Xello Deception на кибербитве Standoff 17: цифры, аналитика и работа над ошибками

9 октября

Xello Deception на кибербитве Standoff 17: цифры, аналитика и работа над ошибками

В июне 2026 года в московском Кибердоме прошла юбилейная международная кибербитва Standoff 17. Рассказываем, как отработал Xello Deception.

скачать pdf

Deception Кейс стади Deception Защита инфраструктуры

Введение

В июне 2026 года в московском Кибердоме прошла юбилейная международная кибербитва Standoff 17. Красные команды — белые хакеры из разных стран — отрабатывали сценарии кибератак и проверяли на прочность инфраструктуру виртуального Государства F. Синие — обнаруживали и расследовали инциденты и пресекали действия атакующих. Все происходило в условиях, максимально приближенных к реальным. В этом году впервые в истории Standoff командам защиты было доступно решение класса Distributed Deception Platform — первая отечественная система киберобмана Xello Deception.Xello Deception создает в инфраструктуре ложный слой из приманок и ловушек. Взаимодействие с такими объектами указывает на компрометацию сети. Ловушки представляют собой серверы, эмулирующие ресурсы ИТ-инфраструктуры компании: сервисы, базы данных, операционные системы (ОС). Приманки — это ложные данные на конечных устройствах пользователей: учетные записи, сохраненные пароли в памяти ОС или браузерах и другие артефакты.

Немного контекста

За три недели до старта команда Xello совместно с коллегами из Standoff развернула решение в следующих отраслевых сегментах виртуального Государства F: железнодорожном секторе, горно-металлургическом комплексе, ритейле и телекоме. У инфраструктуры киберполигона Standoff есть особенность: в ней нет активных пользователей и их профилей. Вся пользовательская активность эмулируется. В связи с этим во время кибербитвы использовались только ловушки. В Xello Deception их два вида:

DECOY TRAPS — позволяют создать в инфраструктуре различные ложные устройства с собственными сетевыми адресами: мобильные и сетевые устройства, рабочие станции и серверы.
REALOS TRAPS — превращают хостовую операционную систему в ловушку. Это позволяет установить на нее любое легитимное программное обеспечение или систему, сделав ее более привлекательной для злоумышленника.

Инфраструктура каждой отрасли киберполигона Standoff включает определенное количество активов, хостов и сетевых сегментов. Поэтому мы ограничили количество эмулируемых активов и систем, чтобы ложная инфраструктура не превращалась в точную копию отраслей — иначе работа атакующих (красных команд) была бы серьезно осложнена.Xello Deception передавал события в SIEM-системы команд защиты как дополнительный источник данных, что помогало быстрее выявлять инциденты и упрощало работу с сигналами при обнаружении угроз.

Результаты

Что же в итоге? Мы проанализировали подготовленную командой Standoff аналитику, в которой данные Xello Deception сопоставлялись с официальными отчетами синих команд (команды SOC). Ниже — основные выводы и разбор ошибок.

Статистика работы синих команд в Xello Deception

Xello Deception зафиксировал значительное количество событий взаимодействия с ловушками: 348 в ЖД-секторе, 348 в металлургии, 383 в ритейле и 22 в телекоме. При этом синие команды оформили 168 инцидентов в ЖД-секторе, 86 — в металлургии, 59 — в ритейле и 18 в телекоме (рисунок 1).Это расхождение само по себе не является показателем неэффективности SOC, но четко указывает на наличие «слепых зон» в операционных процессах обогащения данных.

Рисунок 1 — События Xello Deception и инциденты Blue Team по отраслевым сегментам.

Смотрели только в одну сторону

Во всех трех случаях (исключая телеком) наблюдалось четкое разделение фокуса мониторинга. Xello Deception непрерывно контролировал внутренние сегменты и служебные подсети, фиксируя попытки горизонтального перемещения, сетевой разведки и взаимодействия с ловушками по различным протоколам. Синие команды работали с хостовыми артефактами, учетными записями и логами средств защиты периметра, анализируя в том числе использование Mimikatz, C2-каналов и эксплуатацию уязвимостей.

Обнаружение «теневой активности»

Xello Deception зафиксировал сработки с десятков IP-адресов и узлов инфраструктуры, которые не были отражены в отчетах синих команд. В ритейле, например, система выявила 96 уникальных IP-источников атак, тогда как Blue Team задокументировала лишь 26. При этом 16 из 26 IP-адресов (61,5 %), отмеченных в расследованиях команды мониторинга, ранее проявляли активность в Xello Deception (рисунок 2).

Рисунок 2 — Пересечение IP-адресов в данных Xello Deception и расследованиях синих команд.

