АРСЕНАЛ

Сорок четыре инструмента — так этот список называют в учебных центрах с тех пор, как его впервые составили. С тех пор в него дважды дописывали строку, а переименовывать не стали.

У каждого инструмента есть колонка «чего не умеет», и она главная.

---

Как устроен арсенал

В фэнтезийных играх предмет даёт бонус. Здесь предмет даёт возможность — и одновременно иллюзию, что возможность уже реализована.

Правило арсенала. Купленный инструмент не равен работающему инструменту. Развёрнутый не равен настроенному. Настроенный не равен тому, что кто-то смотрит на его вывод. Каждая строка «чего не умеет» — это заготовка для Ложной Уверенности.

Инструменты не покупаются по одному

Вы поднимаете трек готовности, и вместе с ним получаете всё, что стоит на этом уровне и ниже. Купили СЕГМЕНТАЦИЮ 3 — у вас есть межсетевой экран, разделение на зоны, административные рабочие места, микросегментация и изоляция технологического контура. Все пять.

Трек 0 — у вас нет ничего. Трек 5 — у вас есть всё, и вы всё равно проиграете, если на это никто не смотрит.

Личный набор класса выдаётся сверх треков и не покупается.

Как читать эту главу

Перед игрой — по диагонали, чтобы понимать, за что вы платите в фазе бюджета. Во время игры — точечно: посмотреть, что именно у вас есть на купленном уровне, и особенно чего у вас нет.

Фасилитатор имеет право (и, скорее всего, воспользуется им) построить Ложную Уверенность прямо на строке «чего не умеет». Ваша защита — знать эти строки.

---

ТРЕК ЛОГИ · Видимость

Нельзя расследовать то, что не записано. И нельзя расследовать то, что записано, но перезаписалось во вторник.

Влияет на: все действия АНАЛИЗ — расследование, поиск вектора, таймлайн, оценка объёма. Кому критичен: Охотник, Форензик. Окупается: в блоках 1–4.

---

Уровень 1 — Журналы

▪ Централизованный сбор журналов

Логи стекаются в одно место. Хранение 30 дней.

Механика: без этого броски АНАЛИЗ на хронологию невозможны в принципе — фасилитатор просто отвечает «данных нет». Чего не умеет: не покрывает рабочие станции, не покрывает облачные сервисы, не покрывает то, что отключили в прошлом квартале ради экономии места.

▪ Журналирование аутентификации

Кто, куда, когда, откуда.

Механика: +2 к броскам на определение скомпрометированных учётных записей. Чего не умеет: не отличает легитимный вход от входа с украденным токеном. Токен валиден — значит вход валиден.

⚠ Внимание: это самая опасная строка первого уровня. Вся картина «кто заходил» будет выглядеть абсолютно нормальной, потому что она и есть нормальная — с точки зрения системы аутентификации. Отличить сможет только поведенческий анализ (уровень 5) или человек, знающий базовую линию.

---

Уровень 2 — Обнаружение на узлах

▪ EDR — детект и реагирование на конечных точках

Агент на каждом узле: процессы, сетевые соединения, изменения.

Механика: позволяет действие «изолировать узел» без броска. +2 ко всем броскам АНАЛИЗ по узлам с агентом. Чего не умеет: не стоит там, где не установлен, — а не установлен он на 8–15% парка всегда. Не видит того, что живёт до загрузки ОС. Отключается администратором с правами.

📚 Отсюда это растёт: разрыв между «у нас развёрнут EDR» и «EDR стоит везде» — универсальная проблема. Причины прозаические: старые системы, где агент не поддерживается; производственные контуры, где ставить нельзя по регламенту вендора; узлы, забытые при инвентаризации; серверы, которые «нельзя трогать». Первое, что делает противник, добравшийся до административных прав, — проверяет, где агента нет.

▪ Хранение 90 дней

Механика: «Хронология» Форензика работает на глубину 90 дней вместо 30. Чего не умеет: среднее время присутствия противника в реальных инцидентах измеряется сотнями дней. Девяносто — это всё ещё мало.

---

Уровень 3 — Корреляция

▪ SIEM — корреляция событий

Правила, алерты, дашборды.

Механика: открывает способность «Правило» Детекционного инженера. КАРТИНА растёт на +1 сегмент быстрее. Чего не умеет: генерирует больше алертов, чем команда способна разобрать. Молчащее правило и отсутствующее правило выглядят одинаково.

