Как программа решает, что вы — хакер. Рассказываю изнутри

Где-то на вашем рабочем компьютере прямо сейчас работает программа, которая незаметно решает: вы обычный сотрудник или злоумышленник, которого пора блокировать. Я семь лет пишу такие системы. Расскажу, как эта штука на самом деле принимает решения — и почему иногда обвиняет невиновных.

Сначала контекст, без него дальше непонятно. Я не хакер и давно не пентестер — это моё прошлое. Последние семь лет я разработчик: пишу те самые защитные продукты, на которые все ругаются. Агенты, которые сидят на компьютерах сотрудников, и детекты — правила и модели, которые решают, что считать атакой.
Так вот, главное разочарование для тех, кто ждёт магии: внутри нет искусственного интеллекта, который «понимает» злоумышленника. Внутри — очень дотошный и очень тупой охранник, который не понимает смысла происходящего, зато идеально помнит, как выглядит норма, и поднимает тревогу на всё, что от неё отличается.

Программа не спрашивает «ты хороший или плохой». Она смотрит на поведение и сравнивает его с двумя вещами: с тем, что мы, разработчики, заранее описали как «так делают только злоумышленники», и с тем, что обычно делаете лично вы и ваши коллеги.
Грубый, но честный пример. Бухгалтер, который каждый день открывает 1С и почту, — это норма, тишина. Тот же бухгалтер, который в три часа ночи вдруг запускает инструмент для массового копирования файлов и лезет в сетевые папки других отделов, — это резко «не норма». Система не знает, взломали его или он сам решил что-то унести. Она просто видит: поведение выбилось из привычного рисунка. И поднимает руку.
Вся сложность моей работы — не «поймать хакера». Хакера, который громит всё подряд, поймает и школьник. Сложность в том, чтобы отличить настоящую атаку от сотрудника, который просто делает что-то непривычное, но законное. И вот тут начинается самое больное.

Ложные срабатывания — когда система кричит «атака», а это был обычный человек — это не баг и не халтура разработчика. Это неизбежная плата за саму идею. Давайте на пальцах, почему так.
У меня как у разработчика есть только две ручки, и они связаны между собой. Кручу первую — система становится подозрительной и ловит больше реальных атак, но заодно дёргает тревогу на кучу нормальных людей. Кручу вторую — тревог меньше, работать спокойнее, но вместе с шумом я рискую пропустить настоящего злоумышленника, который вёл себя тихо. Идеальной настройки, где ловятся все атаки и ни один невиновный не задет, не существует в природе. Это не вопрос бюджета или ума — это математика.
Поэтому когда антивирус удаляет вашу самописную утилиту или система блокирует сотрудника за нестандартное действие — это чаще всего не ошибка. Это система честно отработала: увидела поведение, похожее на плохое, и на всякий случай перестраховалась. Обидно, но логика ровно та, по которой вы бы сами предпочли лишний раз перепроверить незнакомца у двери, чем впустить грабителя.

Если у вас в компании есть такие системы (а они есть чаще, чем вы думаете), понимание их логики экономит нервы и деньги.

За семь лет разработки я привык к главному парадоксу профессии: чем лучше защитная система делает свою работу, тем чаще она мешает живым людям, и наоборот. Внутри нет всевидящего разума — есть дотошный охранник, который сравнивает происходящее с нормой и перестраховывается. Понимаете эту логику — и «тупые» блокировки перестают бесить, а разговор с безопасниками превращается из ссоры в нормальный выбор между шумом и риском.
А вас самих когда-нибудь «обвиняла» защитная программа на работе — за что? Расскажите в комментариях, разберу самые частые случаи.

Пишу про то, как устроены защитные продукты изнутри — без магии и продаж — в телеграм-канале: t.me/benderov_sec.