Ботнет в корпоративной сети: признаки заражения и план изоляции

Ботнет — это сеть заражённых устройств, которыми злоумышленник управляет удалённо. В такую сеть входят рабочие станции, серверы, маршрутизаторы и устройства интернета вещей. Владелец узла часто не замечает, что компьютер уже выполняет чужие команды.

Один подозрительный процесс ещё не доказывает заражение. Признаки нужно проверять вместе. Важны сетевые соединения, DNS-запросы, журналы, состояние защиты и изменения в системе.

🔍 Что такое ботнет и чем он опасен для компании

Заражённое устройство называют ботом. Оно получает команды от оператора ботнета и выполняет их без ведома владельца. Командная инфраструктура называется C2 (Command and Control). Через неё злоумышленник передаёт команды и получает ответы.

Ботнет участвует в распределённых атаках на сайты и сервисы. Он также рассылает спам и фишинговые письма. В некоторых случаях ботнет собирает логины, пароли, документы и снимки экрана. Злоумышленник может использовать вычислительные ресурсы для скрытого майнинга.

Опасность для компании связана не только с одним заражённым компьютером. Бот может стать точкой дальнейшего проникновения. Он также создаёт нагрузку на сеть и помогает злоумышленнику скрывать свои действия среди обычного трафика.

Что сделать сейчас: определите ответственного за инцидент и запишите, какие системы считаются критичными. Не называйте узел заражённым, пока не соберёте несколько независимых признаков.

⚠️ Какие признаки видны на рабочей станции

Первый сигнал — неизвестный процесс или служба. Она может запускаться после перезагрузки и работать без понятной причины. Другой признак — самопроизвольные задания планировщика или новые элементы автозапуска.

Заражённая система иногда показывает необычную нагрузку на процессор и диск. Компьютер становится медленнее. Вентилятор работает постоянно. Система может обращаться к сети даже тогда, когда пользователь ничего не запускает.

Подозрение усиливают отключение антивируса, EDR или встроенных средств защиты. Важны также изменения настроек DNS и прокси. Такие изменения могут направлять запросы и соединения через чужую инфраструктуру.

Каждый признак имеет законные объяснения. Высокая нагрузка бывает связана с обновлением или резервным копированием. Неизвестная служба может относиться к корпоративному приложению. Поэтому проверяйте владельца процесса, время появления и связь с сетевой активностью.

Что сделать сейчас: запишите имя устройства, пользователя, время обнаружения и видимые симптомы. Не удаляйте процесс и не очищайте планировщик до сохранения журналов.

📡 Как сеть и DNS показывают активность бота

DNS помогает устройству найти сервер по доменному имени. В корпоративной сети этот протокол часто разрешён. Поэтому злоумышленник может использовать DNS для поиска C2 или передачи коротких управляющих сообщений.

DNS-запрос показывает намерение устройства обратиться к внешней инфраструктуре. Он может появиться ещё до полноценного соединения. Подозрение вызывают частые запросы к неизвестным доменам, быстро меняющиеся адреса и необычный набор имён.

Ботнет может использовать DNS для смены адресов управляющих серверов. Один заблокированный IP-адрес не всегда прекращает связь. Злоумышленник меняет инфраструктуру, а заражённое устройство продолжает искать новый адрес.

Важен не сам факт запроса к внешнему домену. Компании постоянно обращаются к облачным сервисам, системам обновлений и API. Сравнивайте запросы с обычным поведением этого устройства и его роли.

Что сделать сейчас: сохраните DNS-журналы за период до первого сигнала. Отметьте домены, IP-адреса, время запросов и имя устройства, которое их выполняет.

🧭 Почему один алерт не подтверждает заражение

Система мониторинга может сработать из-за обычного обновления. Рабочая станция может обращаться к новому облачному сервису. Один неизвестный домен также не доказывает присутствие бота.

Подтверждение строится на совокупности данных. Сопоставьте сетевой трафик, DNS, процессы, службы, задания планировщика и журналы защиты. Проверьте, повторяется ли событие после перезагрузки и происходит ли оно на других узлах.

