Руководство по выбору Deception Technology: 10 критериев выбора подходящей платформы

Технология киберобмана (deception technology) стала важнейшим компонентом современной киберзащиты. Однако платформы обмана, выглядящие похожими в рекламных буклетах, могут существенно отличаться по факторам, определяющим, способны ли они на самом деле выявлять, вскрывать и нейтрализовать действия злоумышленников.

Это руководство для покупателя содержит 10 практических критериев оценки платформ киберобмана, включая Acalvio. Цель состоит не в выборе вендора с самым длинным списком функций, а в определении того, насколько эффективно платформа подходит для вашей среды, путей атак, архитектуры безопасности и операционных требований.

Качество сигнала заслуживает особого внимания. Надежная платформа киберобмана должна не просто генерировать оповещение при обращении к приманке. Она должна создавать достоверные сигналы по всей среде, предоставлять ценный контекст командам безопасности и усложнять для нападающих — людей или автоматизированных систем — определение того, чему они могут доверять.

Лучший способ проверить заявления вендоров — это реалистичные демонстрации, пилотное тестирование (proof-of-value), отзывы клиентов и независимые оценки, если они доступны.

Главное

• Правильная платформа киберобмана — это та, которая лучше всего подходит для вашей среды и модели угроз, а не обязательно та, у которой самый длинный список функций.
• Оценивайте платформы по 10 критериям: достоверность и реалистичность, качество сигнала, охват учетных данных, покрытие путей атак, масштабируемость и полнота, устойчивость к ИИ-угрозам, развертывание и эксплуатация, интеграция, видимость по MITRE ATT&CK и независимое подтверждение.
• Правильно развернутые ложные активы и honeytokens генерируют высокоточные сигналы, поскольку у легитимных пользователей и процессов нет причин взаимодействовать с ними.
• Заявления вендоров должны подтверждаться практическими демонстрациями и, по возможности, реальными отзывами клиентов, госсектора, результатами учений red team или оценками третьих сторон.
• Acalvio — один из примеров платформенного подхода, сочетающего киберобман в средах идентификации, сетевых, облачных, конечных точках, ОТ (АСУ ТП) и связанных с ИИ путях атак.

Как использовать это руководство для покупателя

Практическая методология оценки заключается в том, чтобы поставить каждой платформе балл от 1 до 5, а затем присвоить весовые коэффициенты в соответствии с вашей средой.

• 1 — существенный пробел в возможностях или неподтвержденное заявление
• 3 — продемонстрированные возможности с существенными ограничениями
• 5 — возможности, доказанные в масштабах и условиях, требуемых вашей организацией

Весовые коэффициенты должны отражать ваш реальный профиль рисков. Предприятие с акцентом на управление учетными данными может уделить больше внимания охвату систем идентификации и качеству сигнала, тогда как организация с развитой инфраструктурой ОТ (АСУ ТП) может отдать приоритет масштабируемости, реалистичности и охвату промышленной среды.

Эта методология оценки должна последовательно применяться ко всем вендорам, включая Acalvio.

Дополнительные материалы по сравнению вендоров см. в хабе конкурентной аналитики Acalvio (Competitive Intelligence hub).

1. Достоверность и реалистичность: может ли обман противостоять распознаванию?

Эффективность киберобмана в значительной степени зависит от правдоподобия.

Базовую эмуляцию опытному атакующему довольно легко распознать («снятие отпечатков»). Общие артефакты, предсказуемые ответы, идентичные конфигурации или узнаваемые паттерны инфраструктуры могут выдать, что якобы ценный актив на самом деле является приманкой.

Полнофункциональные операционные системы и приложения могут обеспечить большую глубину, когда требуется длительное взаимодействие с атакующим и подробный сбор криминалистических данных. Однако развертывание полноценной реальной ОС для каждого ложного актива не является ни необходимым, ни операционно практичным.

Поэтому зрелая платформа должна сочетать масштабируемый прогнозируемый обман (projected deception) с высокоинтерактивными средами там, где оправдана дополнительная глубина.

