A védelmi kiberbiztonság 2026-ban: szigorú határok, ellenőrizetlen tartalom

A repülőgépipari és védelmi szervezetek több mint 80%-a szenvedett el adatbiztonsági incidenst az elmúlt tizenkét hónapban.^[3] Az ágazatban hetente körülbelül 1250 kiberbiztonsági incidens történik,^[4] a támadások száma 2018 óta 300%-kal nőtt, és a szervezetek 61%-át érintette ransomware-támadás az elmúlt évben.^[5] Az átlagos adatvédelmi incidens 5,46 millió dollárba kerül, és ez még nem tartalmazza a titkos programok megszakítását, az ellen hírszerzési kockázatot, illetve a beszállítói biztonsági incidens után felmerülő szerződéses kockázatot.^[6]

Threat Intelligence Google Threat Intelligence 2026 februárjában megerősítette, hogy az elmúlt két évben a Kínához kapcsolódó kémcsoportok – bármely más állami szereplőnél gyakrabban – a védelmi és űripart vették célba,^[7] és peremhálózati eszközöket, VPN-készülékeket, valamint fájlátviteli csatornákat használtak fel hosszú távú hozzáférés kialakítására. Oroszország, Irán és Észak-Korea ugyanazon az ipari bázison működik. A hacktivista DDoS-kampányok az ágazat incidenseinek több mint 76%-át generálják (ez kétszerese az ágazatok közötti átlagnak^[8]), de a mennyiség nem az a mérőszám, ami számít. A stratégiai fenyegetés precíz és türelmes. Nem kopogtat. Olyan tartalmakon keresztül hatol be, amelyek már eleve megbízhatónak minősülnek.

A LOTL (Living Off the Land) technikák, amelyek a hálózaton már meglévő, legitim rendszereszközöket használnak, lehetővé teszik a támadók számára, hogy észlelés nélkül működjenek. Mire a viselkedéselemzés bekapcsol, egy kifinomult támadó gyakran már elég régóta jelen van ahhoz, hogy feltérképezze a környezetet, azonosítsa a kiemelt célpontokat, és előkészítse az adatlopást. Az észlelés szükséges, de nem elégséges. A kulcs a behatolási ponton van, nem a hálózat belsejében.

A Zero Trust jó okkal vált a védelmi és kormányzati hálózatok meghatározó biztonsági modelljévé. A folyamatos hitelesítés, a legkisebb jogosultság elve, az eszközök biztonsági állapotának érvényesítése, a mikroszegmentálás – ezek az ellenőrző mechanizmusok elengedhetetlenek, és minden védelmi architektúrában helyük van. A probléma nem a Zero Trust-tal van. A probléma az, hogy olyan problémára tekintik teljes megoldásnak, amelyet soha nem is arra terveztek, hogy megoldjon. A Zero Trust Access-t arra tervezték, hogy ellenőrizze, ki léphet be a hálózatba. Nem arra tervezték, hogy ellenőrizze, mi halad át a határon, miután a felhasználók már bent vannak a hálózatban. 

A korlátozás konkrét jellegű. A Zero Trust ellenőrzi, hogy ki lépi át a határt. A tartalomellenőrzés pedig azt határozza meg, hogy mi lépheti át azt. A Zero Trust-szabályzat helyesen ellenőrzi, hogy egy hitelesített felhasználó egy engedélyezett eszközről jogos adatátvitelt kezdeményez-e. Arról azonban nincs rálátása, hogy az átvitt fájl tartalmaz-e kártékony makrót, összekapcsolt rosszindulatú kódot vagy egy megbízható dokumentumformátumba ágyazott zero-day sebezhetőséget. 

A blogot bevezető támadói kampányok (a BRICKSTORM 393 napos jelenléte az A&D-környezetekben, valamint a Volt Typhoon öt éven át tartó jelenléte az Egyesült Államok kritikus infrastruktúrájában) nem a hozzáférési ellenőrzéseket kapták ki. Olyan tartalmakon keresztül jutottak be, amelyeket a hozzáférési ellenőrzéseknek nem volt okuk megkérdőjelezni.  

Az identitás- és hozzáféréskezelés a szükséges első réteg. A tartalomellenőrzés a fizikai belépési ponton, a besorolási határon és a szoftverellátási láncban az a réteg, amely meghatározza, hogy mi juthat el ténylegesen a célállomásig. Együttesen alkotnak egy teljes rendszert. Egymástól függetlenül mindkettő hagy hiányosságokat a másik területén. 

