Кратко

  • Национальный KE-CIRT/CC Кении сообщил о 2 696 335 021 обнаруженном киберсобытии за июль—сентябрь 2026 года — на 14,45% больше, чем кварталом ранее.
  • Центр выпустил 20 258 111 предупреждений, на 2,36% меньше. Отчёт не определяет единицу «событие» и не объясняет переход от обнаружения к предупреждению.

Последний отчёт Кении по кибербезопасности ставит рядом две огромные цифры. Обнаруженные события киберугроз выросли до 2 696 335 021. Выпущенные предупреждения сократились до 20 258 111. Первый показатель прибавил 14,45% к апрелю—июню, второй снизился на 2,36%.

Две линии пошли в разные стороны. Это и есть полезный вопрос. Здесь арифметика отчёта должна уступить место объяснению операционной методики.

Национальный KE-CIRT/CC при Communications Authority of Kenya называет первый показатель «обнаруженными событиями киберугроз» и пишет, что предупреждения выпущены «в ответ» на них. В отчёте за июль—сентябрь нет словаря данных, правила удаления дублей, описания охвата сбора и связки между событием и предупреждением. Итоги опубликованы, устройство счётчика — нет.

Предыдущий квартал делает разрыв нагляднее. С апреля по июнь центр сообщил о 2 355 938 192 обнаруженных событиях — на 30,03% меньше; предупреждений было 20 748 489, на 0,81% больше. В следующем квартале направления поменялись: событий стало больше, предупреждений меньше. Каждая серия может быть полезна сама по себе. Публичная запись не объясняет их соотношение.

Подытоги событий точно сходятся с общим числом. На «системные атаки» пришлось 2 552 948 966 из 2 696 335 021 событий, около 94,7%. Также указаны 70 800 154 события с вредоносным ПО, 44 949 518 атак перебором, 27 435 527 атак на веб-приложения, 177 732 атаки на мобильные приложения и 23 124 DDoS-атаки. Общий итог можно пересчитать по таблице.

Подытоги предупреждений тоже сходятся: 8 379 145 по системным атакам, 10 380 579 по веб-приложениям, 916 418 по перебору, 549 931 по вредоносному ПО, 18 837 по мобильным приложениям и 13 201 по DDoS. Отчёт ведёт отдельную ведомость по категориям. Правило перехода от одной ведомости к другой отсутствует.

Для сетевого оператора это разные вещи. Срабатывание сенсора, отдельная атака, подтверждённая компрометация, инцидент и предупреждение имеют разные единицы учёта. Одна кампания может затронуть много систем; шумный сенсор может многократно записать одну активность; одно предупреждение может охватывать целый класс событий. Отчёт не говорит, что именно попадает в счётчик и как обрабатываются такие случаи.

Без этой связки квартальный рост настораживает, но не отвечает руководителю безопасности, расширилась ли поверхность риска, улучшился ли сбор, изменилась ли классификация или та же активность дала больше записей. В отчёте названы обновления систем, учётные данные и слабые места веб-приложений, но 2,7 млрд записей не привязаны к затронутым операторам или результатам для их услуг.

Власти начали готовить национальную платформу обмена данными об угрозах. Отчёт описывает обучение, пересмотр действующих способов обмена, планирование национальной панели CTI и первоначальный план действий. Самое время заложить в панель проверяемые следы: что попадает в счётчик, как обрабатываются дубли, когда меняется категория и какие предупреждения следуют за обнаружением.

Кении не нужно меньшее число. Ей нужно число, которое оператор сможет проверить. Нынешний отчёт даёт точный итог, но не публикует правило, определяющее одно событие. Этого хватает для полосы в отчёте, но не для бюджета на реагирование.

Источники