Полезно отделять факт события от версии о причине. Фактами служат время запроса, адрес, имя процесса и запись журнала. Версия звучит иначе: например, процесс может поддерживать связь с C2. Такая версия требует проверки.

Не меняйте сразу много параметров. Массовое удаление файлов и очистка журналов мешают расследованию. Сначала сохраните исходное состояние, затем выполняйте действия по плану.

Что сделать сейчас: составьте короткую таблицу «время — узел — процесс — соединение — журнал». Заполняйте её до каждого изменения в системе.

🧰 Первые действия после обнаружения

Начните с фиксации времени. Запишите, кто обнаружил проблему и какие действия уже выполнены. Отдельно отметьте, есть ли признаки кражи данных, рассылки или необычного исходящего трафика.

Сохраните журналы конечной точки, DNS, прокси, межсетевого экрана, DHCP и VPN. Добавьте данные системы управления устройствами и централизованного мониторинга. Эти источники помогают связать имя устройства, адрес, пользователя и период активности.

Уведомите ответственных лиц по внутреннему порядку. В список обычно входят специалисты по информационной безопасности, администратор сети и владелец затронутой системы. Для критичной системы добавьте её технологического владельца.

Не отправляйте подозрительные файлы коллегам через обычную почту. Не запускайте их для проверки. Не подключайте внешний накопитель к заражённому узлу без согласованного процесса.

Что сделать сейчас: создайте карточку инцидента и внесите туда время, симптомы, узлы, пользователей и сохранённые журналы. Назначьте одного координатора решений.

🛡️ Как изолировать рабочую станцию

Для рабочей станции предпочтительна изоляция через систему управления сетью или средствами конечной защиты. Такой способ ограничивает соединения и сохраняет доступ специалистов для сбора данных. Если это невозможно, узел переводят в карантинный сегмент по внутренней процедуре.

Изоляция должна прекращать подозрительные внешние коммуникации. При этом не стоит сразу отключать питание. Резкое выключение может удалить данные из памяти и оборвать важные журналы.

После изоляции проверьте активные учётные записи и токены. Скомпрометированный компьютер мог использовать сохранённые доступы. Пароли меняют с чистого доверенного устройства, а активные токены отзывают по правилам компании.

Затем найдите другие системы с похожими признаками. Сравните DNS-запросы, сетевые адреса, имена процессов и время активности. Один домен или IP-адрес может встречаться на нескольких узлах.

Что сделать сейчас: определите для рабочей станции способ карантина и проверьте, что он не нарушает сбор журналов. После изоляции запретите пользователю повторно подключать узел к общей сети.

🏢 Чем отличается изоляция сервера и контроллера домена

Сервер нельзя отключать так же, как обычную рабочую станцию. Он может обслуживать приложения, базы данных и другие системы. Сначала оцените зависимые сервисы и влияние изоляции на бизнес-процессы.

Сервер переводят в ограниченный сегмент или блокируют его подозрительные коммуникации на межсетевом экране. Правило должно быть точным. Массовая блокировка может остановить законный обмен между системами.

Контроллер домена требует особой осторожности. Его отключение затрагивает вход пользователей и работу сетевых сервисов. Перед действием проверьте наличие резервного контроллера и согласуйте время операции.

После изоляции сервера соберите журналы входов, процессов, служб, DNS и сетевых соединений. Отдельно проверьте новые учётные записи, изменения групп и необычные обращения к общим ресурсам.

Что сделать сейчас: составьте карту зависимостей серверов и укажите, какие узлы нельзя отключать без согласования. Для контроллера домена подготовьте отдельную процедуру изоляции.

🔒 Как работать с сетевым оборудованием и критичными системами

Маршрутизатор, межсетевой экран и коммутатор влияют на весь сегмент. Их отключение может скрыть источник событий и нарушить связь. Сначала сохраните конфигурацию, журналы и данные мониторинга.

Проверьте изменения административных учётных записей и настроек DNS. Важны новые правила, неизвестные пользователи и неожиданные подключения. Сравните текущую конфигурацию с утверждённым эталоном.

