Сравнительный анализ эффективности современных методов и архитектур обеспечения безопасности локальных вычислительных сетей (Zero Trust, XDR, NGFW)

Представьте себе цифровую крепость, которая еще недавно казалась неприступной. Ее массивные стены — периметровая защита — были призваны сдерживать любые угрозы извне. Однако современный ландшафт киберугроз радикально изменил это представление. Границы корпоративных сетей размылись, растворившись в облачных сервисах, удаленных рабочих местах и повсеместном распространении устройств Интернета вещей (IoT). Сегодня, по данным за 2024 год, число кибератак на российские компании возросло в 2,5 раза по сравнению с предыдущим годом, достигнув почти 130 тысяч инцидентов. Эта ошеломляющая статистика – не просто цифры, это крик о необходимости переосмысления фундаментальных подходов к обеспечению безопасности локальных вычислительных сетей (ЛВС).

Традиционные методы защиты, ориентированные на укрепление внешнего периметра, оказались неэффективными перед лицом таких угроз, как компрометация учетных записей, сложные фишинговые кампании и изощренное вредоносное программное обеспечение. На смену им приходят новые архитектуры, такие как Zero Trust Architecture (ZTA) и расширенное обнаружение и реагирование (XDR), обещающие более глубокую и адаптивную защиту.

Цель данной курсовой работы — провести метрически-ориентированный сравнительный анализ современных методов и архитектур обеспечения безопасности ЛВС, оценивая их эффективность, совокупную стоимость владения и соответствие актуальным регуляторным требованиям Российской Федерации. Для достижения этой цели будут поставлены и решены следующие задачи:

• Проанализировать ключевые киберугрозы и векторы атак, ставшие наиболее актуальными для ЛВС после 2020 года.
• Детально изучить концепции и принципы Zero Trust Architecture, SASE, XDR и Deception Technologies.
• Разработать методологию количественного сравнения решений ИБ, включающую метрики TCO, MTTR и CVSS v4.0.
• Оценить, как требования российского законодательства (ФЗ-152, ФСТЭК России) влияют на выбор и конфигурацию отечественных и зарубежных средств защиты.
• Сравнить эффективность применения искусственного интеллекта/машинного обучения (AI/ML) для детектирования аномалий с традиционными сигнатурными и эвристическими методами.

Результаты исследования позволят не только глубже понять текущие вызовы в сфере кибербезопасности ЛВС, но и предоставить практические рекомендации по выбору и внедрению наиболее эффективных и соответствующих нормативным требованиям решений.

Глава 1. Теоретические основы и анализ актуальных угроз для ЛВС (Пост-2020)

Актуальные киберугрозы и статистика атак в России (2024)

Цифровой ландшафт России в последние годы претерпел значительные изменения, превратившись в арену для беспрецедентного роста кибератак. Статистика 2024 года, представленная ведущими аналитическими агентствами, рисует тревожную картину: число кибератак на компании в России возросло в 2,5 раза по сравнению с 2023 годом, достигнув почти 130 тысяч инцидентов. Это не просто рост, это экспоненциальное увеличение угроз, требующее немедленной и комплексной реакции. Ведь каждая из этих атак потенциально ведет к финансовым потерям, утечкам данных и репутационному ущербу.

Особое беспокойство вызывает тот факт, что около 64% от общего числа инцидентов пришлось на организации отраслей критической информационной инфраструктуры (КИИ). Это свидетельствует о целенаправленных атаках на наиболее чувствительные сектора экономики, способные вызвать каскадные сбои и иметь серьезные последствия для национальной безопасности. В этом контексте промышленность стала самой атакуемой отраслью, что подтверждается детализированными данными: в I квартале 2024 года киберпреступники активно нацеливались на автоматизацию зданий (24,4%), энергетику (24,4%) и строительство (24,4%). Эти секторы являются основой любой экономики, и их уязвимость создает критические риски.

Анализ векторов атак выявляет четкие тенденции. Заметен очевидный рост инцидентов, связанных с компрометацией учетной записи, доля которых к концу 2024 года выросла до 35%. Это указывает на смещение фокуса злоумышленников с прямых атак на инфраструктуру к эксплуатации человеческого фактора и уязвимостей в системах управления доступом. Параллельно с этим вредоносное программное обеспечение (ВПО) по-прежнему остается основной угрозой для российских организаций. В III квартале 2024 года ВПО применялось в 65% успешных атак, при этом доминировали ВПО для удаленного управления (RAT, 44%) и шифровальщики (44%), способные парализовать работу целых предприятий.

Низкая осведомленность конечных пользователей о методах социальной инженерии продолжает оставаться серьезным вектором атак для выманивания учетных данных и другой конфиденциальной информации. Социальная инженерия применялась в половине (50%) успешных атак на организации в III квартале 2024 года, что подчеркивает необходимость усиления обучения и повышения бдительности сотрудников, ведь именно они часто становятся первой линией обороны.

Наконец, нельзя игнорировать новые угрозы, возникшие в результате глобальных изменений, таких как пандемия COVID-19. Вынужденный переход на удаленную работу, активное использование облачной архитектуры и массовое внедрение устройств Интернета вещей (IoT) создали новые «лазейки» в домашних и корпоративных сетях. Устройства IoT, часто имеющие слабые настройки безопасности, становятся точкой входа для злоумышленников, а облачные сервисы, при некорректной конфигурации, могут раскрыть критические данные. Все эти факторы в совокупности требуют принципиально новых подходов к защите ЛВС.

Эволюция архитектур: Принципы Zero Trust и микросегментация

Традиционная модель сетевой безопасности долгое время базировалась на концепции «крепости и рва», где периметр сети считался укрепленной границей, а все, что находилось внутри, по умолчанию считалось доверенным. Однако стремительная цифровизация, повсеместное внедрение удаленной работы, распространение облачных сервисов и устройств IoT привели к тому, что традиционная модель сетевой безопасности, основанная на защите периметра, становится недостаточной. Границы сети стали размытыми, проницаемыми, а внутреннее пространство, некогда считавшееся безопасным, теперь представляет собой сложный ландшафт, где угрозы могут скрываться незамеченными.

В ответ на эти вызовы возникла и получила широкое распространение Zero Trust Architecture (ZTA) — архитектурный подход, основанный на принципе «никогда не доверяй, всегда проверяй». Это не просто технология, а фундаментальная смена парадигмы безопасности, при которой ни одна сущность (будь то пользователь, устройство, приложение или служба) не считается доверенной по умолчанию, независимо от ее местоположения внутри или вне сетевого периметра. Каждое взаимодействие, каждый запрос на доступ должен быть аутентифицирован, авторизован и непрерывно верифицирован.