Ключевой вопрос заключается не в том, сколько приманок может развернуть вендор. Он состоит в том, ведут ли себя эти приманки правдоподобно при том уровне проверки, который, скорее всего, проведет нападающий.

В ходе оценки попросите вендоров продемонстрировать:

• Как приманки реагируют на этапе разведки.
• Что происходит при прямом интерактивном взаимодействии атакующего.
• Как артефакты различаются в зависимости от среды.
• Может ли общая инфраструктура разоблачить приманки.
• Как платформа поддерживает реалистичность по мере изменения среды.

2. Качество сигнала: высокоточное обнаружение, а не новый поток ложных алертов

Качество сигнала должно быть одним из наиболее важных критериев при оценке технологии киберобмана.

Многие инструменты безопасности сообщают аналитикам лишь о том, что активность может быть подозрительной. Правильно развернутый киберобман отвечает на другой вопрос:

Почему кто-то или что-то взаимодействует с активом, учетными данными или путем атаки, к которым у легитимных пользователей или процессов нет никаких причин обращаться?

Это различие делает киберобман особенно ценным для команд оперативного центра безопасности (SOC).

Однако одного лишь высокоточного триггера недостаточно. Аналитикам также нужен контекст, объясняющий, что произошло и что делать дальше.

Полезное оповещение системы киберобмана должно помогать определить:

• К какому активу или учетным данным был получен доступ.
• Откуда исходило взаимодействие.
• Какая учетная запись была задействована.
• Как развивалось взаимодействие.
• Какой путь атаки мог быть использован.
• Какие меры реагирования являются наиболее подходящими.

Во время пилотного тестирования (proof of value) попросите вендора сгенерировать реальное оповещение в условиях, имитирующих настоящую атаку. Если аналитикам всё еще требуется много времени для выяснения причин важности этого события, качество сигнала платформы может не соответствовать маркетинговым заявлениям.

3. Охват систем идентификации: Honeytokens и ложные учетные данные

Идентификация — это не просто еще одна поверхность для развертывания. Во многих атаках именно учетные данные позволяют вредоносной активности выглядеть легитимно.

Ориентированный на идентификацию киберобман позволяет размещать фальшивые учетные записи (honey accounts), ложные привилегированные учетные данные и другие артефакты там, где злоумышленники чаще всего ищут доступ, включая:

• Active Directory и облачные каталоги
• Память конечных точек и кэши учетных данных
• Приложения
• Облачные рабочие нагрузки
• Пути привилегированного доступа

IAM, PAM и MFA остаются базовыми средствами контроля безопасности, но они не обязательно различают легитимного сотрудника и атакующего, использующего валидные учетные данные.

Киберобман добавляет высокоточные сигналы в стратегию обнаружения угроз идентификации и реагирования на них (ITDR), выявляя разведку учетных данных, повышение привилегий и горизонтальное перемещение, которые в противном случае слились бы с обычной легитимной активностью.

Не воспринимайте список поддерживаемых систем идентификации как доказательство реального покрытия. Попросите вендора продемонстрировать, как платформа:

• Картирует риски использования учетных данных.
• Определяет, где именно следует разместить ложные учетные данные.
• Управляет артефактами с течением времени.
• Обнаруживает их использование.
• Отслеживает связь между взаимодействием, учетной записью и соответствующим путем атаки.

ShadowPlex Identity Protection — один из примеров подхода, распространяющего технологии обмана на каталоги, конечные точки, приложения и облачные нагрузки.

4. Покрытие путей атак: размещение приманок там, где реально передвигаются атакующие

Злоумышленники не перемещаются по списку активов линейно. Они следуют за учетными данными, доверительными отношениями, доступными системами и путями, которые кажутся ведущими к ценным ресурсам.

По этой причине количество развернутых приманок само по себе является плохим показателем качества покрытия.

Эффективная платформа киберобмана должна помогать командам безопасности определять вероятные маршруты к высокоценным активам и размещать ложные объекты в ключевых точках принятия решений вдоль этих маршрутов.

Это может включать создание правдоподобных альтернативных путей, которые уводят атакующих от продуктивных систем и одновременно вскрывают их активность.

