11 признаков, что вашу сеть уже взломали, и что делать, если вы их заметили
Взлом и шифровальщики · 20.06.2026 · обновлено 14.10.2026 · 12 мин чтения · Команда НПП РЕКОРД
«У нас ничего не происходило» часто значит «мы не заметили». Взлом редко выглядит как в кино: это мелкие странности, на которые никто не смотрит, — ночные входы, новые учётные записи, отключённый антивирус, рост исходящего трафика. Разбираем 11 признаков, что злоумышленник уже внутри, какие события Windows проверить и что делать при подозрении, чтобы не спугнуть атакующего и не затереть следы.
Коротко. Взлом почти никогда не заметен сразу: в среднем от проникновения до обнаружения и сдерживания проходит 241 день (IBM, 2025). Признаки, что злоумышленник уже внутри: входы ночью и из необычных мест, новые учётные записи и администраторы, отключённый антивирус, очищенные журналы, незнакомые программы удалённого доступа, массовая архивация и рост исходящего трафика, удалённые резервные копии. При подозрении не выключайте компьютеры и не «чистите» систему — изолируйте подозрительные машины и зовите специалистов.
«У нас ничего не происходило» часто значит «мы не заметили». Современная атака редко начинается с громкого шифрования: сначала злоумышленник тихо входит, осматривается, ищет права администратора и данные. По данным IBM за 2025 год, в среднем проходит 241 день от проникновения до полного обнаружения и сдерживания. И почти всегда следы были видны раньше — просто на них никто не смотрел.
- 241 день — в среднем до обнаружения и сдерживания взлома
- 10 дней — если взлом обнаружила сама компания (медиана)
- 26 дней — если о взломе сообщила внешняя сторона (медиана)
Источник: IBM Cost of a Data Breach 2025; Mandiant M-Trends 2025
Взлом выглядит не как в кино, а как набор мелких странностей
11 признаков, что злоумышленник уже внутри
| № | Признак | Где увидеть |
|---|---|---|
| 1 | Входы ночью, в выходные или из других стран | Журналы VPN, почты, контроллера домена |
| 2 | Много неудачных попыток входа подряд | Журнал безопасности Windows, событие 4625 |
| 3 | Новые учётные записи, особенно с правами администратора | События 4720 (создание учётной записи) и 4732 (добавление в группу) |
| 4 | Отключённый или «сломавшийся» антивирус | Консоль антивируса, жалобы пользователей |
| 5 | Очищенные журналы событий | Событие 1102 — журнал аудита очищен |
| 6 | Незнакомые программы удалённого доступа | Список установленных программ, новые службы (событие 7045) |
| 7 | Новые запланированные задания и службы | Планировщик заданий, журнал системы |
| 8 | Массовая архивация файлов на серверах | Появление больших архивов, нагрузка на диски |
| 9 | Рост исходящего трафика, особенно ночью | Межсетевой экран, статистика провайдера |
| 10 | Удалённые теневые копии и резервные копии | Система резервного копирования, журналы хранилища |
| 11 | Письма от вашего имени, которые никто не отправлял | Жалобы клиентов и партнёров, журналы почтового сервера |
По отдельности многие признаки объяснимы: сотрудник работал ночью, админ поставил программу. Тревожный сигнал — сочетание: ночной вход администратора, отключение антивируса и удаление резервных копий в одну ночь — это не совпадение, а подготовка к шифрованию.
Важно. Особенно опасны признаки 4, 5 и 10. Отключение антивируса, очистка журналов и удаление резервных копий — типичные последние шаги перед запуском шифровальщика. Если вы видите их, действовать нужно в течение часов, а не дней.
Чем пользуются злоумышленники внутри сети
Атакующие давно не приносят в сеть «вирусы» в привычном смысле. Они используют легальные инструменты, которые не вызывают подозрений у антивируса: программы удалённого доступа, утилиты администрирования, архиваторы и программы для копирования файлов в облако. Поэтому важно смотреть не только на срабатывания антивируса, но и на поведение: кто, когда и что запускал.
