Закрытая встреча Руцентра в эпоху открытых угроз: о чем болит голова у большого ИТ
Открывая вечер, генеральный директор группы «Рунити» Андрей Кузьмичев сформулировал критерий «серьезности» компании, который сегодня куда точнее любых финансовых отчетов. Масштаб предприятия отныне измеряется ответом на простой вопрос: насколько громким будет грохот, если в одно прекрасное утро ваши онлайн-сервисы перестанут открываться? Недавние громкие инциденты с атаками на инфраструктуру крупных хостинг-провайдеров наглядно продемонстрировали, что даже небольшой локальный проект моментально осознает себя очень серьезным предприятием, когда падает его цифровой фундамент. В случае же с корпоративными гигантами цена простоя исчисляется миллионами в минуту, поэтому вопросы к поставщикам базовых сервисов в 2026 году звучат предельно жестко. Бизнес интересует геораспределенная отказоустойчивость, круглосуточный мониторинг киберугроз, предсказуемость на фоне меняющегося законодательства и реальная финансовая ответственность провайдера, подкрепленная полумиллиардной страховкой.
Именно регуляторный ветер стал первой большой темой, заставившей зал отложить смартфоны. PR-директор группы «Рунити» Софья Ваняткина разобрала главную законодательную новеллу года — обязательную идентификацию администраторов доменов в национальных зонах .RU, .РФ и .SU через «Госуслуги» (ЕСИА). Закон, ставший обязательным с первого сентября, к восемнадцатому января перевернет календарь окончательно: без подтвержденной записи в ЕСИА с доменом нельзя будет провести ни одной ключевой операции, включая банальное продление. Причем в новых правилах процедура становится ежегодной. Привычная схема, когда компания закидывала деньги на баланс личного кабинета и годами жила на автопилоте, официально уходит в архив.
Интриги добавляет грядущее формирование государственного реестра регистраторов по аналогии с уже существующим реестром хостинг-провайдеров. Сегодня в стране насчитывается около ста восьмидесяти регистраторов, но совсем скоро оказывать услуги смогут лишь компании из утвержденного правительством перечня. Даже у самых дисциплинированных корпораций, чей основной портфель давно консолидирован и на девяносто восемь процентов идентифицирован, в недрах холдинговых структур, на балансе региональных «дочек» или старых подрядчиков обязательно находятся полузабытые домены. Забавный казус случился прямо во время выступления: когда зал попросили проголосовать по QR-коду о статусе прохождения идентификации, система опроса на пару минут задумалась, вызвав дружный смех — мол, отсутствие результата тоже отличный диагноз для рынка. Когда дашборд ожил, выяснилось, что даже среди элиты российского бизнеса остались те самые два процента сложных кейсов, связанных с юридическими спорами или разветвленными активами. Для зарубежных структур и сложных реорганизаций провайдерам даже пришлось изобретать специальные механизмы вроде трасти-сервисов и транзитного администрирования, дающих бизнесу легальный год передышки на наведение юридического порядка.
Если с отечественной регуляторикой можно выстроить системную работу, то внешнее санкционное давление в этом году устроило российскому ИТ настоящую проверку на прочность. Руководитель отдела доменов Руцентра Георгий Казаров вместе с экспертами Технического центра Интернет (ТЦИ) привел отрезвляющую статистику: с июля зарубежные удостоверяющие центры отозвали почти одиннадцать тысяч SSL/TLS-сертификатов у полутора тысяч российских организаций. В пиковые дни июля греческий центр HARICA и японский GlobalSign аннулировали сертификаты тысячами за секунду. Самое пикантное заключается в том, что отсутствие компании в санкционных списках ЕС или США ни от чего не спасает. Механизм отзыва запускается в том числе по жалобам «доброжелателей», а зарубежный комплаенс предпочитает сначала рубить сплеча, и лишь потом разбираться.
В попытках обойти блокировки отечественные компании порой проявляют чудеса опасной изобретательности. Кто-то мигрировал из одного зарубежного центра в другой, где санкционная волна догоняла их через пару недель, а в финансовом секторе зарубежные сертификаты сегодня и вовсе живут от нескольких часов до трех дней. Кто-то пытался оформлять домены на сотрудников-физлиц, забывая, что удостоверяющие центры давно проверяют фактический контент сайта. Другие плодили зеркала со схожим написанием, чем моментально пользовались фишеры, атакуя запутавшихся клиентов. Но самый неожиданный подарок хакерам преподнесла публичность списков отзыва. Достаточно открыть такой реестр и просто почитать его глазами, чтобы увидеть внутреннюю кухню крупных корпораций: там открытым текстом светятся адреса критических систем, корпоративных 1С, облаков, кластеров Kubernetes и VPN-шлюзов. Использование удобных wildcard-сертификатов, закрывающих сразу все поддомены, в таких условиях превращается в мину замедленного действия, когда отзыв одной бумаги кладет всю внутреннюю инфраструктуру разом. Выход у рынка остается один: проводить тотальный аудит, прятать названия критических узлов, готовиться к мировому тренду сокращения срока жизни сертификатов со ста девяноста девяти до сорока пяти дней к 2029 году и держать наготове отечественные сертификаты ТЦИ.
