Тишина — тоже сигнал: зачем ловушкам обмениваться трафиком

12 августа

Тишина — тоже сигнал: зачем ловушкам обмениваться трафиком

В статье рассказываем, как сделать ловушки реалистичнее и почему современные системы киберобмана все чаще дополняются механизмами генерации фоновой активности

Рустам Закиров

Deception Экспертиза Deception Защита инфраструктуры Ловушки

Современные атаки редко начинаются с шумных действий. Прежде чем перейти к активной фазе, злоумышленник закрепляется в инфраструктуре, изучает среду и разбирается в устройстве сети. Этот этап — один из самых опасных.По данным Mandiant M-Trends 2026, медианное время незаметного присутствия атакующего в инфраструктуре в 2025 году составило 14 дней. В отдельных случаях хакеры могут находиться в сети месяцами и даже годами.Они избегают заметных действий и последовательно анализируют инфраструктуру: изучают, какие системы взаимодействуют друг с другом, какие протоколы используются и в какое время возрастает активность. На этом фоне сервер, который практически не участвует в типовой сетевой активности, выглядит подозрительно. Именно здесь киберобман проходит проверку на реалистичность.

Почему тишина может выдать ловушку

Классическая инсталляция выглядит так: разворачиваются десятки ловушек — поддельные RDP-серверы, фейковые базы данных, ложные файловые шары. На каждой из них работает сервис на заданном порту. Конфигурация правдоподобна. Баннеры — как у настоящих систем.Однако большинство таких ловушек статичны. Они ждут входящего подключения, но сами почти не инициируют сетевую активность. Для автоматизированных сканеров может быть достаточно увидеть открытый порт, правдоподобный баннер и ожидаемый ответ сервиса. Для человека — не всегда. Для опытного наблюдателя важен не только сам факт ответа, а поведение узла во времени: инициирует ли он соединения, участвует ли в типовых процессах, меняется ли его активность в течение дня. Реальный сервер постоянно генерирует фоновые взаимодействия:

DNS-запросы.
NTP-синхронизацию.
Межсервисные API-вызовы.
RDP-сессии администраторов.
SMB-обращения пользователей.

Бездействующий сервер — либо выключенный сервер, либо ловушка. Профессионал, который неделями наблюдает за сегментом сети, рано или поздно заметит это.Mandiant отмечает высокий интерес злоумышленников к устройствам на границе сети (network edge devices) — VPN-шлюзам, межсетевым экранам и другим сетевым компонентам. Атакующие сознательно выбирают точки инфраструктуры, которые остаются вне полноценной видимости традиционных средств защиты. Так злоумышленник обнаруживает элементы инфраструктуры (ловушки), которые никогда не обращаются к DNS, Active Directory, системам мониторинга или резервного копирования.

Когда ловушка начинает «жить»

Если статичная ловушка может быть выявлена по отсутствию активности, нужно сделать ее динамичнее и реалистичнее.Один из способов решить эту проблему — создать между ловушками правдоподобный сетевой фон. Они должны обмениваться данными, инициировать соединения, участвовать в типовых рабочих процессах. Генерация межловушечного трафика превращает инфраструктуру киберобмана в среду, которая для пассивного наблюдателя выглядит как реальный рабочий сегмент.

Каким бывает такой трафик

Фоновую активность можно сформировать различными способами в зависимости от задач и модели инфраструктуры.

Воспроизведение реального трафика (PCAP replay)

Первый подход — записать настоящий сетевой обмен и воспроизводить его.Например:

SMB-сессии между файловыми серверами.
Обращения к внутренним API.
Синхронизация сервисов.

Преимущество метода — высокая степень сходства с реальной средой. Ограничение — при длительном наблюдении записанный трафик может терять реалистичность. Отдельные технические признаки повторяются, а активность выглядит менее естественной.

Воспроизведение сценариев взаимодействия (Session replay)

Второй подход более гибкий — воспроизводить не отдельные сетевые пакеты, а логику взаимодействий.Например:

Периодические RDP-подключения администраторов.
Обращения приложений к базам данных.
Резервное копирование по расписанию.

Преимущество подхода — большая гибкость по сравнению с PCAP replay. Session replay позволяет варьировать параметры сессий и сохранять реалистичность поведения. Ограничение — зависимость от заранее заданных сценариев. Если они недостаточно разнообразны или обновляются нерегулярно, активность может выглядеть шаблонной.

Синтетическая генерация трафика

Более адаптивный подход — динамически создавать новые сессии в реальном времени, без заранее записанных шаблонов.Что может генерироваться:Внутрисегментные сессии

SMB-обращения между файловыми серверами.
RDP-сессии от администраторов.
SSH-подключения.

Сервисный фон

Синхронизации.
Обновления.
Heartbeat-сигналы.

Бизнес-трафик

HTTPS-запросы между приложениями и базами данных.
Обращения к внутренним API.
Взаимодействия прикладных систем.

Реалистичные временные паттерны

Всплески активности в рабочее время.
Снижение активности ночью.
Резервное копирование по расписанию.
Регулярные сервисные задачи.

Для опытного наблюдателя важно не только наличие трафика, но и его ритм: рабочие часы, ночные окна обслуживания и регулярность фоновых задач.Такой подход — это не простое воспроизведение PCAP-файлов и не traffic replay. Синтетическая генерация трафика создает новые живые сессии с актуальными параметрами, реальной логикой взаимодействий и уникальной историей активности.Для внешнего наблюдателя такая среда выглядит как инфраструктура с собственной историей взаимодействий. Наличие такой «биографии» делает ловушки менее отличимыми от реальных активов.

Почему это усиливает deception

Чем реалистичнее выглядит инфраструктура, тем сложнее злоумышленнику отличить реальные активы от ложных.Главная задача систем киберобмана — не только зафиксировать сканирование, но и создать убедительную модель настоящей инфраструктуры. Чем дольше атакующий наблюдает за сетью, тем выше требования к ее реалистичности.Если ловушка участвует в общей сетевой активности, вероятность ее обнаружения снижается. Одновременно повышается качество сигнала: когда у ловушки есть ожидаемый паттерн поведения, нетипичное обращение к ней легче заметить. Не нужно ждать запуска вредоносных инструментов или активной эксплуатации — достаточно одного соединения, которое не укладывается в нормальный фоновый сценарий. Это особенно важно против атакующих, которые:

Используют техники Living-off-the-Land — встроенные инструменты инфраструктуры.
Действуют медленно.
Избегают сигнатурных триггеров.
Проводят длительную разведку перед развитием атаки.

Горизонтальное перемещение остается одним из самых опасных этапов атаки. Именно здесь злоумышленник начинает напрямую взаимодействовать с инфраструктурой: искать точки дальнейшего продвижения, учетные данные и пути к критичным системам. Поэтому современные системы киберобмана все чаще дополняются механизмами генерации фоновой активности. В современной инфраструктуре тишина — это тоже сигнал. И иногда именно она позволяет внимательному атакующему распознать ловушку.