Артемий Цецерский: Всё верно, это современная гонка вооружений, и атакующий часто оказывается на шаг впереди – он пользуется уязвимостями, которые защитники ещё не успели увидеть. Отсюда и эта временная фора. Хакинг – это просто, ведь, как правило, «ломать – не строить». Это некий бесконечный хаос. Ты можешь годами возводить огромную защищённую систему, а атакующему иногда достаточно найти одну маленькую дверь, которую ты забыл закрыть. Я не считаю, что это высокомерный взгляд про величие хакерской среды. Сегодня мир полностью цифровизован, и атакующий вполне может вмешаться в эту интеграцию. Мы видим это в самых разных областях: цены в онлайн-магазинах, промышленность, финансовые системы и даже государственные процессы. Причём хакеру не обязательно «взламывать весь мир». Приведу реальные примеры. В 2021 году атака на Colonial Pipeline в США на несколько дней нарушила поставки топлива, спровоцировав очереди на АЗС и панику. В 2016 году была атака на Bangladesh Bank – попытка вывести почти миллиард долларов из резервов. Бывали и инциденты, выходящие за пределы цифрового мира и затрагивающие человеческие жизни. В 2020 году атака на Университетскую клинику Дюссельдорфа парализовала IT-инфраструктуру больницы, из-за чего пришлось прекратить приём экстренных пациентов – не обошлось без жертв. А о многих операциях на государственном уровне мы, вероятно, вообще никогда не узнаем: они остаются вне публичного поля. Атакующему иногда достаточно найти одну точку, через которую можно повлиять на огромную систему. В этом и заключается сила хакинга: маленькая команда из нескольких человек может воздействовать на архитектуру, которую строили тысячи людей. Поэтому фраза «править миром» звучит громко, но возможность влиять на цифровой мир у атакующих совершенно точно есть.

Артемий Цецерский: В моей практике в роли этичного хакера почти не было компаний, где бы мы не реализовали недопустимые бизнес-риски или хотя бы не удивили заказчиков тем, что у них в принципе возможно сделать. И, что самое интересное, зачастую для этого не требовались суперсложные уязвимости. Иногда достаточно правильно посмотреть на то, как всё между собой связано. Защитнику всегда сложнее. Он успел обучиться на прошлых атаках, но часто не подумал о будущих. И это не обязательно вина защитников – мы живём в эпоху стремительного развития технологий. Продукты и, как следствие, уязвимости в них генерируются на порядок быстрее, чем сторона защиты успевает реагировать. Но я соглашусь: маркетинговый алармизм действительно присутствует. Кибербезопасность – это тоже рынок. Кто-то реально решает проблему, а кто-то продаёт страх вместе с решением. Думаю, здесь отлично работает закон Парето: условные 20% правильно выбранных мер могут закрыть 80% реального риска. А дальше начинается борьба за каждый следующий процент, которая может стоить бизнесу уже совершенно других денег. Поэтому я бы не говорил компании: «Вы никогда не будете защищены, срочно покупайте ещё десять продуктов». Я бы сначала попробовал её взломать и показать реальную картину. А дальше пусть бизнес сам решает, сколько для него стоит оставшийся риск. В конечном счёте, стать мишенью атакующих – это вопрос вероятности. Интересны вы им сегодня или нет?

Артемий Цецерский: У нас, хакеров, есть и положительные, и отрицательные стороны в работе. Если вдруг появляется азарт повести себя как «чёрный шляпник», мы стараемся согласовывать интрузивные действия с заказчиками. Им самим иногда интересно, чтобы их ломали так, как это делали бы настоящие недоброжелатели. Иначе какой смысл в тестировании? Если мы всегда будем ходить только по тем дорожкам, где нам разрешили, что-нибудь обязательно останется за пределами проверки. Но тут и начинается обратная сторона. Этичные хакеры сильнее ограничены: есть жестко закреплённый бюрократический «скоуп» работ, есть бизнес-процессы, которые нельзя уронить, есть люди, которые вообще не знают, что сегодня участвуют в эксперименте. Иногда ты понимаешь, что технически можешь сделать следующий шаг, тебе безумно интересно, что будет дальше, но нашу романтику часто рушат защитники. Они боятся, что мы нанесём реальный ущерб бизнес-процессу, а исправлять всё придётся им. В реальной жизни хакеры никого не щадят. Наша задача – максимально приблизиться к их мышлению, но не повторять их безрассудство. Так что азарт у меня есть, без него в этой профессии долго не протянешь. Просто настоящий профессионализм – это когда ты умеешь этот азарт выключить в нужный момент.

