Чи можуть хакери обрушити інфраструктуру Америки?
Брюс Вілліс повертається в ролі Джона Макклейна у фільмі «Погані хлопці, як і раніше, не сплять», але цього разу ставки полягають не лише у руйнуванні будівель. Сюжет будується довкола таємного синдикату, що веде цифрову війну проти Сполучених Штатів. Вони не використовують бомби. Вони використовують атаки через Інтернет, щоб паралізувати інфраструкцію країни. Макклейн повинен зупинити їх і врятувати свою дочку, яка опинилася у заручниках у цій хаотичній обстановці.
Звучить як голлівудська драма. Але читання цього синопсису викликає нав’язливе питання. Чи можливо насправді, щоб група хакерів завдала реальних економічних чи фізичних збитків США?
Відповідь, схоже, схиляється до так. Кібербезпека більше не є вузькоспеціалізованою проблемою ІТ-галузі. Наразі державні чиновники та засоби масової інформації ранжують її як загрозу, порівнянну з тероризмом, поширенням ядерної зброї та зміною клімату. Логіка проста. Комерційні, приватні та державні системи всі підключені до однієї глобальної мережі. Збій в одному місці може спричинити ланцюгову реакцію всюди.
Ландшафт погроз кардинально змінився. Хакери більше не одинаки, що працюють у підвалах. Вони організовані. Вони діють у неформальних мережах, що нагадують чорні ринки. Вкрадені дані стали товаром. «Кардери» (кардери) продають інформацію про кредитні картки оптом. Фішингові шахрайства стають дедалі витонченішими. Шкідливе ПЗ – віруси, трояни, черв’яки – приносить злочинцям більше доходу, ніж вся світова індустрія комп’ютерної безпеки приносить захисникам.
Ці актори всюди. Багато хто діє з країн з високошвидкісним інтернетом і слабким правозастосуванням. Наприклад, Румунія стала осередком такої діяльності. Відсутність серйозних юридичних наслідків робить її безпечним притулком для цифрових злочинів.
Загроза полягає не лише у фінансових втратах. Вона має геополітичний характер. Уряд Великобританії нещодавно опублікував докази того, що іноземні розвідувальні служби, ймовірно, з Китаю, Північної Кореї та колишніх радянських держав, зламували комп’ютери Великобританії. Мотив? Економічний шпигунство. Йдеться не просто про крадіжку номерів кредитних карток. Йдеться про підрив економічної могутності інших держав. Атакуючі крадуть галузеві секрети та торгові дані, а потім надсилають цю інформацію дружнім чи державним компаніям, щоб отримати конкурентну перевагу.
Націлювання на ключових співробітників є поширеною тактикою. Один заражений електронний файл або USB-накопичувач може дати зловмисникам доступ до секретних державних даних або корпоративних креслень. Методи різноманітні. Листи з вірусами, заражені CD-диски чи флеш-накопичувачі — це вектори проникнення.
Уряди усвідомлюють реальність. Європейський союз, «Велика вісімка» та інші міжнародні організації створили цільові групи боротьби з кіберзлочинністю. У місцеві правоохоронні органи створюють підрозділи боротьби з електронними злочинами. ФБР підтримує ці зусилля через програму InfraGard, яка сприяє обміну інформацією між бюро та цими місцевими командами.
Британія вбачає небезпеку. Але чи мають турбуватися Сполучені Штати? Відповідь, можливо, криється у невеликій балтійській країні, яка нещодавно зіткнулася з цифровою атакою.
Кібератаки в Естонії
Іскрою стала статуя. 27 квітня 2007 року естонська влада перенесла меморіал часів Другої світової війни радянської епохи з центральної площі Таллінна на військовий цвинтар. Це рішення було продиктоване історією, але несло в собі гостру сучасну напруженість. Протягом більшої частини холодної війни Естонія перебувала під окупацією Радянського Союзу, і сьогодні там мешкає значна російськомовна меншина. Цей крок змінив як розташування пам’ятника; він змінив настрій.
Спалахнули протести. В Естонії гнів вилився назовні. Через Балтійське море уряд Росії висловив різкий протест і зробив приховані погрози. Атмосфера була густою від геополітичного тертя. Потім настала тиша офлайн-світу, перервана гулом серверів та потоком шкідливих пакетів даних.
Як працюють атаки типу «Розподілена відмова в обслуговуванні»
Після цього були тижні безперервних кібератак. Вони націлювалися як на урядові портали, так і на приватні веб-сайти. Метод був грубим, але ефективним: атаки типу «Розподілена відмова в обслуговуванні» (DDoS).
Хакерам не потрібні були складні експлойти для злому. Їм потрібний був лише обсяг. Вони захопили контроль над сотнями, а іноді й тисячами «зомбі»-комп’ютерів — машин, заражених шкідливим програмним забезпеченням та керованих віддалено без відома їхніх власників. Ці ботнети обрушували на естонські сайти тисячі запитів на секунду.
Нормальний трафік для веб-сайту може становити кілька сотень відвідувань. Ці атаки збільшили число до мільйонів. Сервери не змогли впоратися із навантаженням. Вони почали сповільнюватись. Потім вони впали. Метою був крадіжка даних. Метою було зробити сайт невидимим.