A fájlalapú fenyegetések terén 2025–2026-ban bekövetkező, operatív szempontból legjelentősebb változás a mesterséges intelligencia alkalmazása a rosszindulatú programok létrehozásában és a biztonsági rendszerek kijátszásában. A Google fenyegetés-elemző csapata olyan rosszindulatú programcsaládokat azonosított, amelyek a támadási fázisban valós időben mutálódnak,^[14] miközben a kihasználási módszerek fejlesztési költségei a korábbi hetekig tartó munkából szinte nullára csökkentek.^[15]

OPSWATsaját kutatása egy konkrét példát tárt fel: a „concatenated PDF” technikát, amelynek során egy rosszindulatú PDF-fájlt szerkezetileg hozzáfűznek egy ártalmatlan fájlhoz. A 34 víruskereső motoron végzett tesztelés során a fájlok összekapcsolása után az észlelési arány 34-ről 5-re esett vissza.^[16] A korábban a fenyegetést jelző három motor már nem jelölte azt. A felhasználó PDF-olvasója pontosan úgy jelenítette meg az adathalász tartalmat, ahogyan azt a támadó szándékozta. A biztonsági infrastruktúra egy másik dokumentumot értékelte, mint amelyet a felhasználó megnyitott.

Nincs olyan rosszindulatú kód, amelyet fel lehetne ismerni. Nincs olyan biztonsági rés, amelyet fel lehetne fedezni. Csak egy legitim fájlformátum szerkezeti elrendezése, amely miatt a szkennerek és olvasók eltérő tartalmat látnak. A besorolási határvonalon egy ilyen technikát alkalmazó fájl riasztás kiváltása nélkül átléphet a „NEM TITKOS” kategóriából a „TITKOS” kategóriába. Ez a rés nem csupán elméleti.

A CDR (Content Disarm and Reconstruction) ezt a problémát mechanizmus szinten oldja meg. A CDR nem a rosszindulatú tartalmak azonosítására törekszik, hanem minden fájlt alkotóelemeire bont, a fájlszerkezettől függetlenül eltávolít minden aktív és futtatható tartalmat, majd egy tiszta, működőképes változatot állít elő.

Egy ismeretlen aláírással rendelkező, mesterséges intelligenciával generált változat, egy szerkezetileg összekapcsolt rosszindulatú dokumentum, egy makrókat tartalmazó Office-fájl, egy támadási célra felhasználható archívum: mindegyiket ugyanaz a folyamat semlegesíti, mivel a CDR eltávolítja a végrehajtási mechanizmust, mielőtt a fájl eljutna a célállomásra.

A CDR egy fájlhatáron alapuló ellenőrzési rendszer. Nem foglalkozik a hálózaton belüli LOTL-tevékenységekkel, sem a környezetben már jelen lévő támadók jelenlétével.

A doménközi megoldásokkal szemben támasztott követelmények változtak. Az adatcserére szoruló érdekcsoportok egyre sokszínűbbek. Az adattípusok köre a szokásos irodai fájlokról a rendszerterhelésekre, hírszerzési adatfolyamokra és felhőalapú formátumokra bővült. A hosszú távon is működőképes CDS kialakításához moduláris, összehangolt megközelítésre van szükség, nem pedig statikus eszközre.

Managed File Transfer MetaDefender Managed File Transfer a fájlok biztonságos befogadását és továbbítását titkosított és nem titkosított hálózatok között, érvényesítve az átviteli szabályokat, valamint az útválasztási logikát és a nyomonkövetési adatokat a teljes munkafolyamat során. A fájlok minden határfelületen átmennek a MetaDefender Core rétegen a tartalom ellenőrzése céljából. Együtt egy egységes, szabályok által irányított, több tartományra kiterjedő architektúrát alkotnak:Managed File Transfer MetaDefender Managed File Transfer az adatáramlást, mígCore MetaDefender Core az átjutó adatokat.

A CMMC 2.0 2025. november 10-én lépett hatályba a Védelmi Minisztérium szerződéseiben. Ezzel először fordul elő, hogy a védelmi beszállítók kiberbiztonságát nem önbevallás alapján, hanem független ellenőrzés útján igazolják. A 2026-os pénzügyi évre vonatkozó NDAA 866. szakasza előírja a Védelmi Minisztérium számára, hogy 2026. június 1-jéig egységesítse a védelmi iparág kiberbiztonsági követelményeit: kevesebb szerződésspecifikus szabály mellett szigorúbb és következetesebb végrehajtást biztosítva.

