog подключили к статическому анализу файлов
В PT Sandbox интегрирована нейросеть ByteDog. Она анализирует исполняемые файлы Linux и Windows напрямую на уровне байтов и работает параллельно с классическим движком и антивирусами, усиливая первичную проверку без запуска объекта в виртуальной среде.
По данным вендора, на текущем этапе ByteDog позволяет обнаруживать на 10% больше угроз при статическом анализе и на 2% больше — при поведенческом. Модель не требует ручной подготовки данных под каждый новый вид вредоносного ПО и не предъявляет повышенных требований к аппаратным ресурсам. Функциональность пока работает в бета-режиме и включается через техническую поддержку Positive Technologies.
PT ISIM 6: события из промышленного сегмента — без установки агентов
PT ISIM 6 получила встроенные возможности класса SIEM: безагентный сбор и анализ событий безопасности из Windows Event Log и по протоколу syslog. Это закрывает типичный для ОТ-инфраструктур разрыв, когда на устаревшее оборудование, несовместимую ОС или изолированный узел невозможно установить дополнительный программный компонент.
Мониторинг охватывает серверы и АСУ ТП, операторские и инженерные станции, сетевое оборудование. Модуль включён и в PT ISIM Collector, поэтому события можно собирать в распределённых системах управления и изолированных сегментах. Для поиска добавлены текстовый язык запросов, группировка и сохраняемые пользовательские представления; данные можно передавать в корпоративные SIEM и озёра данных.
LLM и Android: модификация приложения стала дешёвой и быстрой
В исследовании Positive Technologies семь языковых моделей пытались автономно изменить и пересобрать 90 Android-приложений. Ручная подготовка APK не выполнялась: модель сама выбирала инструменты и последовательность действий, а результат проверялся автоматизированно.
Для успешной модификации в среднем требовалось 14 итераций. С учётом неудачных попыток стоимость одного успешного результата в эксперименте составила от 0,0115 до 0,5334 доллара в зависимости от модели. Проверялось нейтральное изменение кода, однако сам факт автономной декомпиляции, правки, пересборки и запуска APK показывает, насколько ниже стал порог для создания вредоносных клонов.
Для команд мобильной разработки это дополнительный аргумент усиливать контроль целостности, подпись сборок, защиту от модификации и мониторинг неофициальных каналов распространения приложений: стоимость автоматизированной попытки уже перестала быть существенным барьером.