Acalvio HoneyPaths — пример функционала, созданного для выхода за рамки статического размещения приманок за счет создания контролируемых ложных маршрутов, способных вскрыть продвижение атакующего и повлиять на его последующие решения.

В ходе оценки попросите вендоров:

1. Смоделировать путь атаки, актуальный для вашей среды.
2. Объяснить, почему каждая точка обмана расположена именно в этом месте.
3. Продемонстрировать, как меняется путь при изменении учетных записей и активов.
4. Показать, как поддерживается покрытие по мере изменения сетевой связности.

Показательной метрикой является не количество развернутых приманок, а вероятность того, что атакующий столкнется с правдоподобным ложным объектом до достижения своей конечной цели.

5. Масштабируемость и полнота: IT, OT, облако и конечные точки

Широта покрытия имеет значение только тогда, когда ею можно управлять как единой комплексной системой безопасности.

Платформа может заявлять о поддержке IT, OT/ICS (АСУ ТП), облаков, систем идентификации и конечных точек, но при этом требовать отдельных инфраструктур, политик, консолей и операционных процессов для каждого домена.

Более зрелая архитектура должна предоставлять единую панель управления и администрирования, сохраняя при этом особенности обмана, специфичные для каждого окружения.

Масштаб также следует оценивать реалистично.

Дело не просто в:

• размере каталога приманок вендора;
• теоретическом максимальном количестве развертываний; или
• количестве поддерживаемых сред, перечисленных в брошюре.

Вместо этого оцените, может ли платформа поддерживать правдоподобный киберобман в масштабе:

• Множества филиалов и площадок.
• Сетевых сегментов.
• Облачных сред.
• Удаленных конечных точек.
• Гибридной инфраструктуры.
• Крупных корпоративных каталогов учетных записей.

Попросите вендора рассчитать архитектуру для вашей среды и указать каждый необходимый компонент инфраструктуры, агент и зависимость управления.

Если расширение покрытия лишь добавляет новые консоли, инфраструктуру и ручную работу, платформа, возможно, просто переносит сложность, а не устраняет ее.

6. Устойчивость к ИИ: противодействие автоматизированным атакам и несанкционированному использованию ИИ в режиме Runtime

ИИ меняет как ландшафт угроз, так и корпоративную инфраструктуру.

Атакующие могут использовать автоматизацию для сбора данных об активах, проверки учетных данных, классификации целей и непрерывного изменения путей атак. В то же время организации внедряют ИИ-агентов с доступом к API, учетным данным, данным, приложениям и рабочим процессам.

Современная платформа киберобмана должна отвечать обоим этим вызовам.

Защита от атак с использованием ИИ

Ключевой вопрос заключается в том, обнаруживает ли платформа лишь факт взаимодействия с приманкой или она также способна сделать среду менее надежной для принятия решений автоматизированными системами атак.

Acalvio 360 Deception разработана для внедрения ложных активов и сигналов, усложняющих автоматизированную разведку. Динамический обман (Dynamic Deception) и меняющиеся маршруты HoneyPaths могут изменять то, с чем сталкиваются атакующие, и влиять на их навигацию по сети.

Этот подход особенно актуален, когда атакующие используют автоматизацию для построения и непрерывного обновления своего представления об инфраструктуре.

Защита ИИ-агентов во время выполнения (Runtime)

Отдельный вызов возникает тогда, когда сами ИИ-агенты становятся частью поверхности атак.

Защита агентного ИИ во время выполнения (Agentic AI Runtime Protection) отслеживает активность агентов, обращающихся к инструментам, API, учетным данным, данным и процессам.

Ложные учетные данные, мониторинг ресурсов и контролируемые пути доверия могут вскрыть подозрительное поведение агента непосредственно в процессе выполнения работы — например, когда агент следует по скомпрометированному маршруту инструкций, пытается получить доступ к конфиденциальным данным, несанкционированно использует API или выполняет недопустимое действие.

