«Эксплойты стали как универсальные ключи — ими может пользоваться любой»
— Сергей, если говорить о текущем ландшафте: какие уязвимости вы считаете наиболее опасными?
— Самые серьезные — это уязвимости, под которые уже существуют готовые эксплойты. Они продаются в даркнете, стоят недорого и становятся всё проще в использовании. Раньше для этого требовались глубокие знания: как устроены сети, как работает память на низком уровне. Сейчас эксплойт всё чаще превращается в «универсальный ключ».
Когда-то за подобные знания платили сотни тысяч долларов, теперь же любой может скачать готовый скрипт и запустить его. Это резко снижает барьер входа в киберпреступность.
«Excel против армии злоумышленников — это как лечить пневмонию аспирином»
— Как компании реагируют на эту угрозу? Какие ошибки они совершают чаще всего?
— Многие продолжают работать вручную. Уязвимости фиксируют в Excel, проверки проводят силами собственных администраторов. Но представьте: в компании 5-10 тысяч серверов, десятки тысяч рабочих станций, облачные сервисы, IoT-устройства. Против них — целая индустрия злоумышленников, у которых каждая атака автоматизирована. Excel против этого — как лечить пневмонию аспирином.
Вторая ошибка — недооценка скорости изменений. Пока администратор составил список систем и установил на них патчи, инфраструктура уже изменилась. Мы видим, как компании тратят месяцы, а в итоге всё равно остаются «слепыми зонами».
Решение очевидно: автоматизация. В exploitDog мы сделали ставку на real-time-подход. Система непрерывно сканирует активы и показывает актуальную картину. Операционная нагрузка снижается: то, что раньше требовало команду из пяти человек, теперь делает один специалист за несколько часов.
«Топ-менеджеры узнают о проблеме только после катастрофы»
— А как ведут себя руководители компаний? Насколько они вовлечены в тему безопасности?
— Если честно, очень слабо. По моим наблюдениям, тема vulnerability management пока знакома лишь узкому кругу руководителей — чаще всего это CIO или IT-директора. Для большинства топ-менеджеров она остается на периферии внимания, потому что есть множество других приоритетов. Как правило, интерес к этой теме резко возрастает после серьезных инцидентов: утечек данных, сбоев в работе сервисов или остановки производства.
В Европе и США иначе: там кибер риски встроены в стратегию компании. У нас пока преобладает реактивный подход — решать проблему, когда она уже нанесла ущерб.
«Я не вижу — я не знаю»
— С чего стоит начать тем, кто только задумывается о защите?
— С прозрачности. Наш лозунг: «Я не вижу — я не знаю». Если вы не знаете, что у вас в инфраструктуре, вы не знаете и рисков.
Я обычно объясняю это на простом примере из ИТ. Представьте администратора, у которого в сети несколько сотен серверов, рабочих станций и сервисов. Но при этом у него нет ни системы мониторинга, ни централизованного логирования, ни алертинга. На первый взгляд всё «тихо»: сервисы вроде работают, пользователи не жалуются. Но это иллюзия контроля. В любой момент может выйти из строя критичный узел или начнётся атака, а узнать об этом администратор сможет только тогда, когда бизнес уже столкнется с последствиями — простоями, потерей данных, жалобами клиентов.
Без мониторинга в ИТ-инфраструктуре компания живёт вслепую. То же самое в безопасности: если вы не видите все свои активы, не знаете, какие у них конфигурации, какие сервисы открыты наружу и какие уязвимости на них «живут», то вы просто гадаете, где может возникнуть проблема.
ExploitDog даёт именно эту «видимость». Он показывает полный перечень активов, включая те, о которых компания часто даже не подозревает: забытую тестовую виртуалку, старый роутер в филиале или IoT-устройство, оставшееся без обновлений. И уже после этого можно переходить к следующему шагу — приоритизации рисков и их устранению.
«Тренд меняется: от устройства к уязвимости»
— Допустим, компания получила полную картину. Что дальше?
— Здесь мы видим ключевой тренд. Раньше всё строилось вокруг устройств: есть сервер, на нём нашли уязвимость, закрыли ее. Сегодня подход другой: мы идём от уязвимости. Сначала определяем, какая из них несёт максимальный риск для бизнеса, а потом находим все устройства, где она встречается.
И важно понимать: это не разовая операция, а бесконечный цикл. Уязвимости появляются каждый день. Поэтому процесс похож скорее на регулярный медосмотр: нужно проверять, устранять, снова проверять и постоянно улучшать методы. Если перестанете этим заниматься, риски вернутся, как болезнь после прерванного лечения.