Не только обнаружение: что еще дали данные Xello Deception

Xello Deception использовался синими командами не только для фиксации взаимодействий с ложными ресурсами. Система также помогала анализировать действия красных команд и получать дополнительную информацию об их активности (рисунок 3):

«Продукт позволял нам понять техники и тактики, используемые красными командами, а также сильно помогал в атрибуции Red Team. В какой-то момент мы заметили, что красные команды используют активно атакующие ИИ-модели, и в ответах стали перенаправлять их на ловушки. В итоге это принесло много интересных артефактов», — отметил участник команды защиты Grep_Tribe.

Рисунок 3 — Пример перенаправления ИИ-модели на Decoy Trap в ответе. Интерфейс PTAF

Критический временной задел

Первый инцидент Xello Deception зарегистрировал через 29 секунд после начала кибербитвы. В среднем система фиксировала 12–16 инцидентов в час. При этом, например, в ритейле инциденты регистрировались защитниками спустя 6–9 часов, а в отдельных случаях разрыв составлял от 19 до 65 часов. В металлургии Xello Deception выявил разведку и попытки горизонтального перемещения примерно за два дня до соответствующего инцидента в отчете Blue Team. Обращаем внимание, что в рамках кибербитвы синим командам требуется время для аналитики и заполнения отчетов. Подробнее разберем эти случаи ниже.

Детали по отраслям

Железнодорожный сектор

348

событий зафиксировал Xello Deception

уникальных IP-источников выявил Xello Deception

168

инцидентов зарегистрировала синяя команда

Ключевые векторы атак, выявленные системой:

WIN/SMB — массовые обращения к эмулируемым Windows-хостам и сетевым ресурсам;
WEB/HTTP — взаимодействие с ложными веб-интерфейсами;
SCAN_ICMP/TCP — интенсивное сканирование подсетей;
SSH/FTP/POP3/IMAP — проверка учетных данных и разведка почтовых/файловых сервисов;
POSTGRESQL — попытки обращения к ложным СУБД.

Самый атакуемый сегмент — Back Office

Самый «атакующий» сегмент — DMZ

На него пришлось более 30% атак

101 из 348 событий исходило из него

Один из показательных эпизодов связан с узлами, которые активно обращались к ловушкам по SMB, WIN, WEB и SSH. Синяя команда расследовала активность на этих хостах через SIEM, включая использование Mimikatz, но не сопоставила ее с сигналами от ловушек Xello Deception. При этом за время Standoff команды не зафиксировали ложноположительных срабатываний системы киберобмана. В результате высокодоверенный источник данных, который мог ускорить расследование и помочь восстановить картину активности атакующих, не был использован в полной мере.

Металлургическая отрасль

348

событий зарегистрировал Xello Deception

+ уникальных IP-источников выявил Xello Deception

инцидентов зарегистрировала синяя команда

Ключевые векторы:

WIN/SMB — доминирующий вектор разведки;
WEB/HTTP — эмулируемые веб-интерфейсы;
SCAN_ICMP/TCP — сканирование подсетей 10.119.14.x, 10.149.17.x, 10.149.16.x;
SSH/FTP/SFTP — подбор паролей и проверка сервисов;
DB — разведка эмулируемых СУБД.

Самый атакуемый сегмент —Shared Workplaces

Самый «атакующий» сегмент — Shared Workplaces

на него пришлось почти 40% атак

171 из 348 событий исходило из него

Наиболее показательный кейс: один из узлов сегмента Shared Workplaces с 16.06.2026 вызывал срабатывания ловушек по SMB, WIN, WEB, FTP, SSH и СУБД. Синяя команда зарегистрировала инцидент только 19.06.2026 — RCE-атаку с эксплуатацией CVE-2025-59287 на WSUS с этого же узла. Xello Deception обнаружил разведку за два дня до финальной фазы атаки. Аналогичная ситуация наблюдалась с другим узлом той же подсети: система фиксировала массовые сработки с 16.06.2026, а SOC позднее обнаружил Password Spraying и обратный туннель с этого хоста на C2.При этом в отчете эти события не были связаны с более ранними сигналами Xello Deception.

Ритейл

В ритейле система показала наибольшее расхождение между количеством зафиксированных событий и инцидентов в отчете Blue Team:

383

события зарегистрировал Xello Deception

инцидентов зарегистрировала синяя команда

уникальных IP-источников выявил Xello Deception

IP-источников в отчетах синих команд

Ключевые векторы:

SMB/WIN — 173 события, связанные с обращениями к ложным сервисам доменной инфраструктуры;
SCAN_TCP/ICMP — 148 событий сетевой разведки;
HTTP/HTTPS — 31 событие — запросы к фейковым веб-приложениям;
SSH — 25 событий — попытки перебора учетных данных.