Этот подход дополняет ограничения (guardrails) моделей и мониторинг выводов, закрывая другие этапы жизненного цикла безопасности ИИ.

Использование ИИ для усиления киберобмана

Сама платформа также должна эффективно использовать автоматизацию и ИИ.

Acalvio описывает применение ИИ и машинного обучения в таких областях, как:

• Автоматическое обнаружение поверхности атак.
• Проектирование и размещение объектов обмана.
• Контекстно-зависимый контент приманок.
• Автоматическая триажная оценка событий.
• Картирование по матрице MITRE ATT&CK.
• Расследование угроз.

При оценке вендоров попросите их продемонстрировать три отдельные возможности:

1. Как платформа нейтрализует атаки с применением ИИ.
2. Как она выявляет несанкционированное поведение ИИ-агентов во время выполнения.
3. Как ИИ и автоматизация поддерживают реалистичность и адаптивность среды обмана.

Обнаружение во время выполнения должно происходить непосредственно в момент действия, а не только после того, как атакующий достиг своей цели.

7. Архитектура развертывания, автоматизация и операционная нагрузка

Пилотный проект (PoC) может показать, что вендор умеет разворачивать приманки. Но он не обязательно доказывает, что эти приманки останутся правдоподобными и стратегически правильно расположенными через шесть месяцев.

Статический обман быстро теряет актуальность при изменениях в среде:

• Меняются имена хостов.
• Заменяются сервисы.
• Эволюционируют связи учетных записей.
• Создаются или удаляются облачные нагрузки.
• Меняется сетевая топология.
• Смещаются пути атак.

Активы могут продолжать генерировать оповещения, но их релевантность и правдоподобие снижаются.

Зрелая платформа должна непрерывно учитывать изменения в среде и максимально автоматизировать жизненный цикл киберобмана.

В ходе оценки изучите:

• Требования к продуктивной инфраструктуре.
• Требования к агентам на конечных точках.
• Механизмы изоляции.
• Автоматизацию развертывания.
• Отказоустойчивость архитектуры.
• Процессы обновления.
• Управление жизненным циклом приманок.
• Масштабируемость инфраструктуры.

Acalvio ShadowPlex сочетает централизованное управление, инфраструктуру проекции, оркестрацию на базе ИИ и динамический обман (Dynamic Deception) для автоматизации значительной части жизненного цикла киберобмана.

Попросите вендора продемонстрировать, что происходит при изменении подсети, связей учетных записей, облачной нагрузки или пути атаки уже после развертывания.

8. Интеграция с SIEM, EDR, XDR и SOAR

Логотип интеграции в информационной брошюре не гарантирует ее глубины.

Киберобман приносит наибольшую операционную пользу тогда, когда подтвержденное событие передается в привычные для аналитиков инструменты с достаточным контекстом для проведения расследования и реагирования.

Оцените, может ли платформа предоставлять такую информацию, как:

• Задействованная учетная запись.
• Исходный актив, с которого происходила атака.
• Обращение к ложным учетным данным или артефакту.
• Использованный путь атаки.
• Последовательность действий (хронология).
• Релевантные криминалистические данные.
• Рекомендуемые действия по реагированию.

Глубокая интеграция должна работать и в обратном направлении — использовать данные о существующих активах, учетных записях и средствах защиты для точного размещения приманок и обогащения контекста обнаружения.

На этой основе автоматизированные сценарии безопасности могут запускать утвержденные действия, такие как:

• Изоляция конечной точки.
• Блокировка скомпрометированных учетных данных.
• Блокировка индикатора компрометации.
• Запуск расследования.
• Запуск плейбука реагирования на инцидент.

Попросите вендоров продемонстрировать сквозной рабочий процесс:

Срабатывание приманки → расследование → обогащение контекстом → локализация → аудиторский след

Цель состоит в повышении эффективности существующих инвестиций в безопасность, а не в создании еще одной изолированной операционной модели.

9. Картирование по MITRE ATT&CK и видимость покрытия

Детализированная тепловая карта MITRE ATT&CK может выглядеть впечатляюще, но иметь низкую практическую ценность, если она отображает все, что платформа теоретически может обнаружить, а не то, что реально развернуто и протестировано в вашей сети.