Артемий Цецерский: У хакинга, как и у любой другой профессии, есть обратная сторона Луны, которую обыватели в погоне за романтикой часто не учитывают. Реальность такова, что мы часто встречаем недостаточно зрелые с точки зрения ИБ компании, и там нет интересных задач или вызовов. По опыту, больше чем у половины компаний встречаются одни и те же типичные мисконфигурации, которые приводят к полной компрометации инфраструктуры. Нас как атакующих это, конечно, радует, но как искателей нестандартных задач – немного расстраивает. Тебе ведь интереснее не просто найти очередной открытый сервис, а понять, что происходит внутри системы, отыскать неожиданный путь, который до тебя никто не замечал. Поэтому мы стараемся применять нестандартные подходы даже в такой среде. Мне нравится мысль Брюса Ли: «Стоит бояться не того, кто изучает 10 000 ударов, а того, кто изучает один удар 10 000 раз». В хакинге примерно так же. Можно знать тысячу инструментов и поверхностно нажимать кнопки во всех них. А можно очень глубоко понимать один механизм и в нужный момент применить его совершенно неожиданным образом. Ну и отчёты никто не отменял. Иногда ты несколько дней красиво ломал инфраструктуру, а потом ещё столько же должен объяснять в документе, почему это вообще проблема.

Артемий Цецерский: Использование простой атаки зачастую говорит не о глупости атакующего, а наоборот – о его прагматичности. Настоящий «триумф хакерского ума» нечасто встретишь в дикой среде, на то он и триумф – в его нестандартности и скрытности. Почему срабатывают простые атаки? Всё просто: хакеры ленивы. Они стараются находить так называемые «низко висящие фрукты» и эксплуатировать их. Если я могу получить нужный результат через условный 123, зачем мне тратить несколько дней на поиск уязвимости нулевого дня? Здесь работает старое правило: прочность всей цепи определяется самым слабым звеном. Если в огромной защищённой инфраструктуре есть один человек с паролем 123, вся остальная сложность системы может оказаться неважной. Атакующему часто вообще не нужно доказывать, насколько он умён. Ему нужно достичь цели. Конечно, когда простых путей нет, приходится задействовать самые глубокие ресурсы хакерского мышления. Вдобавок, для злоумышленника скорость достижения цели часто стоит выше удовольствия от процесса – ему ведь ещё нужно успеть убежать от догоняющих защитников. Поэтому, если хакер вошёл через самое простое место, я бы не смеялся над ним. Я бы спросил себя: почему это место вообще было открыто?

Артемий Цецерский: На самом деле защитники никогда не могут спать спокойно. В нашей среде говорят, что информационная безопасность – это процесс, а не результат. Система постоянно меняется: появляются новые приложения, пользователи, интеграции, обновления, облачные сервисы. Сегодня ты закрыл одну дверь, завтра рядом появилась другая. Поэтому игра в «кошки-мышки» как раз и подогревает наш взаимный интерес и азарт. Обход средств защиты – и правда часто рутинная работа. Особенно грустно, когда ты неделями исследуешь нестандартный приём, а потом в один день защитники разбивают твои старания в пух и прах. Но знаете, в этом тоже есть определённое удовольствие. Ты придумал что-то, что сработало, а потом видишь, как команда защиты это обнаруживает, разбирает и закрывает. Приходится начинать сначала. Наверное, поэтому я не воспринимаю атакующих и защитников как вечных врагов. Хороший защитник заставляет хорошего атакующего становиться лучше, а хороший атакующий показывает защитнику, где система на самом деле не такая крепкая. В этом вся прелесть профессии: если ты остановился и решил, что уже всё умеешь, скорее всего, ты проиграл.

