Praetorian: как мы сделали security-продукт для корпоративных чатов в Telegram и Max

Значимый прорыв формирует отрасль ИИ: mvideo 4 минуты назад Praetorian: как мы сделали security-продукт для корпоративных чатов в Telegram и Max Простой 7 мин 74 Блог компании М. Видео-Эльдорадо Информационная безопасность * Читальный зал Привет, Хабр! Рабочие обсуждения давно ушли из почты и таск-трекеров в мессенджеры.

Там собирают проектные группы и каналы, координируют инциденты, кидают ссылки на внутренние системы, за минуту стягивают нужных людей в один чат. У нас это в первую очередь корпоративные группы и каналы в Telegram и Max. Это удобно, но с точки зрения безопасности — новая поверхность риска.

Технические детали

Как только группа или канал становится частью бизнес-процесса, он тянет за собой и все риски этого процесса: фишинг, социальную инженерию, вредоносные ссылки, угон аккаунтов, утечки, заброшенные чаты, участников, которых давно пора убрать, и переписку, которую никто не чистит годами. Запретить мессенджеры целиком — плохая идея. Удобный инструмент всё равно останется в ходу, просто уползёт в тень: люди заведут неформальные группы, перейдут в личку, начнут пересылать рабочее через менее контролируемые каналы.

Поэтому мы пошли другим путём — не запрещать коммуникации, а сделать риски внутри них управляемыми. Так появился Praetorian — внутренний security-продукт для защиты корпоративных групп и каналов в Telegram и Max. Это не разовая доработка бота, а совместная работа ИБ и ИТ: безопасность разобрала, что и как могут атаковать и как на это отвечать, а ИТ придумала архитектуру, собрала логику бота и заложила задел на будущее.

Дальше расскажем, почему рабочие чаты попали в поле зрения ИБ, какие сценарии мы закрывали, как всё устроено и почему в таких продуктах детекты — половина дела, а вторая половина это приватность, роли и доверие людей. Почему рабочие чаты стали поверхностью атакиДля многих команд группа в мессенджере стала полноценным рабочим пространством. В ней обсуждают операционные задачи, ИТ- и ИБ-инциденты, вопросы поддержки, согласования, переписку с магазинами, складами и подрядчиками, кидают ссылки на внутренние системы, документы, вложения — всё, что требует реакции здесь и сейчас.

Отраслевые последствия

Для атакующего доверенная корпоративная группа — лакомая среда. Сообщение от знакомого коллеги внутри рабочего чата читают совсем не так, как письмо от незнакомца. Угнали аккаунт сотрудника — и злоумышленник уже играет на доверии: скинет фишинговую ссылку «от коллеги», попросит перейти на «внутренний ресурс», подсунет вредоносный файл, попросит подтвердить операцию или переслать код, соберёт учётки через поддельную форму, а то и просто вычитает из истории что-нибудь чувствительное.

Самое неприятное — классические средства защиты такие сценарии часто не видят. Почта закрыта, endpoint под контролем, web-трафик фильтруется, а корпоративные группы и каналы живут отдельным контуром: быстрым, удобным и почти неуправляемым. Когда мы стали смотреть на эти чаты как на часть инфраструктуры, рисков набралось заметно больше, чем «кто-то кинул подозрительную ссылку».

Их удобно свести к нескольким сценариям.

Этот прогресс даёт важные сигналы о будущем отрасли, и технологический мир внимательно наблюдает.