Полезное картирование ATT&CK должно четко разделять:

• Заявленные возможности платформы.
• Реально развернутые техники.
• Оснащенные датчиками пути атак.
• Проверенные сценарии обнаружения.
• Пробелы в покрытии.

Команды безопасности должны иметь возможность проследить каждое заявление о покрытии до конкретного ложного актива, пути атаки, события обнаружения и действия по реагированию.

Спросите у вендоров:

• Как формируется карта соответствия ATT&CK?
• Покрытие является предполагаемым или реально протестированным?
• Какие техники были валидированы?
• Как выявляются пробелы?
• Как обнаруженный пробел влияет на будущее размещение приманок?

Для платформ киберобмана матрица ATT&CK — это только часть картины. Она описывает поведение атакующего, тогда как фреймворк MITRE Engage фокусируется на защитных действиях: обнаружении, перенаправлении, сборе данных, нейтрализации и локализации активности противника.

Анализ сценариев использования MITRE ATT&CK от Acalvio показывает пример того, как платформа ShadowPlex сопоставляется с этими фреймворками.

Закрашенная ячейка в матрице ATT&CK — это не то же самое, что реально развернутое и проверенное покрытие.

10. Независимая валидация и доказательная база

Заявления об эффективности системы защиты должны подтверждаться доказательствами, пропорциональными их важности.

После формирования короткого списка (shortlist) пилотное тестирование и независимые оценки должны стать основой процесса принятия решения.

Полезными источниками доказательств являются:

• Пилотное тестирование под контролем заказчика (Proof of Value).
• Независимые оценки государственных органов.
• Учения с привлечением Red Team.
• Реальные отзывы клиентов с открытыми именами.
• Отчеты аналитических агентств.
• Опубликованные сторонние аудиты.

Каждый тип доказательств отвечает на свой специфический вопрос.

Отзывы клиентов помогают оценить операционную пользу. Исследования аналитиков дают контекст рынка и возможностей. Тестирование с имитацией атак (red teaming) дает доказательства того, как технология работает против конкретных целей злоумышленников.

По каждому ключевому заявлению об эффективности уточняйте:

• Кто проектировал методологию оценки?
• Кто проводил тестирование?
• Какое окружение использовалось?
• Какие техники тестировались?
• Как измерялся успех?
• Были ли результаты опубликованы независимо?
• Какие ограничения применялись?

Официально подтвержденное участие в испытаниях не следует автоматически приравнивать к официально подтвержденной высокой эффективности.

Готовность вендора раскрыть методологию, рамки, результаты и ограничения сама по себе является полезной информацией при оценке зрелости его заявлений.

Оценочная карта покупателя технологий киберобмана

Критерий	Как может выглядеть слабая платформа	На что обращать внимание в зрелой платформе
Достоверность и реалистичность	Примитивные или повторяющиеся приманки, выдающие себя стандартными артефактами	Реалистичные активы, способные противостоять сканированию и снятию отпечатков (fingerprinting)
Качество сигнала	Оповещения, требующие длительной ручной настройки и корреляции	Высокоточные события, однозначно связанные с несанкционированным взаимодействием
Охват систем идентификации	Преимущественно сетевые приманки	Honeytokens и ложные учетные данные в системах идентификации и на конечных точках
Покрытие путей атак	Приманки, хаотично распределенные по инвентарному списку	Киберобман, точечно размещенный вдоль ключевых путей атак
Масштабируемость и полнота	Разрозненные инструменты или ограниченный охват сред	Единое покрытие IT, OT, облаков, систем идентификации и конечных точек
Устойчивость к ИИ	Обнаружение только после произошедшего автоматизированного взаимодействия	Киберобман, способный также сбивать с толку автоматизированную разведку и менять выбор путей атак
Развертывание и эксплуатация	Ручное размещение и обновление приманок	Автоматизированное управление жизненным циклом и масштабируемое администрирование
Интеграция	Базовая пересылка алертов	Обогащенные контекстом процессы расследования и реагирования
Видимость покрытия	Статические схемы соответствия ATT&CK	Актуальная видимость реально развернутого и проверенного покрытия
Независимая валидация	Преимущественно собственные заявленные метрики вендора	Подтвержденные результаты сторонних учений, открытые отзывы клиентов или пилотные тесты под контролем заказчика

Как сигнал киберобмана превращается в действие

Платформа киберобмана приносит реальную пользу тогда, когда высокоточное событие превращается в применимые на практике данные разведки и реагирования.