▪ Сетевой мониторинг

Разбор трафика между сегментами.

Механика: +2 к обнаружению РАСПРОСТРАНЕНИЯ. Чего не умеет: не читает шифрованное без вмешательства в TLS, а вмешательство в TLS запрещено регламентом для трети трафика.

▪ Правила обнаружения по стандарту

Переносимые сигнатуры, обновляются извне.

Механика: один раз за игру фасилитатор обязан дать подсказку об известной технике. Чего не умеет: ловит известное. Против того, что видят впервые, бесполезны.

---

Уровень 4 — Глубина

▪ Хранение 365 дней в холодном архиве

Механика: способность «Нулевой день» Хрониста работает без ограничений по глубине. Чего не умеет: «холодный» означает часы на извлечение. В блоке Ч+1 архив вам не поможет.

▪ Журналирование облачных согласий

Кто и какому приложению выдал доступ.

Механика: команда видит все выданные согласия приложений по запросу, без броска. Чего не умеет: показывает факт выдачи, не показывает, что приложение скомпрометировано на стороне разработчика.

▪ Мониторинг технологических сетей

Отдельный контур для производства.

Механика: +2 ко всему, что касается завода и складов. Чего не умеет: промышленные протоколы не имеют аутентификации by design. Вы увидите команду, но не узнаете, кто её отдал.

---

Уровень 5 — Полная видимость

▪ Непрерывная запись сетевого трафика

Полный захват пакетов с ретроспективой.

Механика: любой вопрос «что именно ушло» получает точный ответ без броска. Чего не умеет: объём хранилища конечен. Глубина — 7 суток, дальше кольцевая перезапись.

▪ Аналитика поведения

Отклонение от базовой линии по каждой учётной записи.

Механика: «Базовая линия» Охотника действует на всю организацию сразу. Чего не умеет: учится на исторических данных. Если противник был внутри во время обучения, его поведение и есть норма.

⚠ Внимание: последняя строка — лучшая заготовка для Ложной Уверенности во всём треке. Система, обученная на данных с уже присутствующим противником, будет уверенно показывать его активность как нормальную, а любое отклонение от неё — как аномалию.

---

ТРЕК БЭКАПЫ · Восстановление

Бэкап, который не восстанавливали, — это не бэкап. Это надежда с расписанием.

Влияет на: часы ВОССТАНОВЛЕНИЕ. Стартовое значение после шифрования = БЭКАПЫ − 1. Кому критичен: Инженер, Директор. Окупается: в блоках 5–7.

---

Уровень 1 — Копии есть

▪ Ежедневное резервное копирование

Механика: ВОССТАНОВЛЕНИЕ стартует со значения БЭКАПЫ − 1 после шифрования. Чего не умеет: восстанавливается в том же домене, теми же учётными записями. Если противник в домене — он и в бэкапе.

---

Уровень 2 — Копии отдельно

▪ Копия вне основной площадки

Механика: противник не может уничтожить копии одним действием. Чего не умеет: «отдельно» часто означает «в соседней стойке». Проверьте, что именно у вас.

▪ Задокументированная процедура восстановления

Механика: первое действие на восстановление не требует броска. Чего не умеет: документ написан для сценария, который не наступил.

---

Уровень 3 — Копии проверены

▪ Регулярное тестовое восстановление

Механика: каждое действие на восстановление даёт +1 сегмент сверх обычного. Инженер вправе один раз за игру потребовать у фасилитатора прямого подтверждения, что копии поднимаются, — и получить честный ответ. Чего не умеет: тестируется восстановление файла. Восстановление всей компании одновременно не тестировал никто и никогда.

▪ Золотые образы

Заведомо чистые эталоны систем.

Механика: открывает капстон Инженера «С нуля». Чего не умеет: образ был чист на момент создания. Дата создания — вопрос, который стоит задать.

💡 Совет: этот уровень — самая выгодная покупка во всём арсенале по соотношению «одно очко бюджета к эффекту». Переход БЭКАПОВ с 2 на 3 сокращает полное восстановление с пяти действий до двух.

---

Уровень 4 — Копии неприкосновенны

▪ Неизменяемое хранилище

Копии физически нельзя перезаписать до истечения срока.

Механика: противник не может уничтожить копии и напрямую уменьшить ВОССТАНОВЛЕНИЕ действием по бэкапам. Чего не умеет: при «Шифровать» часы всё равно устанавливаются в БЭКАПЫ − 1: это не уничтожение копий, а объём ещё не выполненной работы по подъёму систем. Также хранилище не защищает от восстановления уже заражённого состояния.