Mindkét fejlemény fontos. Egyik sem szünteti meg a fent leírt hiányosságokat. A CMMC 2. szint 110 ellenőrzési pontját úgy tervezték, hogy az iparág széles körében emelje az alapszintet, nem pedig azért, hogy konkrét, ezeket a támadási felületeket kezelő ellenőrzési pontokat írjon elő. Az ellenőrzési pontok nem írják elő a fizikai adathordozók ellenőrzését a létesítmény bejáratainál, a fájltartalom ellenőrzését a doménhatárokon, a szoftverkomponensek láthatóságát a függőségi szinten, illetve a tartalomellenőrzést a hardverrel érvényesített hálózati elválasztással párhuzamosan.

Egy vállalkozó akkor is sikeresen teljesítheti a 2. szintű értékelést – beleértve a C3PAO-ellenőrzést is –, ha ezeket a hiányosságokat egyáltalán nem orvosolta. 2025-ben a védelmi vállalkozások mindössze 21%-a választott CMMC-kompatibilis technológiát.^[17] 2025 decemberében mindössze 92 C3PAO kapott engedélyt, szemben a több mint 80 000 vállalkozóból álló ipari bázissal.^[18] A megfelelési infrastruktúra nem tudta tartani a lépést.

Az akkreditációs folyamat során egy második fontos különbséget is figyelembe kell venni. A CMMC a vállalkozó biztonsági gyakorlatát szabályozza. Nem tanúsítja azonban az e gyakorlatok megvalósításához használt eszközöket. A Common Criteria tanúsítás (amelyet az NSTISSP #11 előír a nemzetbiztonsági rendszerek információbiztonsági termékeire vonatkozóan) egy akkreditált független laboratórium által végzett értékelés révén igazolja egy adott termék biztonsági tulajdonságait. A CMMC-ellenőrzés teljesítésére használt CC-tanúsítvánnyal rendelkező termék laboratóriumi vizsgálattal igazolt bizonyítékot nyújt a C3PAO értékelőnek.

A CMMC és a Common Criteria egymást kiegészítő keretrendszerek. Az egyik a szervezet tevékenységét szabályozza, a másik pedig ellenőrzi, hogy az eszköz valóban azt teszi-e, amit állít. Fontos tudni, melyik melyik.

MetaDefender a CMMC 2. szint 110 ellenőrzési pontjából körülbelül 20-at MetaDefender – pontosan azt a részterületet, amelyre a legtöbb biztonsági rendszer nem készült. A hozzáférés-ellenőrzés, a naplózás, az incidenskezelés és a személyzeti biztonság nem tartoznak a hatálya alá. Az értéke a pontosságban rejlik: olyan szigorú határellenőrzéseket biztosít, amelyekre a meglévő rendszer nem képes kiterjedni, és amelyek független laboratóriumi szabvány szerint hitelesítettek.

Azok a szervezetek, amelyek a következő három évben a legkedvezőbb helyzetben lesznek, nem azok, amelyeknek a legnagyobb a biztonsági költségvetése, vagy amelyeknél a legtöbb CMMC-ellenőrzési pontot teljesítették. Hanem azok, amelyek feltérképezték tényleges támadási felületüket – a fizikai behatolási pontokat, az adatbiztonsági osztályozási határokat, az OT-IT interfészeket, valamint a szoftverellátási láncot –, és mindegyikre hitelesített védelmi intézkedéseket vezettek be.

A hálózat belsejében történő észlelés mindig lemarad egy olyan kifinomult támadótól, aki már beépült a rendszerbe. A hatékonyság kulcsa a határon történő megelőzés: még mielőtt egy fájl végrehajtásra kerülne, egy eszköz csatlakozna, vagy egy kártékony kód átlépné a besorolási határt. Éppen ezen a területen OPSWAT .

Kérjen tájékoztatást, hogy megbeszélhessük az Ön konkrét környezetét és architektúráját.

Még mindig a CDS-architektúráját tervezi? Töltse le a „Cross-Domain Solutions Buyer’s Guide for Government & Defense” cím ű útmutatót, amelyet CDS-szakértők állítottak össze azoknak a programmenedzsereknek, biztonsági tervezőknek és beszerzési csapatoknak, akik a modern, több területet átfogó követelményeket értékelik.