Введение

Широкое распространение информационных технологий привело к тому, что теперь почти у каждого человека есть доступ к неограниченному объему информации, которая может использоваться не только на пользу, но и во вред, например, побудить к противоправным действиям. Такое влияние могут оказывать не только достоверные, но и ложные сведения, например, дезинформация.

Актуальность проблемы подтверждается статистикой: 64% россиян сталкиваются с фейками еженедельно (данные 2024 г.). Также наблюдается рост числа ресурсов, использующих ИИ для генерации ложных новостей. Проблема дезинформации усугубляется развитием генеративных моделей. [6].

График 1. динамика числа новостных ресурсов, использующих ИИ для генерации контента

Цель настоящей работы – провести категоризацию дезинформации как начальный этап построения комплексной системы защиты, проанализировать существующий фреймворк DISARM и оценить его применимость на примере моделирования реального инцидента.

Задачи исследования:

1. Проанализировать жизненный цикл атак с использованием дезинформации
2. Выявить критерии для категоризации (адаптация опыта MITRE ATT&CK)
3. Провести анализ существующего фреймворка DISARM
4. Оценить полноту покрытия контрмерами различных этапов атак
5. Смоделировать эффективность применения категориального подхода

Теоретическая база – Жизненный цикл атаки

Как отмечается в пособиях по информационной безопасности, эффективная система защиты возможна только с использованием комплексного подхода. Под комплексным подходом понимается множество различных решений, каждое из которых специализируется на защите от конкретной категории угроз.

При рассмотрении жизненного цикла атаки с использованием дезинформации можно проследить зависимости между этапами жизненного цикла компьютерной атаки и атаки через ложную информацию. Сопоставление циклов представлено в таблице.

Таблица. Сопоставление циклов компьютерной атаки и атаки с использованием дезинформации

Ключевая гипотеза: Если структуры схожи, то методы категоризации из кибербезопасности (MITRE ATT&CK) применимы к дезинформации.

Критерии поиска решения

Для выбора фреймворка категоризации были определены следующие критерии:

Таблица 2. Критерии для выбора фреймворка категоризации

Результат отбора: Фреймворк DISARM соответствует всем критериям.

Структура DISARM

DISARM – это фреймворк, который распространяется в открытом доступе и предлагает базу знаний для определения и противодействия атакам с использованием дезинформации. По своей структуре он схож с матрицей MITRE, что упрощает работу для аналитиков безопасности. [3].

В DISARM определены четыре основных направления, которые характеризуют этапы жизненного цикла атаки:

1. Планирование
2. Подготовка
3. Исполнение
4. Оценка эффективности

Схема 1. Процесс анализа атаки с использованием фреймворка DISARM

Анализ покрытия контрмерами

Основной расчет: оценка достаточности средств защиты (контрмер) в DISARM.

Методика:

1. По каждому этапу жизненного цикла подсчитано общее число техник атак
2. Определено число техник, для которых есть контрмеры (способы защиты)
3. Рассчитан коэффициент защищенности: K = (число техник с контрмерами) / (общее число техник) × 100%

Таблица 3. Расчет коэффициента защищенности по этапамДиаграмма 1. Сравнение количества техник атак и доступных контрмер

Проблема: Только 5.4% всех техник атак имеют описанные способы защиты!

Анализ современных угроз

Отдельного внимания требуют современные технологии, которые приобретают все большую популярность:

• Генерация текста нейросетями
• Использование DeepFake
• Генерация речи
• Создание мемов как носителей дезинформации

График 2. Динамика интереса к нейронным сетям (по данным Яндекс)

Статистика применения нейросетей:

• Февраль 2024: 26% пользователей
• Июнь 2024: 33% пользователей

Проблема: В DISARM отсутствуют контрмеры для современных AI-технологий.

Сравнительный анализ MITRE vs DISARM

Таблица 4. Сравнение фреймворков MITRE ATT&CK и DISARM

Вывод: DISARM перспективен по структуре, но требует доработки в части защитных механизмов.

Имитационное моделирование – Кейс "Denver Guardian"

Для моделирования был выбран классический случай дезинформационной кампании "Denver Guardian" (2016 г.). Данный кейс выбран по следующим причинам: [2, 4, 5].

• Задокументирован в базе DISARM (код I00017)
• Полный жизненный цикл атаки
• Измеримые результаты

Хронология атаки (2016):

Таблица 5. Хронология атаки 2016г.

Характеристики атаки:

• Цель: Дискредитация кандидата
• Масштаб: Миллионы просмотров
• Результат: Топ-5 фейков выборов-2016

Декомпозиция атаки по DISARM

На основе официальной классификации DISARM Foundation проведена идентификация техник для каждого этапа жизненного цикла.

Таблица 6. Техники DISARM, идентифицированные в кейсе "Denver Guardian"

Всего идентифицировано: 15 техник

Анализ защитных мер и коэффициент защищенности

Анализ доступных контрмер на момент атаки (2016 г.) показал, что эффективные защитные механизмы практически отсутствовали.

Таблица 7. Оценка контрмер для выявленных техник

Итоговые показатели:

Таблица 8. Итоговые показатели

Вывод: Моделирование подтверждает данные статьи (5.4%) – контрмеры сильно отстают от техник атак.

Выводы по результатам моделирования

На основе анализа кейса "Denver Guardian" (2016) можно сформулировать следующие выводы:

1. Валидация фреймворка DISARM: Проведенное моделирование реального инцидента дезинформации (кейс I000017 в базе DISARM Foundation) позволило идентифицировать 12 техник атаки на всех этапах жизненного цикла. Это подтверждает применимость DISARM для декомпозиции информационных атак.
2. Критический дефицит контрмер: Из 15 выявленных техник только одна имела частичную защиту (борьба с черным SEO). Коэффициент защищенности по методологии авторов статьи составил 4.2%, что коррелирует с данными Лося и Шувалова (~5.4%). Атака осталась практически незащищенной на всех этапах.
3. Системные уязвимости в защите:
   • Планирование (0%): отсутствие мониторинга создания фейковых СМИ
   • Подготовка (0%): невозможность превентивного фактчекинга
   • Исполнение (частично): неэффективная модерация рекламы в соцсетях
   • Оценка (0%): отсутствие механизмов быстрого реагирования
4. Технологическое отставание подтверждено: Даже в более поздних версиях DISARM отсутствуют контрмеры против атак с использованием AI-генерации контента [3], хотя доля пользователей нейросетей выросла с 26% до 33% только за первое полугодие 2024 г.
5. Практические рекомендации:
   • Доработать раздел контрмер в DISARM на основе анализа реальных кейсов
   • Внедрить системы мониторинга регистрации подозрительных доменов
   • Разработать методы противодействия AI-генерируемому контенту
   • Интегрировать фреймворк с существующими решениями ИБ

Заключение

В результате проведенного исследования можно заключить, что фреймворк DISARM является рабочим инструментом для категоризации дезинформации и позволяет проводить декомпозицию реальных атак. Однако подтвержден тезис о недостаточности защитных механизмов – коэффициент защищенности составил 4.2%, что коррелирует с данными предшествующих исследований (~5.4%). Выявлены системные уязвимости: полное отсутствие контрмер на этапах планирования и подготовки, неэффективность модерации в социальных сетях, отсутствие защит против AI-генерируемого контента.

Дальнейшие исследования могут быть направлены на разработку математической модели оценки рисков дезинформационных атак и создание прототипа системы автоматического мониторинга на основе DISARM.