Кратко

  • Совет APNIC единогласно утвердил план на 2027 год, в котором на третий квартал запланировано изучение внутреннего ИИ-агента для первичной сортировки инфраструктурных инцидентов. О внедрённой системе или её полномочиях документ не сообщает.
  • В 2021 году копия базы Whois могла оставаться открытой три месяца. APNIC не располагала полными журналами доступа и не смогла установить, просматривал ли кто-либо данные; следов подозрительных обновлений расследование не обнаружило.

Инцидент закрыли, доступ — нет

APNIC исправила конфигурацию облачного хранилища и удалила копию базы Whois. Но в записи об инциденте осталось то, что нельзя исправить задним числом: кто успел увидеть файл, установить не удалось.

В сообщении APNIC от июня 2021 года сказано, что во время обслуживания RDAP дамп базы Whois скопировали в бакет Google Cloud, который сотрудники считали закрытым. Ошибка конфигурации открыла его извне. В файле были хешированные данные аутентификации мейнтейнеров и команд IRT, а также закрытые объекты Whois. APNIC уточнила, что эти объекты содержали данные не позднее октября 2017 года.

О проблеме APNIC сообщил независимый исследователь 4 июня. Бакет настроили заново, копию удалили. По оценке APNIC, файл мог быть общедоступен около трёх месяцев. Полных журналов просмотров не было, поэтому установить факт доступа не удалось. Расследование не выявило подозрительных изменений в данных. APNIC сменила пароли мейнтейнеров и IRT; примерно 50 держателей ресурсов, активно обновлявших Whois по электронной почте в предшествующие шесть месяцев, получили помощь со сменой паролей.

Отсутствие подозрительных обновлений — вывод об истории изменений. Неизвестный доступ — вывод о другой части следа, которую журналы не сохранили. Первую проблему можно было закрыть сменой конфигурации и паролей. Вторую нельзя разрешить одной лишь уверенностью в отчёте.

В плане деятельности APNIC на 2027 год, принятом исполнительным советом, сказано об изучении внутреннего ИИ-агента в роли «первого реагирующего» для сортировки инфраструктурных инцидентов в третьем квартале. Совет единогласно одобрил план и бюджет; протоколы были приняты 19 октября. Это пункт о проработке разработки, а не сообщение о запуске инструмента.

Публичный документ называет работу и срок, но не определяет её границы. Какие записи увидит агент? Какой ответ он выдаст? Кто получит эскалацию? Сможет ли сотрудник исправить метку? Как долго сохранятся вывод и его основания? Как будут оценивать результат? Ответы на эти вопросы покажут, сортирует ли система обращения или управляет очередью человеческого внимания.

Порядок очереди меняет ход расследования

Метка приоритета задаёт следующий шаг: кто увидит сигнал и какие документы окажутся рядом. Неполную запись легко отправить в обычную очередь; тогда следующий сотрудник получает вместе с ней и неявный вывод. Если пропуск в журналах остаётся отмеченным, расследование может запросить следующую запись.

Политика информационной безопасности APNIC требует систематически и своевременно сообщать об инцидентах, расследовать их и принимать меры. Сортировка происходит до окончания расследования. На этом этапе инструмент уже может направить внимание сотрудников и изменить порядок сбора доказательств.

На своей странице безопасности APNIC отделяет эту работу от инцидентов в сетях участников: реагирование и правоохранительные меры там не входят в роль регионального регистра. План описывает агента для внутренней инфраструктуры APNIC. Полномочий по надзору за сетями участников он не называет.

Протоколы не связывают план 2027 года с делом 2021-го. Но этот случай позволяет проверить, что должно оставаться в карточке инцидента: факт раскрытия, время удаления, смена учётных данных, результаты проверки и неразрешённое «кто просматривал». ИИ не восстановит отсутствующие журналы. Он может показать их отсутствие, перечислить доступные документы и передать вопрос человеку без подмены «неизвестно» на «доступа не было».

До заявления об эффективности APNIC стоит описать доступные источники, поля вывода, ответственного за эскалацию, человеческую корректировку, срок хранения и испытания на неполных данных. Синтетические примеры позволяют показать такой тест без раскрытия производственной инфраструктуры. План отдельно устанавливает доступность 99,99% для Whois, RDAP, RPKI, RDNS и IRR; этот показатель относится к сервисам реестра, а не к качеству ИИ-сортировки.

Источники

Протоколы совета APNIC и план деятельности на 2027 год · Whois data incident resolved · Политика информационной безопасности · Security at APNIC