Ключевые принципы ZTA формируют ее основу:

1. Ориентация на личность (надежное управление идентификацией и доступом — IAM): Каждому пользователю и устройству присваивается уникальный идентификатор, а доступ к ресурсам контролируется на основе строгих политик. IAM становится центральным элементом, обеспечивающим, что только авторизованные субъекты могут получить доступ к необходимым ресурсам.
2. Принцип наименьших привилегий (Least Privilege): Пользователям и системам предоставляется минимальный объем доступа, необходимый исключительно для выполнения их задач. Это минимизирует потенциальный ущерб в случае компрометации.
3. Микросегментация: Этот принцип является одним из краеугольных камней ZTA. Микросегментация разделяет корпоративную сеть на небольшие, изолированные сегменты с собственными средствами контроля доступа. Это значительно ограничивает латеральное перемещение злоумышленников (lateral movement) в случае проникновения в один из сегментов. Вместо одного большого доверенного сегмента, сеть становится набором мелких, тщательно контролируемых зон, где каждый переход требует новой аутентификации и авторизации.
4. Непрерывный мониторинг и аналитика: Все взаимодействия и попытки доступа постоянно отслеживаются и анализируются на предмет аномалий. Системы мониторинга собирают телеметрию, поведенческие данные и журналы событий, чтобы оперативно выявлять потенциальные угрозы.
5. Автоматизация и оркестрация: ZTA предполагает автоматизацию процессов аутентификации, авторизации и реагирования на инциденты, что позволяет быстро адаптироваться к изменяющимся условиям и угрозам.

Внедрение ZTA требует комплексного подхода, но ее преимущества, особенно в условиях размытого периметра и роста сложных кибератак, делают ее ключевой архитектурой для обеспечения безопасности ЛВС в современном мире.

Обзор современных технологий безопасности (SASE, XDR, Deception)

По мере того как традиционные подходы к безопасности ЛВС теряют свою актуальность, на первый план выходят инновационные технологии, способные обеспечить адаптивную и всестороннюю защиту в условиях постоянно меняющихся угроз. Среди них особое место занимают SASE, XDR и Deception Technology, каждая из которых предлагает уникальные возможности для усиления кибербезопасности.

SASE (Secure Access Service Edge) представляет собой облачно-ориентированную архитектуру, которая объединяет сетевые и защитные сервисы в единый фреймворк. Эта концепция разработана для обеспечения безопасного и высокопроизводительного доступа пользователей из любого места и с любого устройства к корпоративным ресурсам, будь то облачные приложения или данные в ЦОД. SASE интегрирует в себя такие ключевые компоненты, как:

• FWaaS (Firewall as a Service): Облачный файрвол, обеспечивающий защиту на периметре, но с гибкостью облачного развертывания.
• ZTNA (Zero Trust Network Access): Реализация принципов Zero Trust для доступа к приложениям, обеспечивая, что доступ предоставляется только авторизованным пользователям к конкретным приложениям, а не ко всей сети.
• SWG (Secure Web Gateway): Защита от веб-угроз, фильтрация контента и контроль доступа к веб-ресурсам.
• CASB (Cloud Access Security Broker): Средство для обеспечения безопасности облачных приложений, мониторинга и контроля использования облачных сервисов.
• SD-WAN (Software-Defined Wide Area Network): Технология для оптимизации и управления глобальными сетями, обеспечивающая гибкость и производительность.

Преимущество SASE заключается в консолидации и упрощении управления безопасностью, снижении сложности инфраструктуры и обеспечении единообразной политики безопасности для распределенных пользователей и ресурсов.

XDR (Extended Detection and Response) — это эволюция технологии обнаружения и реагирования, которая значительно превосходит своего предшественника, EDR (Endpoint Detection and Response). Если EDR фокусируется на конечных точках, то XDR анализирует угрозы и аномалии не только на конечных точках, но и в сетях, облаках и гибридных средах. Ключевая особенность XDR-платформ — их способность к кросс-корреляции данных. Они агрегируют и анализируют телеметрию из самых разнообразных источников: электронной почты, облачных рабочих нагрузок, сетевого трафика, систем управления идентификацией, журналов сервера и конечных устройств. Это объединение данных в едином «озере данных» позволяет XDR формировать гораздо более полную картину инцидента, выявлять сложные атаки, которые могли бы остаться незамеченными отдельными средствами защиты, и значительно ускорять процесс реагирования.

Deception Technology (Технологии обмана) представляют собой инновационный подход к обнаружению и сдерживанию злоумышленников. Эти методы основаны на автоматическом создании аутентично выглядящих активов-приманок (декоев, ловушек) внутри сети. Идея заключается в том, чтобы заманить атакующего в «медовую ловушку» (honeypot), создавая иллюзию ценных ресурсов. Как только злоумышленник взаимодействует с таким декоем, система немедленно фиксирует инцидент, позволяет отследить его действия и собирать данные об используемых методах. В качестве приманок (honeypots, honeydocs) могут использоваться ложные учетные записи пользователей, записи в реестре, поддельные файлы с паролями, эмулированные сетевые сервисы или даже целые виртуальные машины. Deception Technologies эффективны для обнаружения латерального перемещения, инсайдерских угроз и атак «нулевого дня», поскольку злоумышленник, попавший в ловушку, не сможет отличить реальные активы от поддельных.

Эти три технологии — SASE, XDR и Deception — отражают современный тренд в кибербезопасности: от реактивной защиты к проактивному обнаружению и адаптивному реагированию, с фокусом на интеграцию и комплексный подход.

Глава 2. Методология и количественные метрики сравнительного анализа

Эффективность любой системы безопасности, тем более в такой динамичной области, как защита ЛВС, не может быть оценена лишь на основе декларативных заявлений вендоров. Для принятия обоснованных решений требуется строгая, количественно измеримая методология. В этом разделе мы представим комплексный подход, основанный на экономических, операционных и риск-ориентированных метриках, что позволит объективно сравнивать различные современные решения ИБ, такие как NGFW, XDR и SIEM.

Экономическая метрика: Совокупная стоимость владения (TCO)

Выбор системы информационной безопасности — это не только техническое, но и значительное финансовое решение. Цена покупки, указанная в прайс-листе, является лишь вершиной айсберга. Для получения полной картины необходимо использовать метрику TCO (Total Cost of Ownership, Совокупная стоимость владения), которая определяет общую стоимость актива (системы ИБ) за весь срок его полезного использования. TCO охватывает гораздо больше, чем просто первоначальные инвестиции, и включает как прямые, так и косвенные расходы.

