«МТС Банк» внедряет графовые нейросети для борьбы с кибератаками

Разработанный банком «ансамбль» из пяти моделей выявляет более 90% сценариев перемещения злоумышленников внутри сети, невидимых для классических систем защиты. По итогам годового пилота решение подтвердило эффективность и готовится к поэтапному масштабированию.

Почему классическая защита не видит атаку

Современные кибератаки всё реже опираются на вирусы и прямые взломы. Злоумышленники переходят к тактике living-off-the-land — «жизнь за счёт местных ресурсов»: атакующий использует легитимные учётные записи, подключается к стандартным протоколам в рабочее время, перемещается только по знакомым маршрутам и опирается на забытые ключи доступа. В итоге «вторжение» может оставаться незамеченным месяцами, потому что каждое отдельное действие выглядит как штатная работа администратора. Межсетевые экраны, антивирусы и системы мониторинга здесь буксуют — они смотрят на изолированные события, а не на их совокупность.

Как устроен «ансамбль» из пяти моделей

Суть графового подхода в том, что нейросеть работает не с таблицами логов, а с графом — структурой, где узлами выступают учётные записи, серверы и сессии, а рёбрами — связи между ними: кто, куда, когда и каким путём переместился. «МТС Банк» собрал ансамбль из пяти узкоспециализированных моделей: одна ловит сбой привычного ритма активности, другая — переход между сегментами сети, третья — необычный маршрут, остальные закрывают смежные паттерны. По отдельности каждая модель ошибается, но их сигналы взвешиваются и объединяются — «до аналитика доходят единицы событий в сутки, те, что действительно стоят внимания», пояснил вице-президент по информационной безопасности «МТС Банка» Илья Зуев. На данных пилота за год система обнаружила все 22 теста на проникновение и одну проверку Red Team — каждая активность была поймана на этапе перемещения внутри инфраструктуры.

Что это меняет для рынка

Графовый подход не отменяет привычные средства защиты, а закрывает их «слепые» зоны — то есть добавляет защите способность видеть связи, которой у неё раньше не было. Для индустрии кейс интересен тем, что показывает практическую зрелость GNN за пределами лабораторных бенчмарков: ансамблевая архитектура позволяет компенсировать слабости отдельных моделей и подбирать их веса под конкретные типы атак. В «МТС Банке» намерены масштабировать решение на всю инфраструктуру и развивать графовый подход совместно с участниками рынка информационной безопасности — стоит следить, появятся ли аналогичные внедрения у других крупных игроков и как быстро технология выйдет за пределы банковского сектора.