Не менее драматичная картина складывается там, куда безопасники обычно заглядывают в последнюю очередь — в старом добром протоколе DNS. Заместитель генерального директора по технологиям Антон Ивахненко напомнил старую админскую мудрость о трех всадниках инфраструктурного апокалипсиса: BGP, DHCP и DNS. С появлением генеративного искусственного интеллекта скорость поиска уязвимостей и написания эксплойтов выросла кратно: если в 2021 году в мире фиксировалось около трехсот девяноста новых CVE в неделю, то к 2026 году эта цифра перевалила за полторы тысячи. При этом свыше половины российских компаний за год сталкивались с доменными инцидентами, и лишь треть имеет формализованные правила управления ими.
Парадокс DNS в том, что внутри корпорации он нужен всем — от маркетологов, впопыхах запускающих очередной лендинг, до девопсов и безопасников. В итоге у семи нянек критический контур остается без присмотра. Свежий пример с Хабра, где энтузиаст просканировал три сотни доменов российских компаний и в шестидесяти случаях нашел криво настроенные почтовые записи DKIM и DMARC (привет легальному фишингу от имени бренда) и забытые указатели на облачные ресурсы, говорит сам за себя. Чтобы закрыть эту слепую зону между WAF и анти-DDoS, в первом квартале будущего года на рынок выйдет система раннего обнаружения угроз DNS Guard. Идея в том, чтобы избавить администраторов от чтения гигабайтов сырых логов, а вместо этого анализировать аномалии на масштабе всей сети провайдера и выдавать чистые сигналы трех уровней: от профилактики конфигураций до перехвата подозрительных переборов и попыток подмены MX-записей в реальном времени.
Естественным продолжением разговора о контроле стал запуск собственной облачной платформы Руцентра, о которой рассказал руководитель департамента инфраструктурных сервисов Валентин Бостанов. Рынок уже наелся простого железа в аренду, сегодня корпорациям нужна среда, где аттестация по 152-ФЗ вплоть до первого уровня защищенности (УЗ-1), защита от атак, готовые отказоустойчивые кластеры Kubernetes на три мастер-ноды, управляемые базы данных, безлимитное по запросам S3-хранилище и серверы с GPU под задачи ИИ встроены в базовый слой. Но лично меня больше всего порадовала деталь, выдающая глубокое знание корпоративной психологии: баланс облака решили жестко отделить от баланса доменов и DNS. Теперь увлеченный разработчик, тестирующий нейросеть на почасовой оплате, при всем желании не сможет случайно сжечь бюджет, отложенный на продление главного домена корпорации.
Впрочем, какими бы умными ни были облака и радары, человеческий фактор остается главным узким местом. Директор департамента по работе с клиентами Екатерина Вайнберг метко заметила, что клиенты часто используют возможности безопасности от силы на десять процентов, а разграничение прав доступа внутри личных кабинетов через систему «Мультидоступ» с обязательной двухфакторной аутентификацией и полным логированием действий до сих пор для многих становится откровением.
А на десерт руководитель направления доменных брокеров Алексей Спирин сравнил корпоративные доменные портфели с домашней коробкой со старыми проводами, которая годами пылится в шкафу у каждого айтишника: никто уже не помнит, от какого устройства эти кабели, но выбросить жалко. Рядом с этим хламом разворачиваются настоящие драмы, когда маркетологи с помпой запускают федеральную рекламную кампанию нового бренда, совершенно забыв предупредить об этом нынешнего владельца нужного домена. В результате брокеру приходится выкупать актив на вторичном рынке за десятки миллионов рублей (рекорд последних двух лет составил сорок два миллиона), а сама сделка из-за согласований трехсторонних договоров, особенностей НДС и летних отпусков юристов растягивается на шесть недель, а то и на год. Когда в зале устроили голосование, хотят ли компании регулярно получать подборки освобождающихся премиальных доменов от инвесторов, голоса скептиков-айтишников и азартных маркетологов разделились ровно пятьдесят на пятьдесят, превратив экран в шкалу здоровья из компьютерной игры.