Расчет TCO для системы ИБ должен учитывать следующие категории расходов:

• CAPEX (Capital Expenditures, Капитальные затраты): Это единовременные инвестиции в приобретение оборудования, лицензий на программное обеспечение, первоначальную настройку и интеграцию. Например, стоимость самих NGFW-устройств, лицензий на XDR-платформу, а также затраты на серверы для развертывания SIEM-системы.
• OPEX (Operational Expenditures, Операционные затраты): Это регулярные, повторяющиеся расходы, связанные с поддержанием и эксплуатацией системы. Сюда входят:
  • Лицензионные платежи и подписки: Ежегодные или ежемесячные платежи за продление лицензий, подписки на обновления сигнатур угроз, доступ к облачным сервисам.
  • Затраты на персонал: Заработная плата специалистов по ИБ, которые управляют, мониторят, обслуживают и настраивают систему. Это один из наиболее значительных, но часто недооцениваемых компонентов TCO.
  • Обучение персонала: Расходы на повышение квалификации сотрудников, их сертификацию для работы с новыми решениями ИБ.
  • Техническая поддержка: Стоимость контрактов на обслуживание и поддержку от вендора.
  • Энергопотребление и охлаждение: Для аппаратных решений.
  • Модернизация и масштабирование: Затраты на обновление аппаратного обеспечения или расширение программных мощностей по мере роста инфраструктуры или изменения требований.
• Косвенные затраты и риски: Этот аспект часто упускается, но он критически важен. Применительно к ИБ-системам, в TCO необходимо также учитывать потенциальные убытки от рисков и угроз, связанных с недостаточным уровнем защиты. Это могут быть потери от простоя бизнеса из-за кибератаки, штрафы за несоблюдение регуляторных требований (например, ФЗ-152), репутационный ущерб, расходы на реагирование на инциденты и восстановление данных. Хотя эти потери сложно предсказать точно, их необходимо учитывать в вероятностном смысле.

В наиболее общем виде TCO рассчитывается как сумма капитальных затрат (CAPEX) и операционных затрат (OPEX) за весь жизненный цикл системы:

TCO = CAPEX + Σt=1n (OPEXt + Косвенные Затратыt)

где n — срок владения.

Комплексный расчет TCO позволяет принимать более обоснованные решения, оценивая не только начальные инвестиции, но и долгосрочные финансовые последствия выбора того или иного решения ИБ.

Операционная метрика: Среднее время до реагирования/восстановления (MTTR)

В мире кибербезопасности время — критический ресурс. Чем быстрее организация может обнаружить кибератаку, отреагировать на нее и восстановить нормальную работу, тем меньше будет ущерб. Именно поэтому MTTR (Mean Time to Respond/Recover, Среднее время до реагирования/восстановления) является ключевой операционной метрикой для оценки эффективности систем детектирования и реагирования, таких как XDR, SIEM и SOAR.

MTTR — это показатель, который отражает оперативность процессов информационной безопасности. Он может быть детализирован на несколько составляющих:

• MTTD (Mean Time to Detect): Среднее время, необходимое для обнаружения угрозы.
• MTTI (Mean Time to Investigate): Среднее время, затрачиваемое на расследование инцидента.
• MTTC (Mean Time to Contain): Среднее время, необходимое для сдерживания угрозы и предотвращения ее распространения.
• MTTR (Mean Time to Recover): Среднее время, затрачиваемое на полное во��становление системы после инцидента.

В более общем виде, MTTR (Mean Time to Respond/Recover) рассчитывается как отношение общего времени, затраченного на устранение инцидентов (или простоя), к общему количеству инцидентов за определенный период:

MTTR = (Общее время устранения) / (Количество инцидентов)

Например, если за месяц произошло 5 инцидентов, а общее время, затраченное на их обнаружение, расследование, сдерживание и восстановление, составило 40 часов, то MTTR = 40 часов / 5 инцидентов = 8 часов на инцидент.

Как автоматизация снижает MTTR?

Современные системы XDR, особенно те, что интегрируют продвинутую аналитику на базе AI/ML и элементы SOAR (Security Orchestration, Automation and Response), призваны существенно снижать MTTR по сравнению с традиционными SIEM. Вот как это происходит:

• Автоматизированное обнаружение: AI/ML-алгоритмы могут практически мгновенно выявлять аномалии и индикаторы компрометации (IoC), значительно сокращая MTTD.
• Кросс-корреляция данных: XDR автоматически агрегирует данные из разных источников, предоставляя аналитикам полную картину инцидента, что уменьшает MTTI, поскольку не требуется ручного сбора и анализа разрозненных логов.
• Автоматическое реагирование (SOAR): Некоторые XDR-платформы могут запускать заранее определенные сценарии реагирования — например, изоляцию скомпрометированного хоста, блокировку вредоносного IP-адреса, сброс пароля пользователя — без участия человека, что значительно уменьшает MTTC.
• Ускоренное восстановление: Автоматизация процессов резервного копирования и восстановления, а также предоставление четких инструкций по устранению последствий, способствует более быстрому MTTR.

Таким образом, система XDR с продвинутой аналитикой и автоматизацией (например, на базе AI/ML) должна обеспечивать существенно меньший MTTR по сравнению с традиционными SIEM, которые часто требуют значительного ручного анализа и координации. Снижение MTTR напрямую коррелирует со снижением финансового ущерба и репутационных рисков для организации.

Риск-ориентированная метрика: Общая система оценки уязвимостей (CVSS v4.0)

В контексте защиты ЛВС, знание о наличии уязвимостей в программном или аппаратном обеспечении является лишь половиной битвы. Критически важно понимать, насколько опасна каждая конкретная уязвимость, чтобы эффективно расставлять приоритеты в процессе ее устранения. Для этого используется CVSS (Common Vulnerability Scoring System, Общая система оценки уязвимостей) — общепринятый стандарт, предоставляющий числовую оценку серьезности уязвимости.

Актуальной версией стандарта является CVSS v4.0, опубликованная в 2023 году, которая предлагает более детализированный и адаптивный подход к оценке, чем ее предшественники. В отличие от предыдущих версий, CVSS v4.0 включает четыре группы метрик, позволяющих комплексно оценить угрозу:

1. Базовые метрики (Base Metrics): Описывают фундаментальные характеристики уязвимости, которые остаются неизменными во времени и не зависят от окружения. К ним относятся:
   • Атакуемый вектор (Attack Vector, AV): Как можно получить доступ к уязвимому компоненту (например, сетевой, соседний, локальный, физический).
   • Сложность атаки (Attack Complexity, AC): Насколько сложно реализовать атаку.
   • Требуемые привилегии (Privileges Required, PR): Нужны ли атакующему привилегии.
   • Взаимодействие с пользователем (User Interaction, UI): Требуется ли участие пользователя.
   • Область действия (Scope, S): Может ли уязвимость затронуть компоненты за пределами исходного уровня безопасности.
   • Влияние на конфиденциальность, целостность и доступность (Confidentiality, Integrity, Availability, C, I, A): Каково влияние успешной атаки на эти три аспекта.
2. Метрики угроз (Threat Metrics): Описывают текущее состояние эксплуатации уязвимости в реальном мире. Они изменяются со временем и отражают наличие эксплойтов, уровень зрелости кода эксплойта и наличие исправлений.
3. Метрики окружения (Environmental Metrics): Позволяют организации адаптировать оценку уязвимости к своему специфическому ИТ-окружению. Они учитывают важность затронутого актива для бизнеса, наличие компенсирующих мер и степень доступности для пользователей.
4. Дополнительные метрики (Supplemental Metrics): Добавлены в v4.0 для предоставления дополнительной информации, которая может быть полезна при принятии решений, например, по затратам на восстановление или по автоматизации процесса эксплуатации.