▪ Изолированная копия с воздушным зазором

Механика: одна копия недосягаема при любом развитии событий. Чего не умеет: обновляется раз в неделю. Вы потеряете до семи дней.

---

Уровень 5 — Восстановление как процесс

▪ Отработанный сценарий полного восстановления

Учения проводятся дважды в год, с секундомером.

Механика: ВОССТАНОВЛЕНИЕ считается на +2 сегмента выше всегда. Чего не умеет: ничего не гарантирует, если во время учений не отключали то, что «нельзя отключать».

📚 Отсюда это растёт: отраслевое правило «3-2-1» (три копии, два разных носителя, одна вне площадки) существует десятилетиями и повсеместно нарушается в третьем пункте. Ещё важнее показатели, которые почти никто не измеряет честно: RTO — за сколько мы должны подняться, RPO — сколько данных мы готовы потерять. Оба обычно записаны в документе и ни разу не проверялись под нагрузкой всей организации сразу.

---

ТРЕК СЕГМЕНТАЦИЯ · Сдерживание

Плоская сеть — это не архитектура. Это одна большая комната, в которой вы поставили дверь на входе.

Влияет на: часы ЛОКАЛИЗАЦИЯ. При треке 2+ противник продвигает РАСПРОСТРАНЕНИЕ на 1 медленнее; при треке 4+ оно вдобавок не растёт первые два блока. Кому критичен: Инженер, Форензик. Окупается: в блоках 2–5.

---

Уровень 1 — Границы есть

▪ Межсетевой экран по периметру

Механика: противник не может начать с прямого доступа снаружи. Чего не умеет: ровно ничего против того, кто уже внутри, и ровно ничего против того, кого впустили по почте.

---

Уровень 2 — Границы внутри

▪ Разделение на зоны

Производство, офис, серверы — отдельно.

Механика: РАСПРОСТРАНЕНИЕ продвигается на 1 медленнее. Чего не умеет: между зонами всегда есть разрешённые правила. Их писали для работы, а не для обороны.

▪ Выделенные административные рабочие места

Механика: +2 к сопротивлению повышению привилегий. Чего не умеет: работает, только пока никто не заходит на них с обычной почты. Заходят все.

---

Уровень 3 — Границы соблюдаются

▪ Микросегментация критичных систем

Механика: открывает «Аварийную перегородку» Архитектора. При треке 4+ РАСПРОСТРАНЕНИЕ вообще не растёт первые два блока. Чего не умеет: правила писались год назад. Половина уже не соответствует тому, как работает бизнес сегодня.

▪ Изоляция технологического контура

Механика: производство нельзя остановить, пока противник не преодолеет отдельный барьер. Чего не умеет: контур не изолирован — в него ходит подрядчик по обслуживанию. Всегда.

---

Уровень 4 — Границы проверяются

▪ Автоматическая изоляция по сигналу

Механика: «Рубильник» Инженера перестаёт бросать d6 на побочный ущерб. Чего не умеет: срабатывает по правилу. Правило описывает то, что уже видели.

▪ Регулярная проверка правил

Механика: трек считается на +1 выше при определении скорости РАСПРОСТРАНЕНИЯ. Чего не умеет: проверяет соответствие документу, а не реальности.

---

Уровень 5 — Границы динамические

▪ Доступ по запросу и по контексту

Никаких постоянных прав.

Механика: противник не может использовать «Расползтись» два блока подряд. Чего не умеет: требует, чтобы кто-то согласовывал запросы. Ночью в субботу этого человека нет.

📚 Отсюда это растёт: разрушительные кампании, обошедшиеся жертвам в сотни миллионов, распространялись по плоским сетям за часы. Сегментация — единственная мера, которая одинаково эффективна против автоматизированного массового заражения и против целенаправленного продвижения, и одновременно самая тяжёлая для внедрения: она ломает то, что «всегда работало», и каждое правило имеет владельца, который против.

---

ТРЕК IDENTITY · Доверие

В 2094 году это единственный трек, который на самом деле имеет значение. Все остальные — про последствия его провала.

Влияет на: противодействие ЗАКРЕПЛЕНИЮ и повышению привилегий. Кому критичен: всем. Окупается: в блоках 1–7.

