Как сделать инфраструктуру полностью невидимой для хакеров?
Пока классические безопасники годами латают дыры по мере поступления CVE, продвинутые уже переводят сети на концепцию Dark IP. Её ядро — технология Single Packet Authorization (SPA).
В чём главная проблема сегодня?
Каждый открытый порт (будь то 443 или 22) — это приглашение на вход. Администраторы держат их открытыми 24/7, потому что иначе сотрудник или ИИ-агент не попадут в сеть. Сканер атакующего находит порт, сопоставляет с базой CVE, и привет. В 2026 году от публикации уязвимости до её эксплуатации проходят часы. Человек физически не успевает поставить патч.
Пытаться защищаться силами людей при их скорости реакции против автоматических атак — это гарантированный проигрыш.
Как SPA решает эту задачу?
Она закрывает снаружи вообще все порты. Сканер видит глухую стену, система кажется мёртвой. Доступ легитимного ИИ-агента или сервиса работает как секретный стук:
Один пакет: Клиент отправляет единственный зашифрованный UDP-пакет с криптографическим токеном и цифровой идентичностью (Non-human identity).
Анализ без соединения: Шлюз сбрасывает весь входящий спам, но этот пакет расшифровывает на лету — без открытия TCP-соединения. Шлюз не тратит ресурсы, поэтому SYN-flood атаки на него не действуют.
Исчезающий порт: Токен валиден — шлюз открывает порт на несколько миллисекунд строго для одного IP-адреса источника. Сессия поднялась, порт мгновенно закрылся. Для остального интернета системы не существовало.
Если порт физически закрыт и невидим, наличие уязвимости в софте временно перестаёт быть критическим риском.
В 2026 году это основа защиты критической инфраструктуры, банковских API-шлюзов и сред, где общаются автономные ИИ-агенты.
SPA — это эволюция port knocking: вместо «секретного стука» по нескольким портам используется один криптографически защищённый пакет. Он защищен от replay атак. Портнокинг подойдёт для некритичных сервисов. Если вам нужна защита SSH, RDP, панелей управления — SPA обязателен.
Разобрал эту механику, дал список open-source инструментов и коммерческих вендоров (включая ситуацию с облаками в РФ), с которых стоит начать тесты в лаборатории.
Подробнее в полной статье
Кто уже запускал OpenZiti или FWKNOP в реальных проектах? Напишите в комментариях, на каком этапе ИТ-директор пришёл вас "убивать" и что сломалось первым? 😎
Денис Батранков в LinkedIn, Youtube, RuTube и MAX
#сеть #кибербезопасность