Числовой рейтинг CVSS находится в диапазоне от 0,0 до 10,0, где более высокие значения указывают на более высокую степень опасности. Традиционно, оценка от 9,0 до 10,0 считается критической, требующей немедленного реагирования.

Практическое применение CVSS в контексте ЛВС:

Решения, такие как NGFW или системы управления патчами/конфигурациями, могут сравниваться по их способности минимизировать риск, связанный с высокооцененными CVSS уязвимостями. Например:

• NGFW с функцией виртуального патчинга: Способен защитить от эксплуатации известных уязвимостей, для которых еще не выпущены или не установлены официальные патчи, тем самым снижая эффективный CVSS-рейтинг для атакованных систем.
• Системы управления патчами: Их эффективность оценивается по скорости и надежности развертывания обновлений, которые устраняют уязвимости с высокими CVSS-оценками.
• XDR-платформы: Могут выявлять попытки эксплуатации уязвимостей, даже если они не были устранены, и оперативно реагировать, ограничивая потенциальный ущерб.

Использование CVSS v4.0 позволяет организациям не только оценивать риски, но и принимать стратегические решения по приоритезации усилий по безопасности, направляя ресурсы на устранение наиболее критичных уязвимостей в ЛВС.

Глава 3. Сравнительный анализ эффективности современных решений и методов

Сравнительный анализ архитектуры Zero Trust против традиционной защиты ЛВС

Противостояние Zero Trust Architecture (ZTA) и традиционной периметровой защиты стало одной из ключевых тем в дискуссиях о кибербезопасности последних лет. Традиционная модель, десятилетиями служившая основой защиты, сегодня сталкивается с фундаментальными вызовами, делающими ее все менее эффективной. ZTA же предлагает принципиально новый взгляд, более соответствующий реалиям современного цифрового мира. Рассмотрим основные различия между этими двумя архитектурами по ключевым параметрам.

Параметр сравнения	Традиционная периметровая защита	Zero Trust Architecture (ZTA)
Местоположение доверия	Вся сущность внутри периметра считается доверенной по умолчанию.	Ни одна сущность (пользователь, устройство, приложение) не считается доверенной по умолчанию.
Принцип доступа	Доступ основан на сетевом местоположении (IP-адрес, подсеть). Доступ к внутренним ресурсам после прохождения периметра часто неограничен.	Доступ основан на личности, контексте, политиках и наименьших привилегиях. Каждый запрос на доступ требует верификации.
Тип аутентификации	Часто одноразовая аутентификация при входе в сеть.	Непрерывная аутентификация и авторизация, многофакторная аутентификация (MFA) обязательна.
Защита от латерального перемещения	Низкая. После преодоления периметра злоумышленник может свободно перемещаться внутри сети.	Высокая. Микросегментация и принцип наименьших привилегий значительно ограничивают распространение атаки.
Мониторинг и аналитика	Фокус на внешнем периметре, внутренний трафик мониторится ограниченно.	Непрерывный мониторинг всего трафика и всех взаимодействий, поведенческая аналитика.
Реакция на инциденты	Часто реактивная, основанная на уже произошедших событиях.	Проактивная, с акцентом на раннее обнаружение и автоматизированное сдерживание.
Сложность управления	С ростом сети и распределения ресурсов становится неконтролируемо сложной.	Консолидированное управление политиками, автоматизация, но требует значительных первоначальных инвестиций в проектирование.
Гибкость и масштабируемость	Низкая, тяжело адаптируется к облакам, удаленным пользователям и IoT.	Высокая, изначально спроектирована для работы в распределенных и гибридных средах.
Устойчивость к современным угрозам	Низкая против инсайдерских атак, атак «нулевого дня» и компрометации учетных записей.	Высокая, минимизирует риски от большинства современных векторов атак.

Как видно из таблицы, ZTA не просто улучшает традиционную защиту, она ее полностью переосмысливает. Если традиционная модель создает жесткий внешний барьер, то ZTA выстраивает множество внутренних, адаптивных микро-барьеров, каждый из которых непрерывно проверяет доверие. Это делает ZTA гораздо более устойчивой к инсайдерским угрозам, атакам «нулевого дня» и успешной компрометации учетных записей, которые являются бичом традиционных систем. Переход к ZTA — это не просто обновление технологий, а стратегическое решение, необходимое для обеспечения долгосрочной безопасности ЛВС в динамичном и угрожающем киберпространстве.

Сравнительный анализ эффективности AI/ML, сигнатурного и эвристического анализа

Детектирование аномалий и угроз в сетевом трафике является краеугольным камнем эффективной системы безопасности ЛВС. На протяжении десятилетий основными методами были сигнатурный и эвристический анализ, но с появлением сложных, полиморфных угроз и атак «нулевого дня» их эффективность стала недостаточной. На сцену выходит искусственный интеллект и машинное обучение (AI/ML), предлагающие качественно новый уровень обнаружения.

Рассмотрим сравнительные характеристики этих трех подходов:

Параметр	Сигнатурный анализ	Эвристический анализ	AI/ML-анализ (нейросети, кластеризация)
Метод обнаружения	Поиск известных паттернов (сигнатур) угроз в трафике/файлах.	Поиск подозрительного поведения или структур, отклоняющихся от «нормального», на основе набора правил.	Обучение на исторических данных для выявления закономерностей и интерпретация значительных отклонений как аномалий.
Эффективность против известных угроз	Высокая (быстро, точно).	Средняя, может обнаружить вариации известных угроз.	Высокая, если обучался на данных с известными угрозами.
Эффективность против атак «нулевого дня» (Zero-day)	Нулевая, так как нет сигнатур.	Низкая-средняя, может выявить подозрительное поведение, но высокий риск ложных срабатываний.	Высокая, способен выявлять новые и неизвестные угрозы по их аномальному поведению.
Ложные срабатывания (False Positives)	Низкие.	Высокие (часто требует ручной настройки правил).	Низкие-средние, зависит от качества обучения и используемых алгоритмов; потенциально минимизируются при хорошей модели.
Скорость обнаружения	Высокая.	Средняя.	Зависит от сложности модели, но часто очень высокая после обучения.
Адаптивность к новым угрозам	Низкая, требует постоянного обновления сигнатур.	Средняя, может адаптироваться к некоторым изменениям.	Высокая, способен адаптироваться к изменяющимся условиям и выявлять сложные, ранее неизвестные паттерны атак.
Требуемые ресурсы	Низкие.	Средние.	Высокие (вычислительная мощность, большие объемы данных для обучения).
Проблемы/Недостатки	Устаревает, неэффективен против полиморфного ВПО.	Высокий риск ложных срабатываний, сложность поддержания правил.	Дисбаланс классов (аномалии редки), отсутствие этикеток (разметки), «черный ящик» (сложность интерпретации).