Посмотреть схему рабочего процесса сигнала киберобмана

Процесс должен связывать первичное взаимодействие с приманкой с контекстом, необходимым для SOC, процессов расследования и — при необходимости — автоматизированного реагирования.

Понимание ландшафта вендоров технологий киберобмана

Рынок технологий киберобмана включает несколько основных подходов.

Платформы с фокусом на конечные точки и системы идентификации

Эти решения концентрируются на учетных данных, аккаунтах, артефактах аутентификации и обмане на уровне конечных точек.

Платформы с фокусом на сетевую инфраструктуру

Эти поставщики делают основной акцент на фальшивых сетевых сервисах, системах и элементах инфраструктуры.

Open-Source решения и классические ханипоты

Эти инструменты могут служить гибкими и недорогими блоками для исследований, поиска угроз (threat hunting) и точечных задач. Однако они обычно возлагают на заказчика всю ответственность за создание реалистичных приманок, их размещение, обслуживание и обработку полученных сигналов.

Полнофункциональные платформы киберобмана (Full-Platform Deception)

Полнофункциональные решения распространяют технологии обмана на все среды — включая системы идентификации, сеть, облака, конечные точки и ОТ (АСУ ТП) — с централизованным управлением и высокой степенью автоматизации жизненного цикла приманок.

Эти категории не являются взаимоисключающими, и возможности вендоров продолжают развиваться.

Не существует единой категории, которая автоматически подходит любой организации. Главный вопрос заключается в том, насколько хорошо конкретная платформа отвечает вашей модели угроз, путям атак, существующей архитектуре безопасности и операционным ресурсам.

Финансовая организация с большими объемами учетных записей и промышленное предприятие с развитой сетью АСУ ТП могут абсолютно обоснованно предъявлять разные требования к одним и тем же критериям.

Как Acalvio соответствует этим критериям оценки

Платформа превентивной кибербезопасности Acalvio ShadowPlex, построенная на базе фреймворка 360 Deception, предоставляет возможности, соответствующие 10 областям оценки, описанным в этом руководстве.

Для обеспечения реалистичности ShadowPlex сочетает масштабируемый спроецированный обман с высокоинтерактивными полнофункциональными приманками, которые могут создаваться из эталонных образцов виртуальных машин (golden VM images) заказчика, когда требуется глубокое взаимодействие и сбор криминалистических данных.

Ложные активы и honeytokens разработаны для генерации высокоточных сигналов, а автоматическая триажная оценка, корреляция и обогащение предоставляют дополнительный контекст об учетных записях, активах, деталях взаимодействия и путях атак.

ShadowPlex Identity Protection распространяет технологии обмана на Active Directory, облачные каталоги, конечные точки, приложения и рабочие нагрузки. Вся платформа обеспечивает централизованное управление в IT, OT, облачных средах, системах идентификации и на конечных точках.

Для защиты от угроз с применением ИИ концепция 360 Deception сочетает правдоподобные ложные активы, реальные активы, маскируемые под ложные, и намеренно подозрительные артефакты, усложняющие автоматизированную разведку. Динамический обман (Dynamic Deception) и меняющиеся маршруты HoneyPaths изменяют среду, с которой сталкиваются атакующие, и влияют на их перемещение.

Для корпоративных ИИ-сред модуль Agentic AI Runtime Protection использует контролируемый обман и мониторинг точек взаимодействия для выявления подозрительной активности при доступе ИИ-агентов к инструментам, API, учетным данным и рабочим процессам.