---

Уровень 1 — Пароли

▪ Парольная политика

Механика: ничего. Указана, чтобы было видно, что это ничего. Чего не умеет: не мешает ни фишингу, ни украденному токену, ни повторному использованию.

⚠ Внимание: это единственная строка арсенала с механикой «ничего», и она стоит здесь намеренно. Организация с треком IDENTITY 1 формально имеет меру по управлению доступом. Практически у неё нет ничего.

---

Уровень 2 — Второй фактор

▪ Многофакторная аутентификация

Механика: противник обязан потратить дополнительное действие, чтобы «Собрать креды». Чего не умеет: не спасает от усталости пользователя, который нажмёт «подтвердить» на двадцатый запрос в три часа ночи.

▪ Аттестация устройств

Доступ только с известных устройств.

Механика: +2 против первоначального доступа. Чего не умеет: устройство известно. Кто за ним сидит — нет.

---

Уровень 3 — Привилегии под контролем

▪ Управление привилегированным доступом

Права выдаются на время, под запись.

Механика: когда действие противника должно автоматически повысить права и продвинуть ЗАКРЕПЛЕНИЕ, до эффекта один игрок может потратить реакцию и бросить ТЕХ или АНАЛИЗ против базового DC 13, затем применить IDENTITY. Успех отменяет продвижение; провал разрешает действие как обычно. Одна такая проверка на одно действие противника; сам противник d20 не бросает. Чего не умеет: покрывает людей. Сервисные учётные записи живут отдельной жизнью, и их пароли не менялись с развёртывания.

▪ Инвентаризация сервисных учётных записей

Механика: команда видит все сервисные учётные записи и их владельцев по запросу. Чего не умеет: видит те, что заведены по процессу. Заведённые в обход — не видит по определению.

---

Уровень 4 — Токены под контролем

▪ Управление жизнью токенов и сессий

Отзыв, ограничение срока, привязка к устройству.

Механика: сброс паролей действительно обрывает доступ, включая уже выданные токены и активные сессии. Чего не умеет: отзыв работает при следующей проверке. Она может быть через час.

💡 Совет: запомните эту строку дословно. Команда, у которой IDENTITY ниже 4, проведёт целый блок на массовом сбросе паролей и получит на выходе ровно ничего — противник продолжит работать по действующим сессиям. Это самая частая и самая болезненная Ложная Уверенность во всей игре.

▪ Контроль согласий приложений

Ни одно приложение не получает доступ без согласования.

Механика: противник не может использовать компрометацию приложения как вектор. Чего не умеет: уже выданные согласия остаются. Их выдавали пять лет.

---

Уровень 5 — Постоянная проверка

▪ Непрерывная проверка доступа

Каждый запрос оценивается заново, в контексте.

Механика: противник не может «Собрать креды» вообще. ЗАКРЕПЛЕНИЕ не растёт без нового броска каждый блок. Чего не умеет: упирается в поставщика идентичности. Если скомпрометирован он — проверять больше нечем.

Это и есть Тишина 2061 года: отравлена была не система, а то, что проверяет все остальные системы.

---

ТРЕК КОММУНИКАЦИИ · Наружу

Единственный трек, который покупается за деньги почти целиком — и единственный, про который вспоминают последним.

Влияет на: всё внешнее — пресса, регулятор, клиенты, сотрудники. Плюс способность команды вообще разговаривать после шифрования. Кому критичен: Голос, Арбитр, Директор. Окупается: в блоках 3–7.

---

Уровень 1 — Кто-то отвечает

▪ Назначенный ответственный за внешние заявления

Механика: без этого «Встречный нарратив» Голоса не работает вовсе. Чего не умеет: ничего, если у него нет фактов. Фактов не будет ещё четыре часа.

---

Уровень 2 — План есть

▪ План кризисных коммуникаций

Механика: первое заявление не требует броска. Чего не умеет: написан для утечки данных. У вас остановилось производство.

▪ Заготовленные шаблоны заявлений

Механика: открывает «Подготовленное заявление» Публициста. Чего не умеет: шаблон придётся наполнять цифрами, которых нет.

---

Уровень 3 — Каналы работают

▪ Внеполосная связь

Способ разговаривать, когда своя инфраструктура недоступна или скомпрометирована.

Механика: команда действует, даже когда корпоративные системы встали. Без этого — −2 ко всем броскам после шифрования. Чего не умеет: им никто не пользовался. Половина не помнит пароль.