Преимущества AI/ML:

• Адаптивность и точность: AI/ML способен адаптироваться к изменяющимся условиям и учитывать сложные паттерны, что делает его более точным в обнаружении отклонений по сравнению с традиционным сигнатурным или эвристическим анализом. Он может выявлять тонкие аномалии, которые человек или статические правила могли бы пропустить.
• Обнаружение неизвестных угроз: Благодаря обучению на «нормальном» поведении, AI/ML может выявлять аномалии, указывающие на атаки «нулевого дня» или новые вариации вредоносного ПО.
• Автоматизация: Интеграция AI/ML в системы сетевой безопасности повышает эффективность стратегий обнаружения аномалий, помогая идентифицировать сложные киберугрозы с минимальным участием человека.

Ключевые проблемы AI/ML:

• Дисбаланс классов: Аномалии (атаки) по своей природе являются редкими событиями по сравнению с нормальным сетевым трафиком. Это создает проблему дисбаланса классов в обучающих данных, когда модель может быть чрезмерно оптимизирована для распознавания нормального поведения и пропускать редкие аномалии. Для решения этой проблемы используются специальные методы семплирования или синтеза данных.
• Отсутствие этикеток (разметки): Во многих реальных наборах данных нет четкой разметки, указывающей, где именно находятся аномалии. Это усложняет обучение моделей контролируемым методом. Поэтому активно применяются методы без учителя (например, кластеризация K-means) и полуконтролируемые методы (например, One-Class SVM) для обнаружения аномалий.
• Вычислительные ресурсы: Обучение и развертывание сложных AI/ML моделей требует значительных вычислительных мощностей.

Несмотря на эти вызовы, AI/ML становится незаменимым инструментом в арсенале кибербезопасности, дополняя и совершенствуя традиционные методы, особенно в условиях, когда сложность и изощренность атак постоянно растут.

Практический анализ выбора решений (XDR, NGFW) на основе метрик TCO и MTTR

Выбор конкретных решений для защиты ЛВС, будь то NGFW или XDR, должен основываться не только на функциональных возможностях, но и на объективных метриках, таких как TCO и MTTR. Эти показатели позволяют оценить реальную экономическую эффективность и операционную производительность, что крайне важно для стратегического планирования.

Рассмотрим модельный пример сравнения традиционной связки «классический файрвол + антивирус на конечных точках + SIEM» с современным решением на базе XDR-платформы, интегрированной с ZTA-принципами.

Модельный пример: Сравнение TCO и MTTR для различных архитектур

Параметр	Традиционная архитектура (Классический FW + Antivirus + SIEM)	Современная архитектура (NGFW + XDR с AI/ML + ZTNA)
CAPEX (начальные затраты)	Средние (покупка FW, лицензий на Antivirus, SIEM-серверов)	Высокие (инвестиции в NGFW, XDR-платформу, ZTNA-компоненты, возможно, Deception)
OPEX (ежегодные затраты)	Высокие (обновление лицензий, поддержка отдельных систем, значительный штат аналитиков SIEM, ручной анализ логов, обучение персонала)	Средние (обновление лицензий XDR/NGFW, меньше аналитиков благодаря автоматизации, но требуются специалисты по XDR/ZTA)
Расходы на персонал	Высокие (много ручной работы, высокая потребность в специалистах по каждому решению, низкая автоматизация)	Низкие-средние (автоматизация XDR/SOAR, меньше ручной работы, фокус на стратегическом анализе и настройке, а не на рутинных задачах)
MTTD (Mean Time to Detect)	Высокий (разрозненные данные, ручной анализ, долгий поиск корреляций)	Низкий (кросс-корреляция XDR, AI/ML-анализ, автоматическое обнаружение аномалий)
MTTR (Mean Time to Respond)	Высокий (долгое расследование, ручные действия по сдерживанию и восстановлению)	Низкий (автоматизированное реагирование SOAR, четкие сценарии, быстрая изоляция)
Потенциальные убытки от инцидентов	Высокие (более длительный простой, больший ущерб от распространения атак, высокие штрафы)	Низкие (быстрое сдерживание, минимизация простоя, снижение репутационного ущерба)
Общая TCO (за 3-5 лет)	Высокая (высокий OPEX, значительные скрытые расходы на реагирование и восстановление)	Средняя-Низкая (хотя CAPEX выше, OPEX и скрытые расходы значительно ниже, что снижает общую TCO на дистанции)

Интерпретация таблицы:

1. CAPEX vs. OPEX: На первый взгляд, современные решения, такие как XDR и NGFW с продвинутыми функциями, могут показаться более дорогими с точки зрения первоначальных инвестиций (CAPEX). Однако их истинная ценность проявляется в сокращении операционных расходов (OPEX) и снижении потенциальных убытков от инцидентов. Традиционные системы, несмотря на, возможно, меньший CAPEX, часто приводят к высоким OPEX из-за необходимости в большом штате специалистов для ручного управления, анализа и реагирования.
2. Снижение MTTR как драйвер экономии: Одним из ключевых преимуществ решений на базе XDR с AI/ML является значительное снижение MTTR. Как мы видели, сокращение времени от обнаружения до восстановления напрямую коррелирует с уменьшением финансового ущерба от кибератак. Автоматизация процессов обнаружения, расследования и реагирования (SOAR) в XDR-платформах позволяет организации быстрее нейтрализовать угрозы, минимизируя простои, потери данных и репутационные издержки.
3. Применение ZTA для контроля TCO: Внедрение принципов Zero Trust, особенно микросегментации, позволяет эффективно ограничивать распространение угроз внутри сети. Это означает, что даже если атака произойдет, ее масштаб будет локализован, что снизит затраты на восстановление и, как следствие, уменьшит компонент «Косвенные Затраты» в TCO.
4. NGFW в контексте TCO и MTTR: Современные NGFW, особенно с функцией виртуального патчинга и интеграцией с песочницами, также способствуют снижению TCO и MTTR. Они могут предотвращать эксплуатацию известных уязвимостей (уменьшая риски), а также автоматически блокировать вредоносный трафик, снижая нагрузку на аналитиков и ускоряя обнаружение.