Acalvio описывает использование технологий ИИ и машинного обучения внутри платформы для автоматического обнаружения инфраструктуры, проектирования и размещения приманок, создания контекстного контента, триажа событий, картирования по MITRE ATT&CK и расследования угроз.

Сценарии Deception Playbooks и функционал Autonomous Deception созданы для снижения ручной работы при генерации, развертывании, обновлении и управлении ложными активами. Интеграции с платформами SIEM, EDR, XDR и SOAR передают обогащенные события в существующие процессы расследования и реагирования.

Понимание доказательной базы

Доказательства возможностей и эффективности платформы всегда должны оцениваться с учетом их источника.

Официальное сообщение ВМС США подтверждает, что Acalvio заняла первое место по итогам конкурсного испытания в сфере кибербезопасности. Согласно объявлению, пять компаний, отобранных из 14 заявок, соревновались наряду с тремя государственными разработками.

В объявлении ВМС упоминаются удобство использования, функциональность, технические характеристики и рекомендации экспертов по оценке.

Acalvio отдельно сообщила, что ее технология обеспечила 100% истинно положительных срабатываний и предотвратила 80% целей атакующих в ходе учений. Эти конкретные метрики эффективности предоставлены компанией Acalvio и не содержатся напрямую в пресс-релизе ВМС.

Независимое агентство Gartner назвало Acalvio «компанией, на которую стоит ориентироваться» (Company to Beat) в области продвинутого киберобмана на базе ИИ, а KuppingerCole оценила ShadowPlex в отчете 2025 ITDR Leadership Compass.

Для покупателей главный принцип состоит в разграничении показателей, заявленных самим вендором, независимо опубликованных оценок и результатов, полученных непосредственно в вашей собственной среде.

Принятие решения

Используйте оценочную карту из 10 критериев для отбора кандидатов, а затем попросите вендоров из короткого списка продемонстрировать работу их платформ на ваших реальных путях атак и операционных требованиях.

Расставьте весовые коэффициенты критериев в соответствии с:

• Рисками использования учетных данных.
• Критически важными путями атак.
• Архитектурой IT и OT (АСУ ТП).
• Облачным присутствием.
• Рисками, связанными с ИИ.
• Существующими средствами защиты.
• Операционной моделью вашего SOC.
• Доступными ресурсами команды безопасности.

Перед окончательным выбором платформы сформулируйте измеримые критерии успешности пилотного тестирования (proof of value) и сравните результаты с независимыми доказательствами там, где они доступны.

Зрелая платформа киберобмана должна создавать правдоподобное ложное окружение там, где атакующие с наибольшей вероятностью с ним столкнутся, передавать понятный и ценный контекст в существующие процессы безопасности и сохранять эффективность без превращения в очередную трудоемкую систему, требующую постоянного внимания.

Операционные аспекты важны не меньше, чем возможности обнаружения. Оцените, как выглядит повседневное администрирование после развертывания, какая часть жизненного цикла приманок автоматизирована, какая инфраструктура требуется и как платформа адаптируется к изменениям вашей сети.

Опыт поставщика технологий также имеет значение. Долгое присутствие на корпоративном рынке само по себе не гарантирует высокую эффективность, но опыт защиты реальных продуктовых сред и противодействия настоящим атакам способствует операционной зрелости. В то же время молодые вендоры могут предлагать ценные инновации, поэтому покупателям следует отличать новизну продукта от доказанной архитектуры, масштабируемости, глубины интеграции и качества поддержки.

В конечном счете цель технологии киберобмана состоит не просто в развертывании большего количества приманок. Она заключается в получении более ранних и высокоточных доказательств несанкционированной активности с одновременным усложнением понимания и доверия к инфраструктуре для атакующих — будь то люди или автоматизированные системы.

Являясь официальным дистрибьютором Acalvio, Softprom помогает организациям оценить возможности решений Acalvio применительно к их конкретной инфраструктуре, путям атак и требованиям безопасности.

Изучите возможности Acalvio 360 Deception, чтобы определить, где технологии киберобмана могут укрепить обнаружение и нейтрализовать продвижение злоумышленников.