⚠ Внимание: «−2 ко всем броскам после шифрования» — самый дорогой штраф во всей игре, потому что он не отменяется ничем и действует до конца сессии. Стол, идущий с КОММУНИКАЦИЯМИ 2, в акте III бросает d20 с суммарной поправкой −2 к каждому броску плюс накопленная усталость. Это математически проигранный акт.

▪ Список контактов Реестра и регуляторов

Механика: «Часы идут» Арбитра работают точно, и уведомление не требует лишнего действия. Чего не умеет: контакты годичной давности.

---

Уровень 4 — Аудитории разделены

▪ Матрица уведомления заинтересованных сторон

Кто, что, когда и в каком порядке узнаёт.

Механика: ПУБЛИЧНОСТЬ не растёт от того, что кто-то узнал не в свою очередь. Чего не умеет: сотрудники всё равно напишут в чат раньше вас.

▪ Договорные обязательства сведены в одну таблицу

Механика: Арбитр вправе один раз за игру спросить о любом договорном обязательстве и получить точный ответ без броска. Чего не умеет: таблица отражает договоры на дату составления.

---

Уровень 5 — Репутация как актив

▪ Постоянная работа с прессой и Реестром

Механика: положите рядом с ПУБЛИЧНОСТЬЮ 2 маркера доверия. Когда часы должны продвинуться из-за прессы, клиентов или внешнего слуха, снимите маркер вместо сегмента. Один источник снимает не более одного маркера за блок. Чего не умеет: не отменяет признанный факт, уведомление регулятора, видимый простой или неверное обещание. Кредит доверия поглощает первые волны внешнего давления и затем исчерпывается.

---

ЛИЧНЫЙ НАБОР

Выдаётся классу независимо от бюджета. Не покупается, не отнимается, работает всегда.

▪ Что с ними делать

Личные наборы — единственное, что у вас есть при треке 1 по всем направлениям, и большинство игроков про них забывает.

• Мандат совета работает и на фасилитатора, и на стол. Требуйте вслух: «мне нужен инженер вендора на площадке в течение часа, обоснуйте отказ».
• Личная лаборатория — бесплатная проверка гипотезы раз в акт. Три бесплатных действия за игру, которые не тратят ЁМКОСТЬ.
• Полевой чемодан означает, что ваши улики не оспариваются. В регуляторном эпизоде это стоит больше, чем звучит.
• Ключи от всего снимают целый класс проблем «нас не пускают на площадку» и «начальник смены не отвечает».
• Прямая линия — единственный способ обойти площадку, которая уже что-то опубликовала.
• Печать привилегии — один дополнительный защищённый юридический вывод без расхода ЁМКОСТИ; факты и артефакты она не скрывает.
• Подпись означает, что Директор никогда не тратит действие на согласование трат. Произнёс — согласовано.

---

ЧТО ПОКУПАТЬ ПЕРВЫМ

Разговор для фазы бюджета. Ответа нет — есть последствия, и они разные.

Наблюдение по итогам плейтестов. Команды почти всегда недофинансируют КОММУНИКАЦИИ и почти всегда переоценивают ЛОГИ. Первое — потому что это «не техника». Второе — потому что видимость приятно ощущается как контроль.

---

Шесть покупок, которые меняют игру сильнее остальных

Если спорить некогда, спорьте про эти шесть строк.

---

Пять строк «чего не умеет», которые убивают чаще всего

Выпишите их на отдельный листок и держите рядом с листом готовности.

1. «Токен валиден — значит вход валиден». Журналирование аутентификации, уровень 1. Вся картина входов выглядит нормальной, потому что она нормальная.

2. «EDR не стоит на 8–15% парка всегда». Уровень 2. Ответ «на всех узлах чисто» означает «на узлах с агентом чисто».

3. «Молчащее правило и отсутствующее правило выглядят одинаково». SIEM, уровень 3. Отсутствие алертов — не свидетельство отсутствия активности.

4. «Отзыв работает при следующей проверке». Управление токенами, уровень 4. Без него сброс паролей не обрывает ничего.

5. «Если противник был внутри во время обучения, его поведение и есть норма». Аналитика поведения, уровень 5. Самый дорогой инструмент трека может уверенно показывать противника как норму.

💡 Совет: в момент, когда вы получаете хороший результат, задайте себе один вопрос: какой строкой «чего не умеет» этот результат ограничен? Если ответа нет — вероятно, вы держите жетон, о котором ещё не знаете.