Таким образом, хотя первоначальные инвестиции в передовые решения могут быть выше, их способность снижать MTTR и оптимизировать OPEX, а также минимизировать финансовые и репутационные потери от инцидентов, делает их более выгодными с точки зрения общей совокупной стоимости владения на длительном горизонте. Выбор в пользу XDR и ZTA — это инвестиция не только в безопасность, но и в операционную эффективность и финансовую стабильность компании.

Глава 4. Регуляторный аспект и выбор средств защиты в ЛВС Российской Федерации

Внедрение и эксплуатация систем информационной безопасности в Российской Федерации неразрывно связаны с необходимостью соблюдения строгого регуляторного ландшафта. Федеральный закон № 152-ФЗ «О персональных данных» и нормативные акты ФСТЭК России и ФСБ России задают жесткие рамки, которые напрямую влияют на выбор, конфигурацию и даже аттестацию средств защиты информации (СЗИ) в ЛВС.

Зависимость выбора СЗИ от Уровня защищенности ПДн (ФЗ-152, Приказ ФСТЭК № 21)

Федеральный закон № 152-ФЗ «О персональных данных» является основополагающим документом, регулирующим обработку персональных данных (ПДн) в России. Он возлагает на операторов ПДн (организации, обрабатывающие ПДн) широкий круг обязанностей, одной из ключевых среди которых является обязанность проводить оценку эффективности принимаемых мер по защите ПДн (Акт оценки эффективности) в соответствии с п. 4 ч. 2 ст. 19 ФЗ-152.

Приказ ФСТЭК России от 18.02.2013 № 21 «Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных» детально регламентирует порядок проведения этой оценки и определяет минимально необходимый набор мер защиты. Оценка проводится оператором самостоятельно или с привлечением лицензиатов ФСТЭК не реже одного раза в 3 года.

Центральным понятием, определяющим необходимый набор СЗИ, является Уровень защищенности (УЗ) персональных данных. Этот уровень устанавливается оператором самостоятельно на основании четырех категорий ПДн (специальные, биометрические, общедоступные, иные) и типов угроз (1-й, 2-й, 3-й тип, а также угрозы, актуальные для государственной тайны).

Всего существует четыре Уровня защищенности:

• УЗ-1 (Самый высокий): Устанавливается, если обрабатываются специальные или биометрические ПДн (например, о здоровье, расе, политических взглядах) или если для системы актуальны угрозы 1-го типа (связанные с наличием недокументированных возможностей в системном ПО). Для УЗ-1 требуется наиболее полный и строгий набор мер защиты, включая криптографические средства, межсетевые экраны, системы обнаружения вторжений, средства антивирусной защиты, а также строгий контроль доступа и управление обновлениями.
• УЗ-2: Устанавливается при обработке специальных или биометрических ПДн, для которых актуальны угрозы 2-го типа (связанные с наличием уязвимостей в ПО, не обусловленных недокументированными возможностями). Набор мер менее строг, чем для УЗ-1, но все еще требует существенных защитных механизмов.
• УЗ-3: Применяется при обработке общедоступных или иных категорий ПДн, для которых актуальны угрозы 2-го типа.
• УЗ-4 (Самый низкий): Применяется при обработке общедоступных или иных категорий ПДн, для которых актуальны угрозы 3-го типа (связанные с нарушением правил эксплуатации, ошибками пользователей).

Влияние на выбор СЗИ:

Каждому Уровню защищенности соответствует свой перечень обязательных организационных и технических мер, а также классов СЗИ, которые должны быть реализованы. Например, для высоких УЗ (УЗ-1, УЗ-2) может быть обязательным использование СЗИ, сертифицированных ФСТЭК России по определенному классу защищенности. Это означает, что оператор не может просто выбрать любое коммерческое решение, а должен убедиться в его соответствии требованиям регулятора.

Аттестация информационной системы: Необходимость аттестации информационной системы по требованиям безопасности является обязательной для государственных и муниципальных систем. Коммерческим компаниям она может потребоваться при работе с государственной тайной, подключении к государственным информационным системам или по условиям договора. Аттестация подтверждает, что ИС соответствует всем применимым требованиям безопасности.

Контроль за выполнением требований ФЗ-152 осуществляют Роскомнадзор (по части соблюдения прав субъектов ПДн), ФСТЭК России и ФСБ России (по части обеспечения технической защиты информации). Несоблюдение требований может повлечь за собой административные штрафы и другие санкции.

Оценка соответствия ZTA и XDR требованиям российских регуляторов (ФСТЭК/ФСБ)

Внедрение современных архитектур, таких как Zero Trust Architecture (ZTA) и XDR, в российскую ЛВС требует тщательной оценки их соответствия национальным регуляторным требованиям, установленным ФСТЭК России и ФСБ России. Хотя эти архитектуры разработаны с международными стандартами, их адаптация к специфике российского законодательства является критически важным этапом.

Соответствие ZTA требованиям ФСТЭК России:

Концепция ZTA, основанная на принципах «никогда не доверяй, всегда проверяй» и микросегментации, во многом гармонизирует с базовыми целями российских регуляторов по обеспечению конфиденциальности, целостности и доступности информации.

• Микросегментация и контроль доступа: Ключевой элемент ZTA — микросегментация — напрямую способствует выполнению требований ФСТЭК к разделению сетевых сегментов и контролю доступа. Приказы ФСТЭК России (например, № 21 для ПДн, № 17 для ГИС) требуют реализации мер по управлению доступом и сегментации сети. ZTA обеспечивает гранулярный контроль доступа к ресурсам (пользователь, устройство, приложение), что превосходит возможности традиционных межсетевых экранов по управлению доступом внутри сети.
• Принцип наименьших привилегий: ZTA строго следует этому принципу, что соответствует требованиям ФСТЭК к разграничению прав доступа и минимизации полномочий.
• Непрерывная аутентификация и авторизация: Постоянный мониторинг и верификация доступа в ZTA соответствуют требованиям к идентификации, аутентификации и управлению сессиями. Использование многофакторной аутентификации (MFA), которая является неотъемлемой частью ZTA, также предписывается российскими стандартами для повышенных уровней защищенности.
• Мониторинг событий безопасности: ZTA подразумевает постоянный сбор и анализ телеметрии со всех точек взаимодействия. Это напрямую коррелирует с требованиями к регистрации событий безопасности, централизованному сбору логов и их анализу.