Артемий Цецерский: Нейросети действительно стремительно ворвались в жизнь атакующих и защитников. Но хакерство всегда было вопросом нахождения нестандартных подходов, чего у ИИ на данный момент не наблюдается. ИИ стал сильным инструментом: он освободил специалистов от рутины и оставил больше пространства для креативной составляющей – именно того, чего больше всего боятся защитники. Я не вижу трагедии в том, что машина заберёт у нас рутину. Если раньше я должен был несколько часов выполнять механическую работу, а теперь за это время могу проверить десять новых гипотез – это прекрасно. Как и в любой сфере, ИИ определённо превратит многих в обычных операторов. Но тут вопрос в том, как ты сам это принимаешь. Кто-то отрицает тренд, а кто-то находит слабые стороны алгоритмов и усиливает их своими человеческими ресурсами. Я бы боялся не того пентестера, который использует ИИ, а того, который принципиально отказывается это делать и продолжает работать так, будто за последние годы ничего не произошло. Выживает, по теории Дарвина, тот, кто умеет быстро адаптироваться.

Артемий Цецерский: Тема резонансная. Мы не можем заглянуть в будущее, поэтому я не стану делать вид, что знаю точную дату. Но здесь работает закон Вселенной – баланс. Пока одни готовят квантовый компьютер для атаки на существующую криптографию, другие думают, как её заменить и пережить этот переход. Проблема может начаться ещё до появления мощного квантового компьютера. В ИБ уже существует концепция «Harvest Now, Decrypt Later» – когда злоумышленник собирает зашифрованные данные сегодня с расчётом расшифровать их позже, когда позволят технологии. Информация может быть украдена задолго до того, как появится возможность её прочитать. При этом я бы не говорил, что квантовые компьютеры просто «расколют всё». Под удар попадает современная асимметричная криптография (например, RSA и ECC). Речь идёт не о конце криптографии как таковой, а о смене математического фундамента всего цифрового мира. Подготовка к этому уже идёт. Не будет такого дня, когда мы проснёмся, а цифровой мир внезапно перестал работать. Это будет очередная технологическая гонка. В обычном хакинге ты ищешь одну маленькую дверь в конкретной системе, а квантовая угроза может поставить под вопрос огромный класс существующих систем одновременно. Это другой масштаб. А чем станет этот век – золотым временем для хакеров или хаосом, – зависит от того, в чьи руки попадёт этот инструмент. Как говорят в фильмах: «С великой силой приходит великая ответственность».

Артемий Цецерский: Рутина была и будет всегда. Но всегда есть талантливые индивидуумы, чей пытливый ум влияет на «тектонические движения» в истории. Конечно, сегодня крупные операции требуют ресурсов, команд и инфраструктуры. Один человек физически не может обладать тем, что может позволить себе государство или крупная группировка. Но технологии никогда не убивали человеческое любопытство. Иногда один специалист, посмотревший на привычную вещь под другим углом, способен придумать то, до чего не додумалась большая корпорация. Поэтому романтика не исчезнет, она просто изменится. Сегодня у одиночки может быть доступ к таким инструментам и вычислительным мощностям, которые недавно были доступны только крупным организациям. Мы сами определяем, кем хотим быть: энтузиастом-новатором или обычным винтиком. Размер команды далеко не всегда определяет масштаб идеи.

Артемий Цецерский: Атакующие всегда адаптируются под новые вызовы. Раньше люди боялись, что калькулятор избавит их от необходимости считать, потом боялись компьютеров, интернета, искусственного интеллекта. А теперь у нас следующий виток. Мы взламываем людей уже вчера. Такое направление называется социотехническим тестированием. Атакующие профилируют людей, изучают их психологию и поведение, чтобы побудить выполнить вредоносные действия, зачастую неосознанно. Поэтому вопрос не в том, будем ли мы взламывать людей – мы уже это делаем. Просто сегодня уязвимость находится между стулом и клавиатурой, а завтра она может оказаться между человеком и его имплантом. И вот там цена ошибки будет принципиально иной. В медицинских устройствах и нейроинтерфейсах речь идёт уже не об украденном аккаунте, а о человеческой жизни и физической безопасности. Это создаст абсолютно новый раздел ИБ. Атакующие туда, конечно, придут. И нам придётся прийти туда раньше них. Потому что лучше, если первым такой имплант взломает этичный хакер во имя защиты.