«Полгода вместо двух недель — это как оставить дверь настежь»
— А как быстро компании реагируют на угрозы?
— В мире нормой считается закрывать критичную уязвимость за 10-14 дней. В России средний срок — полгода. За это время эксплойт успевает не только появиться, но и разойтись по форумам, превратиться в готовый набор инструментов.
Я иногда сравниваю это с дверью: её нужно закрыть сразу. Если держать дверь офиса открытой полгода, рано или поздно кто-то зайдёт.
В exploitDog мы стремимся сокращать «окно атаки» от дней к часам. Это не лозунг — это техническая возможность: real-time аналитика, обновление базы уязвимостей, легкий агент, который потребляет меньше 20 Мб оперативной памяти и менее 250 Кб трафика.
«Клиенты доверяют тем, кого не взламывали»
— Доверие клиентов — это тема, которую сегодня часто обсуждают. Как вы видите ее связь с безопасностью?
— Всё напрямую связано. Для любого бизнеса утечка данных — это удар по репутации и отношениям с клиентами. И хотя многие потребители по-прежнему ориентируются в первую очередь на цену или удобство сервиса, постепенно приходит понимание: защищённость данных — это часть качества услуги. Компании, которые открыто показывают, как они управляют уязвимостями и заботятся о безопасности, выигрывают в долгосрочной перспективе. Когда клиент видит не только обещания, но и реальные процессы — регулярные проверки, оперативное устранение рисков, прозрачную отчётность, — это формирует доверие гораздо сильнее, чем любая реклама.
«Один патч закрывает десятки тысяч дыр»
— А есть примеры, когда проактивное управление реально спасло компанию от инцидента?
— Конечно. Классический кейс — уязвимость в браузере Chrome. Он стоит на десятках тысяч компьютеров. Формально это десятки тысяч уязвимостей. Но достаточно одного патча, чтобы закрыть их все.
Это как поставить одну прочную дверь в подъезде вместо того, чтобы вешать замок на каждую квартиру по отдельности. Одно действие — и десятки тысяч потенциальных проблем сняты.
«Управление уязвимостями — это новый язык доверия»
— Получается, это уже не просто техника, а стратегия?
— Да. Управление уязвимостями становится стратегическим инструментом. Когда компания может показать аудиторам, акционерам и клиентам реальные процессы устранения рисков, это производит куда больший эффект, чем красивые слайды.
— Вопрос отчётности сегодня становится все более важным. Компании ждут инструментов, которые помогут не только находить уязвимости, но и удобно показывать регуляторам и аудиторам зрелость процессов. Мы тоже движемся в этом направлении: сейчас дорабатываем блок формирования отчетов по ключевым требованиям — таким как ФСТЭК, ГОСТ и 152-ФЗ. Планируем вывести его в продакшен в конце 2025 года. Это станет важным шагом: для бизнеса появится возможность подтверждать свой уровень безопасности не только словами, но и прозрачными документами.
«Безопасность — это не только про компанию, но и про каждого»
— Но ведь доверие зависит не только от компаний. Как пользователи сами относятся к безопасности?
— Культура безопасности у нас пока слабая. Большинство пользователей не задумываются, куда уходят их данные. Ставят галочки в пользовательских соглашениях, переходят по ссылкам, открывают вложения.
Я часто говорю: безопасность — это как ремень в машине. Компании обязаны ставить ремни и подушки безопасности, но и водитель сам должен пристегнуться. Только тогда система работает как надо.
Вместо заключения
История Сергея Крюкова — это путь от разработки страховых платформ и торговых сервисов до создания собственной национальной системы exploitDog. Но ключевым звеном в этом пути стала работа с информационной безопасностью: от внедрения требований ИБ в финансовом секторе до построения полноценной системы управления уязвимостями.
Сегодня exploitDog — это не только результат его личного опыта, но и работа сильной команды специалистов. В проект изначально приглашались эксперты именно в своей нише: специалисты по ИБ, архитекторы, инженеры автоматизации. Каждый пришёл с практическим опытом из банков, телеком- и ИТ-компаний, и именно эта экспертиза позволила выстроить продукт «с земли» под реальные потребности бизнеса.
ExploitDog — это не просто импортонезависимая альтернатива зарубежным системам. Это команда и технология, которые помогают компаниям превратить безопасность в конкурентное преимущество.
