Пять лет назад между публикацией уязвимости и первой атакой проходил примерно год. В 2026 году проходят сутки. За это время большинство компаний не успевает даже прочитать бюллетень производителя. Защита, которая ждёт решения человека, отстаёт от атаки по определению. Поэтому автономное реагирование, то есть способность остановить атаку прямо на компьютере или сервере без ожидания аналитика, перестало быть экзотикой для крупных банков.
Атаки стали дешёвыми и массовыми
Раньше подготовка атаки требовала времени и квалифицированных людей. Нужно было найти уязвимость, написать под неё рабочий код, перебрать адреса в интернете. Автоматизация и искусственный интеллект сделали каждый из этих шагов быстрым и дешёвым. Теперь сканирование и подбор эксплойта стоят почти ничего, и злоумышленнику выгодно проверять всех подряд, а не выбирать крупную цель.
Цифры это подтверждают. По данным Solar JSOC, за первое полугодие 2026 года в российских компаниях зафиксировано более 17 000 подтверждённых киберинцидентов, на 17% больше, чем годом ранее. Только за июль 2026 года специалисты насчитали 417 млн автоматических сканирований веб-ресурсов с помощью искусственного интеллекта (ComNews). По итогам 2025 года Россия вошла в тройку самых атакуемых стран мира вместе с США и Китаем (Anti-Malware со ссылкой на Positive Technologies).
Массовость меняет логику защиты. Если вас проверяют каждый день, вопрос не в том, найдут ли слабое место, а в том, сколько времени у вас будет после этого.
Окно от публикации до атаки сократилось до суток
Проект Zero Day Clock собирает статистику по времени от публикации уязвимости до её первой эксплуатации. В 2021 году этот срок составлял примерно год. В 2026 году он сократился до суток. Около 70% уязвимостей начинают эксплуатировать ещё до публичного раскрытия. Авторы проекта ожидают, что окно сожмётся до часа, а затем до минут (Tom's Hardware).
Для бизнеса это значит простую вещь. План «узнаем об уязвимости, оценим, поставим обновление в ближайшее окно обслуживания» опаздывает. По данным Positive Technologies, 31% успешных атак на организации начинается именно с эксплуатации уязвимостей (исследование Positive Technologies).
Сутки против недели
Злоумышленнику после публикации уязвимости нужны сутки. Типичный цикл согласования и установки обновлений в компании занимает неделю и больше.
Почему привычная защита от кибератак не успевает
Каждый привычный инструмент по-прежнему нужен. Проблема в том, что все они рассчитаны на скорость человека.
Обновления
Обновления закрывают известные дыры, но их нужно протестировать, согласовать и установить. Если 70% уязвимостей эксплуатируют до публичного раскрытия, исправления в этот момент просто не существует.
Сигнатуры
Антивирус ищет то, что уже видел. Под конкретную компанию злоумышленники собирают свежий образец и заранее проверяют, что его не обнаруживают. В одном из случаев из практики 4sec антивирус распознал шифровальщик через два дня после запуска, когда данные уже были потеряны. Подробнее в статье о том, почему антивируса недостаточно.
SIEM и смена аналитиков
Система сбора событий видит подозрительную активность и создаёт оповещение. Дальше его должен прочитать дежурный аналитик, разобраться и принять решение. Ночью, в выходные и в праздники на это уходят часы. Собственный SOC стоит 30-50 млн ₽ в год, а аналитик первой линии обходится в 100-200 тыс. ₽ в месяц. При дефиците около 60 000 специалистов по безопасности в России закрыть круглосуточную смену людьми могут немногие.
EDR с выключенным реагированием
EDR умеет не только наблюдать, но и реагировать. На практике его правила требуют постоянной настройки, а ложные срабатывания останавливают рабочие процессы. Реагирование отключают, и EDR остаётся дорогой системой наблюдения, которая честно фиксирует атаку до самого шифрования. Поэтому вопрос «EDR или SOC» часто сводится к другому вопросу, кто и как быстро нажмёт кнопку.
Что такое автономное реагирование на узле
Узел означает конкретный компьютер или сервер. Автономное реагирование значит, что решение остановить атаку принимается прямо там, за секунды, без ожидания аналитика.
Представьте сервер 1С ночью. Кто-то с учётной записью бухгалтера начинает массово переименовывать и перезаписывать файлы баз. Человеку нужно проснуться, увидеть оповещение, войти в систему и разобраться. Агент на сервере видит то же поведение и сразу действует. Он останавливает процесс, отключает сеанс, изолирует узел от сети. Утром команда разбирает уже остановленный инцидент, а не восстанавливает зашифрованный сервер.
Скорость здесь решает всё. Шифрование сервера с базами занимает от нескольких минут до пары часов. Если реакция наступает через секунды, теряется несколько файлов. Если через восемь часов, теряется сервер, а вместе с ним неделя работы компании.
Такой подход называют SOC на автономных агентах. Функции центра мониторинга, то есть наблюдение, анализ и реагирование, выполняются на каждом узле, а люди получают готовую картину и занимаются расследованием и решениями. На этом принципе построена Tessera. Обнаружение и реагирование происходят на узле за секунды, стоимость 8 900 ₽ за агента в месяц.
Как сохранить контроль над автономной защитой
Главное опасение директоров понятно. Система сама отключит сервер посреди закрытия квартала. Поэтому внедрение строится постепенно.
- Начните с картины. Прежде чем что-то блокировать, посмотрите, что на самом деле происходит на ваших серверах и компьютерах. Часто уже на этом шаге находятся забытые учётные записи и открытые наружу сервисы.
- Определите недопустимые события. Это то, чего компания не может допустить, например остановку учёта, утечку клиентской базы или шифрование производственного контура. Под них настраивается приоритет реагирования.
- Договоритесь о правилах заранее. Решите, какие действия на критичных системах выполняются сразу, а о каких команда реагирования сначала предупреждает ответственного сотрудника.
- Расширяйте автономность по мере доверия. Когда решения агентов перестают вызывать вопросы, им передают больше типовых ситуаций.
Для старта Tessera предлагает бесплатный аудит недопустимых событий за 5 дней и 30 дней работы без оплаты. За это время становится видно, что происходит на ваших узлах, без обязательств.
Скорость защиты начинается с периметра
Автономное реагирование работает внутри. Снаружи важно знать, какие из ваших сервисов видны злоумышленникам и какие уязвимости в них уже нашли. Кибер.Радар непрерывно контролирует внешний периметр и даёт инструкции по устранению находок. Вместе это закрывает обе половины задачи. Вы быстрее узнаёте о слабом месте и не зависите от того, проснулся ли дежурный, когда в него постучали.
Сравнить стоимость разных подходов к защите можно в статье сколько стоит кибербезопасность.