Первое обращение к ловушке было зафиксировано системой 16.06.2026 в 14:16 UTC. Это был хост из пула корпоративного VPN. Синяя команда, зная, что это ловушка, не отреагировала на происходящее. Но спустя почти 65 часов, когда произошла атака на реальный VPN, синяя команда оформила отчет о подборе пароля и доступе к IPC$ в течение 20 минут. Xello Deception позволил синей команде на десятки часов отвлечь внимание атакующих.

Все дело в кубере: почему в телекоме  Xello Deception зафиксировал меньше событий

события зарегистрировал Xello Deception

инцидентов зарегистрировала синяя команда

Особенность инфраструктуры телекома — она развернута в Kubernetes. Мы предполагали, что ловушки могут отработать некорректно в подобной среде, но пошли на эксперимент и проверили эту гипотезу.Kubernetes постоянно меняет инфраструктуру: пересоздаются поды, изменяются IP-адреса, происходит миграция между узлами. Если не синхронизировать ловушки с этими изменениями, их эффективность снижается. Кроме того, сама архитектура контейнерной среды отличается от традиционной серверной. Контейнер — это прежде всего изолированный процесс, а не отдельная машина. Работа с историей подключений, DNS-записями, учетными данными и другими характерными для традиционных хостов артефактами здесь не предполагается. Также Kubernetes ограничивает сетевую видимость: используются Overlay Network, Service Mesh, Ingress Controller. Поэтому наши Decoy-ловушки не отработали, и все события пришли с RealOS.

Разбор полетов: как повысить эффективность Xello Deception   в любой инфраструктуре —   и реальной, и искусственной

1. Интегрируйте с SIEM/IRP/SOAR-системами

Часть сработок Xello Deception не нашла отражения в отчетах команд. Одной из причин могло стать отсутствие настроенной автоматической передачи событий в используемые SIEM/IRP/SOAR-системы. У Xello Deception есть готовый коннектор для MaxPatrol SIEM, а также открытый API для интеграции с другими решениями. Но на Standoff использовались в том числе и решения других вендоров.

2. Формируйте регламенты

События Xello Deception не выделялись отдельным тегом и попадали в общий поток сигналов. В результате их было сложнее отличить от фоновой активности и приоритизировать. Поэтому для Deception-сигналов важно заранее определять правила обработки.

3. Автоматизируйте реагирование

Системы киберобмана предоставляют высокодоверенные индикаторы компрометации. Поэтому инциденты Xello Deception могут служить триггером для запуска настроенных в SOAR плейбуков реагирования: изоляции IP-адресов при взаимодействии с приманками или добавления IP-адреса в запрещающий список (denylist) на NGFW.Это позволяет прерывать атаку на этапе разведки — до развития горизонтального перемещения и эксплуатации уязвимостей.

Небольшие отраслевые рекомендации по следам Standoff 17

ЖД, металлургия, энергетика —отрасли с компонентами АСУ ТП

Злоумышленники, как правило, фокусируются на долгосрочном закреплении в сети, горизонтальном перемещении между технологическими и офисными сегментами, а также на разведке SCADA-систем и компонентов АСУ ТП. Xello Deception продемонстрировал способность выявлять перемещение между данными сегментами сети за несколько дней до финальных атак.

Ритейл и финансовый сектор — самые атакуемые отрасли

Высокий уровень цифровизации и большое количество сервисов делают применение Deception-решений особенно актуальным для таких инфраструктур. Злоумышленники массово перебирают учетные данные на различных веб-сервисах, сканируют подсети, поэтому атаки часто сопровождаются «шумом». При этом Xello Deception имеет низкий процент ложноположительных срабатываний (false positive) и помогает командам ИБ выявлять реальные инциденты. Решение также дает дополнительное время для реагирования, перенаправляя злоумышленника на ложные ресурсы.

Компании с распределенной инфраструктурой и большим количеством внутренних подсетей

Чем сложнее и разветвленнее сеть, тем выше ценность Deception. Решение обеспечивает непрерывный контроль внутренних сегментов, недоступный для периметральных средств защиты.

Краткие выводы

Xello Deception подтвердил свою высокую точность и эффективность в выявлении разведки и горизонтального перемещения атакующих внутри инфраструктуры — все четыре команды поставили высокие оценки решению. Команды отметили, что за время кибербитвы система не показала ложноположительных срабатываний. Решение подсветило критические узлы и векторы атак в каждой из отраслей, где было задействовано, обеспечив временной задел от нескольких часов до нескольких дней. При этом многие команды не успели полноценно встроить Xello Deception в свои операционные процессы — разработать и утвердить регламенты использования Deception-данных в расследованиях и внедрить плейбуки автоматического реагирования. Без этих мер даже высокодостоверные сигналы могут оставаться вне поля зрения SOC.