Критичную систему изолируют только по заранее согласованному плану. Это особенно важно для систем, от которых зависят производство, безопасность людей или непрерывность услуг. Приоритетом становится контролируемое ограничение связи, а не мгновенное выключение.

Если подозрительный узел связан с несколькими сегментами, временно ограничьте маршруты между ними. При этом сохраните доступ к журналированию и управлению. Каждое правило блокировки фиксируйте с временем, причиной и ответственным.

Что сделать сейчас: сохраните конфигурации сетевых устройств и список текущих правил. Подготовьте шаблон временной блокировки с обязательным сроком пересмотра.

🧪 Как очистить систему и вернуть её в сеть

После изоляции определите способ восстановления. Простое удаление одного файла не доказывает, что система чиста. Бот мог изменить службы, задания, настройки сети и доступы.

Для важной системы заранее оцените вариант переустановки из доверенного источника. Перед очисткой сохраните нужные артефакты и проверьте резервные копии. Резервная копия должна быть доступна, но не должна содержать непроверенные изменения.

После восстановления установите актуальные обновления и включите защитные средства. Верните только необходимые данные. Не переносите неизвестные исполняемые файлы и старые задания автозапуска.

Перед возвращением в сеть проверьте процессы, службы, планировщик, DNS и прокси. Убедитесь, что устройство не обращается к подозрительным адресам. Проверьте активные учётные записи, пароли и токены.

Возвращайте узел поэтапно. Сначала подключите его к ограниченному сегменту. Затем наблюдайте за сетевой активностью и журналами. При повторении признаков снова изолируйте систему.

Что сделать сейчас: опишите критерии «чистой» системы до восстановления. Запретите возврат в рабочую сеть без проверки журналов, защиты и учётных данных.

📋 Как закрепить защиту после инцидента

После инцидента сравните поведение заражённого узла с обычной сетевой нормой. Для этого полезны журналы DNS, прокси, межсетевого экрана и централизованного мониторинга. Наблюдение помогает увидеть связанные системы, которые не сформировали отдельный алерт.

Контролируйте исходящие DNS-запросы и ограничивайте прямой доступ к внешним DNS-серверам. Подозрительные домены проверяйте в контексте устройства и процесса. Блокировка одного адреса не заменяет анализ поведения.

Разделяйте сеть на сегменты и ограничивайте маршруты между ними. Для рабочих станций, серверов и критичных систем нужны разные правила. Чем меньше лишних связей, тем легче локализовать бота.

Обучайте сотрудников распознавать фишинг и подозрительные сообщения. Первоначальное заражение часто связано с уязвимостями, фишингом или скомпрометированными сайтами. При этом обучение не заменяет обновления, резервное копирование и мониторинг.

Практику изоляции можно отрабатывать на отдельном стенде. Для изучения сетевого поведения используют виртуальные машины, эмулятор топологии и анализатор трафика. Такой стенд позволяет увидеть нормальную работу протоколов без риска для рабочей сети.

Что сделать сейчас: проведите короткую тренировку по изоляции одного тестового узла. После неё обновите контактный список, порядок уведомлений и шаблон карточки инцидента.

📚 Читайте также

• Как провайдеры обрубают инфраструктуру трояна: меры защиты
• Подозрительный исходящий трафик: первичная проверка за десять минут
• Защита АСУ ТП: как доказать соответствие требованиям безопасности
• Подмена интернет-банка: как распознать домен-двойник и атаку
• Квантовая угроза архивам: защита данных от атаки «сейчас собирай»

📖 Термины

DNS · Ботнет · Индикаторы компрометации (IoC) · Инцидент-реагирование · Сетевой трафик

🔗 Источники

• Ботнеты через DNS: как выявлять C2 и туннели(2026-11-01 ✓)
• Первая домашняя лаборатория: что собрать на своём компьютере, чтобы понять корпоративную сеть(2026-11-01 ✓)
• Что такое ботнеты и в чем их опасность(2026-11-01 ✓)