Соответствие XDR требованиям ФСТЭК России:

XDR-платформы, с их способностью агрегировать и кросс-коррелировать данные из различных источников (конечные точки, сеть, облака), также играют важную роль в выполнении регуляторных требований:

• Обнаружение вторжений и инцидентов: XDR значительно повышает эффективность обнаружения угроз, что соответствует требованиям к системам обнаружения вторжений (СОВ) и системам предотвращения вторжений (СПВ), а также к мониторингу ИБ-инцидентов. Автоматическая кросс-корреляция телеметрии из электронной почты, облаков, сетевого трафика и конечных устройств позволяет более эффективно выявлять атаки, что требуется в соответствии с Приказами ФСТЭК.
• Реагирование на инциденты: Интегрированные возможности реагирования XDR (например, изоляция хоста, блокировка трафика) помогают организациям выполнять требования к управлению инцидентами ИБ.
• Управление уязвимостями: XDR может способствовать выявлению уязвимостей в компонентах ЛВС, а также детектировать попытки их эксплуатации, что помогает в выполнении требований по управлению уязвимостями.

Необходимость использования сертифицированных СЗИ для КИИ и государственной тайны:

Особое внимание следует уделить требованию к использованию сертифицированных средств защиты информации. Организации, работающие с государственной тайной, а также субъекты критической информационной инфраструктуры (КИИ), обязаны применять технические СЗИ, прошедшие сертификацию ФСТЭК России и/или ФСБ России. Это означает, что даже если зарубежное решение ZTA или XDR обладает выдающимся функционалом, оно может быть неприменимо в российских государственных или КИИ-системах, если не прошло соответствующую сертификацию на территории РФ.

Для российских организаций это часто означает необходимость:

1. Выбора отечественных сертифицированных аналогов: Многие российские вендоры (Positive Technologies, Group-IB, Kaspersky и др.) предлагают продукты, сертифицированные ФСТЭК и/или ФСБ, которые могут быть интегрированы в ZTA или дополнять XDR-платформы.
2. Разработки компенсирующих мер: Если зарубежное решение не сертифицировано, но его функционал критически необходим, возможно применение компенсирующих мер и прохождение аттестации системы безопасности в целом.
3. Гибридных подходов: Сочетание сертифицированных отечественных СЗИ (например, межсетевых экранов, СОВ) с передовыми, но не сертифицированными зарубежными технологиями (такими как AI/ML в XDR для анализа угроз), при условии, что критически важные функции защиты выполняются сертифицированными средствами.

Таким образом, современные архитектуры ZTA и XDR являются мощными инструментами для обеспечения безопасности ЛВС и во многом согласуются с целями российских регуляторов. Однако их внедрение должно быть тщательно спланировано с учетом специфических требований к сертификации СЗИ, особенно для объектов КИИ и систем, обрабатывающих государственную тайну. Это обеспечивает не только техническую эффективность, но и юридическую легитимность используемых мер защиты.

Заключение

Современный ландшафт киберугроз радикально трансформировал подход к обеспечению безопасности локальных вычислительных сетей. Экспоненциальный рост числа кибератак, достигший в России в 2024 году 130 тысяч инцидентов (рост в 2,5 раза), и смещение фокуса злоумышленников на компрометацию учетных записей, использование ВПО и социальную инженерию, ясно показывают критическую неэффективность устаревших периметровых моделей защиты. Необходимость перехода к новым, адаптивным архитектурам, таким как Zero Trust (ZTA) и Extended Detection and Response (XDR), становится не просто желательной, а стратегически неизбежной.

В ходе данного исследования мы подтвердили тезис о важности метрически-ориентированного подхода к выбору и оценке решений ИБ. Использование совокупной стоимости владения (TCO), среднего времени до реагирования/восстановления (MTTR) и Общей системы оценки уязвимостей (CVSS v4.0) позволяет организациям принимать обоснованные решения, выходящие за рамки поверхностного сравнения функционала. Модельный анализ показал, что, несмотря на потенциально более высокий CAPEX, современные ZTA- и XDR-решения в долгосрочной перспективе обеспечивают более низкий TCO за счет сокращения OPEX, минимизации убытков от инцидентов и значительного снижения MTTR.

Отвечая на ключевые исследовательские вопросы, можно сделать следующие выводы:

1. Новые угрозы и векторы атак после 2020 года: Наиболее актуальными для ЛВС стали компрометация учетных записей (доля в 35%), использование ВПО для удаленного управления (RAT, 44%) и шифровальщиков (44%), а также активное применение социальной инженерии (50% успешных атак). Дополнительные векторы возникли из-за удаленной работы, облачных сервисов и устройств IoT.
2. Принципиальное отличие и эффективность ZTA: Архитектура Zero Trust кардинально отличается от традиционной периметровой защиты отказом от концепции внутреннего доверия. Она основана на принципах «никогда не доверяй, всегда проверяй», микросегментации, наименьших привилегий и непрерывной аутентификации. Это обеспечивает значительно более высокую эффективность против латерального перемещения злоумышленников, инсайдерских угроз и атак «нулевого дня», которые обходят периметровую защиту.
3. Методологии и метрики для анализа решений ИБ: Для объективного сравнения следует использовать TCO (CAPEX + Σ (OPEX + Косвенные Затраты)) для экономической оценки, MTTR (Общее время устранения / Количество инцидентов) для операционной эффективности систем реагирования (XDR, SIEM), и CVSS v4.0 (с его базовыми, угрозами, окружения и дополнительными метриками) для оценки рисков, связанных с уязвимостями.
4. Влияние российского законодательства на выбор СЗИ: Российские регуляторные требования, в частности ФЗ-152 и Приказ ФСТЭК № 21, оказывают прямое влияние на выбор и конфигурацию СЗИ. Необходимый набор мер и тип средств защиты (включая требование к сертифицированным СЗИ) напрямую зависят от определенного Уровня защищенности персональных данных (УЗ-1…УЗ-4). Элементы ZTA (микросегментация, ZTNA) и XDR значительно способствуют выполнению многих требований ФСТЭК по контролю доступа, мониторингу и реагированию, однако для КИИ и систем, обрабатывающих гостайну, критична сертификация используемых СЗИ.
5. Преимущества и недостатки AI/ML для детектирования аномалий: Искусственный интеллект/машинное обучение обеспечивает высокую адаптивность и точность в обнаружении аномалий и неизвестных угроз (zero-day), превосходя сигнатурный анализ, который эффективен только против известных угроз, и эвристический анализ с его высоким риском ложных срабатываний. Однако ключевыми проблемами AI/ML являются дисбаланс классов (редкость аномалий) и отсутствие размеченных данных, что требует применения специфических алгоритмов (кластеризация, автоэнкодеры).

В заключение, будущее безопасности ЛВС лежит в интеграции адаптивных архитектур, таких как Zero Trust, с продвинутыми технологиями обнаружения и реагирования, включая XDR с элементами AI/ML, при неукоснительном соблюдении национальных регуляторных требований. Это не просто путь к укреплению цифровых крепостей, но и к созданию гибкой, устойчивой и экономически эффективной системы защиты в условиях непрекращающейся кибервойны. Организациям необходимо перейти от парадигмы «доверяй, но проверяй» к принципу «никогда не доверяй, всегда проверяй», используя комплексный, метрически обоснованный подход к формированию своей стратегии кибербезопасности.

