Гостев из будущего

ИИ-сторож для шлюзов Всегда с интересом смотрю за тем, что делают бывшие коллеги. В свежем выпуске подкаста Three Buddy Problem разговор зашёл о новой цепочке зеродей в Ivanti Connect Secure и Костин Раю рассказал, чем сейчас занимается. Исходная мысль пришла из инцидент-респонса: почти каждого взломанного клиента спасли бы две вещи — нормальный присмотр за пограничными шлюзами и мониторинг утёкших учёток. Шлюзы его интересуют больше. Проблема знакома всем, кто работал с Fortinet, Ivanti или Cisco. Формально за шлюз отвечает админ или подрядчик, но что значит «отвечает»? Патчи у Fortinet только по подписке FortiCare. Приходит письмо про прошивку для такой-то серии, а админ не помнит, что у него стоит — 200E, 200F или 200D, и есть ли исправление для его ветки ОС. Простого механизма отслеживать это нет, а заглянуть внутрь самих устройств почти невозможно. Костин противопоставляет два подхода. Первый — «SOC образца 2003 года», который пассивно собирает телеметрию со всей сети. Второй — ИИ-агент, который каждые пять минут сам заходит на всю инфраструктуру в режиме только чтения. Ищет новые прошивки, критические события с памятью, неожиданные падения, признаки эксплуатации. Агент должен знать свежие угрозы: вышел отчёт Volexity — он сразу проверяет эти индикаторы по всем устройствам. Клиенту он выдаёт только действия: есть обновление для конкретного устройства — сообщить, нет — молчать, что-то серьёзное — пуш на телефон. Реагировать, по словам Костина, сейчас нужно за пять минут. Всё работает на локальных моделях, вроде Qwen 27B, и, по его словам, работает отлично. Пример находки: ночью группа устройств Fortinet ушла в режим нехватки памяти, пытаясь загрузить слишком много индикаторов. В обычном потоке такой алерт тонет среди сотен других. Агент отсеивает шум и показывает, что нового сегодня по сравнению со вчера. Второй плюс — логи. По умолчанию FortiCare хранит их в облаке семь дней и при расследовании это очень мало. При активном мониторинге их можно держать годами на максимальной детализации и прогонять по архиву новые индикаторы задним числом. Для понимания масштаба экономиии - сама подписка FortiCare, по оценке Костина, стоит от $1500 до $4–5 тысяч в год за устройство. Первый клиент уже подписался, ищут пилоты, особенно на Cisco и Ivanti. Следующий шаг — агент, который сам чинит, — Костина пока пугает. По сути, это новый игрок между вендором и клиентом, который делает то, что вендоры делать не хотят. Сам Костин видит будущее так: надёжное железо от вендоров, открытый софт, который патчится за минуты, и интерфейс, через который ИИ управляет инфраструктурой с уровнями доступа — по умолчанию только чтение. Не исключено, говорит он, что вендоры только обрадуются, если кто-то снимет с них софт и они станут чисто железными компаниями. @gostev_future