Что сделать прямо сейчас, если есть подозрения
- Не выключайте и не перезагружайте подозрительные компьютеры и серверы: в памяти остаются следы атаки.
- Изолируйте подозрительные машины от сети — отключите кабель или Wi-Fi.
- Не меняйте пароли администраторов с подозрительных машин и не входите на них под администратором домена.
- Сохраните найденное: снимки экранов, время, события журналов.
- Проверьте резервные копии с отдельного чистого компьютера, не подключая хранилище к подозрительной сети.
- Обратитесь к специалистам по реагированию на инциденты: они найдут точку входа и масштаб, не спугнув злоумышленника раньше времени.
Совет. Не пытайтесь «вычистить» систему антивирусом или переустановкой до расследования. Если не найти, как вошёл злоумышленник и какие закрепления оставил, он вернётся тем же путём — часто уже с шифровальщиком.
Как замечать взлом раньше
- Централизованный сбор журналов: события контроллера домена, серверов, VPN, межсетевого экрана и почты в одном месте.
- Аудит нужных событий в Windows: входы, создание учётных записей, изменение групп, очистка журналов, установка служб.
- Оповещения о сочетаниях признаков: ночной вход администратора, отключение защиты, массовые изменения файлов.
- Защита рабочих станций с анализом поведения (EDR), а не только антивирус по сигнатурам.
- Круглосуточный мониторинг: атаки чаще всего развиваются ночью и в выходные, когда никто не смотрит.
| Кто обнаружил | Медианное время |
|---|---|
| Злоумышленник раскрыл себя сам (например, запиской о выкупе) | 5 дней |
| Сама компания | 10 дней |
| Внешняя сторона: клиент, партнёр, регулятор | 26 дней |
Источник: Mandiant M-Trends 2025
Взлом редко бывает внезапным — он бывает незамеченным. Кто-то должен смотреть на ночные входы, новые учётные записи и удалённые копии, иначе первым признаком атаки станет записка о выкупе.
Частые вопросы
Как понять, что сеть компании взломали?
По сочетанию признаков: входы ночью и из необычных мест, много неудачных попыток входа, новые учётные записи администраторов, отключённый антивирус, очищенные журналы, незнакомые программы удалённого доступа, массовая архивация, рост исходящего трафика и удалённые резервные копии.
Какие события Windows говорят о взломе?
Стоит смотреть на события 4625 (неудачный вход), 4624 (успешный вход, особенно ночью), 4720 (создание учётной записи), 4732 (добавление в группу), 7045 (установка службы) и 1102 (очистка журнала аудита).
Сколько времени взлом остаётся незамеченным?
По данным IBM за 2025 год, в среднем 241 день от проникновения до полного обнаружения и сдерживания. Компании, которые обнаруживают взлом сами, находят его заметно быстрее тех, кому сообщает внешняя сторона.
Что делать, если подозреваете взлом?
Не выключать и не перезагружать подозрительные машины, изолировать их от сети, не входить на них под администратором домена, сохранить найденные следы, проверить резервные копии с чистого компьютера и обратиться к специалистам по реагированию на инциденты.
Можно ли самому вычистить систему после взлома?
Не стоит делать это до расследования. Если не найти точку входа и закрепления злоумышленника, он вернётся тем же путём. Чистка антивирусом и переустановка затирают следы, по которым ищут причину.
Как замечать взлом раньше?
Собирать журналы в одном месте, включить аудит ключевых событий Windows, настроить оповещения о подозрительных сочетаниях, использовать защиту рабочих станций с анализом поведения и обеспечить круглосуточный мониторинг — своими силами или как услугу SOC.
Теги: взлом, признаки взлома, мониторинг, журналы Windows, инцидент, SOC