Список использованной литературы

1. Биячуев Т.А. Безопасность корпоративных сетей. СПб.: СПбГУ ИТМО, 2004.
2. Олифер В., Олифер Н. Компьютерные сети. Принципы, технологии, протоколы: Учебник для вузов. 2-е изд. СПб.: Питер, 2002.
3. Коул Э. Руководство по защите от хакеров. М.: Издательский дом «Вильямс», 2002.
4. Романец Ю.В., Тимофеев П.А., Шаньгин В.Ф. Защита информации в компьютерных системах и сетях. Москва: Радио и связь, 2001.
5. Ярочкин В.И. Информационная безопасность. М.: Изд-во «Академический проект», 2004.
6. Платонов В.В. Программно-аппаратные средства обеспечения информационной безопасности вычислительных сетей: учеб. пособие. М.: Издательский центр «Академия», 2006.
7. Курило А. П., Милославская H. Г., Сенаторов М. Ю., Толстой А. И. Основы управления информационной безопасностью. М.: Горячая линия – Телеком, 2012. – 244 с.
8. Макаров А. С., Миронов С. В., Цирлов В. А. Опыт тестирования сетевых сканеров уязвимостей // Информационное противодействие угрозам терроризма. 2005. № 5. С. 109–122.
9. Применение сканеров для анализа защищенности компьютерных сетей: Материалы курса. М.: Учебный центр «Информзащита», 2006.
10. Запечников С. В., Милославская Н. Г., Толстой А. И., Ушаков Д. В. Информационная безопасность открытых систем: Учебник для вузов. В 2-х томах. Том 2 – Средства защиты в сетях. М.: Горячая линия – Телеком, 2008. – 558 с.
11. ФСТЭК России [Электронный ресурс]. URL: http://fstec.ru (дата обращения: 07.10.2025).
12. ГОСТ Р ИСО/МЭК 17799-2005. Информационная технология. Практические правила управления информационной безопасностью. М.: Стандартинформ, 2006. – 55 с.
13. ГОСТ Р ИСО/МЭК 15408-1-2008. Информационная технология. Методы и средства обеспечения безопасности. Критерии оценки безопасности технологий. Часть 1. Введение и общая модель. М.: Стандартинформ, 2009. – 36 с.
14. Open Source Security Testing Methodology Manual (OSSTMM) [Электронный ресурс]. URL: http://www.isecom.org/research/osstmm.html (дата обращения: 07.10.2025).
15. Information Systems Security Assessment Framework (ISSAF) [Электронный ресурс]. URL: www.oissg.org/issaf (дата обращения: 07.10.2025).
16. National Institute of Standards and Technology [Электронный ресурс]. URL: http://csrc.nist.gov/publications/PubsSPs.html (дата обращения: 07.10.2025).
17. Data Security Standard: Information Supplement: Requirement 11.3 Penetration Testing [Электронный ресурс]. URL: https://www.pcisecuritystandards.org/pdfs/infosupp_11_3_penetration_testing.pdf (дата обращения: 07.10.2025).
18. Российский бизнес под атакой. Число хакерских нападений на компании за год выросло в 2,5 раза // cnews.ru (дата обращения: 07.10.2025).
19. Количество кибератак на российские организации увеличилось // ComNews (дата обращения: 07.10.2025).
20. Кибератаки на российские компании в 2024 году — отчет Solar JSOC // rt-solar.ru (дата обращения: 07.10.2025).
21. Концепция Zero Trust: не доверяй — всегда проверяй // kaspersky.ru (дата обращения: 07.10.2025).
22. Что такое нулевое доверие? // Trend Micro (RU) (дата обращения: 07.10.2025).
23. Zero Trust Security: Будущее киберзащиты // labrisnetworks.com (дата обращения: 07.10.2025).
24. Аттестация локальных вычислительных сетей (ЛВС) для обработки государственной тайны и конфиденциальной информации // protolab.systems (дата обращения: 07.10.2025).
25. Модель Zero Trust: привычная защита сетевого периметра уже недостаточна // anti-malware.ru (дата обращения: 07.10.2025).
26. Занятие 3. Выявление аномалий в данных с помощью нейросетей // neural-university.ru (дата обращения: 07.10.2025).
27. Zero Trust: что такое модель нулевого доверия // sber.pro (дата обращения: 07.10.2025).
28. ИСПОЛЬЗОВАНИЕ ИСКУССТВЕННОГО ИНТЕЛЛЕКТА ДЛЯ ПОВЫШЕНИЯ СЕТЕВОЙ БЕЗОПАСНОСТИ: СТРАТЕГИИ ОБНАРУЖЕНИЯ АНОМАЛИЙ И ПЕРСПЕКТИВЫ ВНЕДРЕНИЯ // cyberleninka.ru (дата обращения: 07.10.2025).
29. Освоение обнаружения аномалий в машинном обучении // macgence.com (дата обращения: 07.10.2025).
30. Какие опасности подстерегают в облачных сервисах // kaspersky.ru (дата обращения: 07.10.2025).
31. 8 тенденций в области кибербезопасности // linx.ru (дата обращения: 07.10.2025).
32. ФЗ-152: как выполнить требования к уровню защиты ПДн // cortel.cloud (дата обращения: 07.10.2025).
33. Соответствие 152-ФЗ «О персональных данных» // selectel.ru (дата обращения: 07.10.2025).
34. Требования к документации по обработке ПД в 2024: руководство по ФЗ-152 // gendalf.ru (дата обращения: 07.10.2025).
35. SASE vs XDR: Differences in Components and Deployment Models // zenarmor.com (дата обращения: 07.10.2025).
36. How SASE-based XDR Delivers Better Threat Detection Performance // cybersecurity-insiders.com (дата обращения: 07.10.2025).
37. Manage the deception capability in Microsoft Defender XDR // microsoft.com (дата обращения: 07.10.2025).
38. Глоссарий CISO: Необходимый минимум руководителя информационной безопасности // habr.com (дата обращения: 07.10.2025).
39. Экономическая эффективность систем информационной безопасности // ase.md (дата обращения: 07.10.2025).
40. Подходы к расчету совокупной стоимости владения и эксплуатации комплексных систем безопасности // Habr (дата обращения: 07.10.2025).
41. Что такое TCO: совокупная стоимость владения для IT-инфраструктуры // vk.com (дата обращения: 07.10.2025).
42. МЕТОДИКА АНАЛИЗА СОВОКУПНОЙ СТОИМОСТИ ВЛАДЕНИЯ (TCO) // cyberleninka.ru (дата обращения: 07.10.2025).