Для звичайного користувача досвід був простим: тайм-аут з’єднання. Помилка 503. Сторінка не знайдена. Але для уряду Естонії це був хаос.
Чи була це кібервійна?
Уряд Естонії порівняв кібератаки з терористичним актом. Перебої були реальними. Економічні та урядові функції опинилися під напругою. Спочатку багато спостерігачів вважали, що російська держава стоїть за цим. Експерти назвали події першою «кібервійною».
Виявилось, що все складніше. Тепер свідчення вказують на те, що російський уряд не організовував атак безпосередньо. Натомість воно підживлювало їх гнівною риторикою. Самими хакерами, ймовірно, були обурені приватні особи, які реагували на демонтаж статуї та тон Кремля.
Ця різниця має значення. Атака, спонсорована державою, має на увазі стратегію. Напад, ініційований громадянами, має на увазі хаос. Обидва можуть завдати шкоди, але атрибуція змінює все.
Чому досвід Естонії мав значення
Кібератаки на Естонію були найбільшими з погляду обсягу переданих даних. Інші атаки DDoS були масштабнішими. Але ці були унікальні за своїм впливом. Упродовж кількох тижнів кібератаки поглинали увагу всього уряду. Вони привернули погляд до всього світу.
До Естонії політичні розбіжності часто виливались у сварки хакерів. Індійські та пакистанські хакери запускали обстріли вірусами та атаками DDoS через давні напружені стосунки. Італійські та палестинські хакери вандалізували сайти один одного у діях у відповідь «око за око». То були сутички.
Естонія стала битвою. Атаки довели, наскільки вразливими можуть бути «підключені до мережі» нації. Естонія вважається однією з найбільш цифрових країн у світі. Її уряд працює переважно онлайн. Її банки цифрові. Її громадяни очікують на безперебійне підключення. Коли згасло світло, це оголило критичну слабкість.
Уряд не втратив жодної ключової інфраструктури. Жодна база даних була стерта. Жодних секретів не було вкрадено. Але ціна боротьби з атаками була високою. Це було трудомістким. Це було недешево. Це було попередження.
Питання кібербезпеки США
Естонія пережила шторм. Були економічні перебої. Була урядова напруга. Але не було довгострокової шкоди. Країна оговталася.
Це порушує страшне питання. Як би США впоралися у такій ситуації? США ще більше залежить від цифрової інфраструктури, ніж Естонія. Їхня енергія
Ці зміни не сталися на порожньому місці. Все почалося з тихого зізнання у квітні 2007 року. Підкомітет Конгресу США з питань нових загроз, кібербезпеки, науки і технологій з’ясував, що в 2006 році сталися злами систем Міністерств торгівлі та закордонних справ. Це відкриття погрожує посаду Скотта Шарбо, головного інформаційного директора Міністерства внутрішньої безпеки (DHS). Його робота опинилася під питанням.
Чому? Через 844 інциденти, пов’язані з безпекою, сталися лише за два роки.
Список збоїв у DHS був ганебним. Секретні листи передавалися незахищеними мережами. Особисті ноутбуки підключалися до державних систем. Неперевірене програмне забезпечення проникало у систему. Секретні дані витікали. Поширювалися віруси. Брандмауери залишалися відкритими. У щорічному звіті про комп’ютерну безпеку міністерство отримало оцінку «D». Це було покращенням порівняно з незадовільними оцінками з 2003 до 2006 року, але все одно залишалося поганим. Весь федеральний уряд отримав оцінку «C-», що було вищим, ніж «D+» роком раніше.
Уряд більше не міг ігнорувати ці прогалини.
Нові посади та масштабні навчання
Реакція була швидкою. DHS створила нову посаду: помічник секретаря з кібербезпеки та телекомунікацій. Цю роль зайняв Грег Гарсія. Акцент змістився із ліквідації наслідків на проактивну оборону.
Йшлося не лише про лагодження зламаних брандмауерів. Йшлося про моделювання сценарію найгіршого розвитку подій. На початку лютого 2006 року уряд США приєднався до 115 партнерів із п’яти країн для проведення навчань Cyber Storm. Це були масштабні кібернавчання. У них брали участь великі корпорації, державні агенції та приватні організації із забезпечення безпеки.
Якою була мета? Побачити, що буде, якщо буде атакована критична інфраструктура.
Симуляція була жорстокою. Фіктивні атаки викликали відключення електроенергії у 10 штатах. Комерційне програмне забезпечення заражалося вірусами. Мережі онлайн-банкінгу виходили з ладу. Вправа перевіряла як технічні засоби захисту. Воно вивчало, як агентства керуватимуть дезінформацією, яку розповсюджують зловмисники. Це було випробуванням на міцність національної стійкості.
Cyber Storm II було заплановано на 2008 рік. Тим часом, реальна робота тривала на місцях. На авіабазі Барксдейл у Луїзіані 25 000 військовослужбовців займалися радіоелектронною боротьбою. Вони зосередилися на мережній безпеці та захисті інтернет-інфраструктури країни.
Першої реагують сили в цифрову епоху
Якщо США відбудеться масштабна кібератака, хто вийде на передову першим?
Набувають чинності розвідувальні агентства. Міністерство оборони мобілізується. Військові висуваються до району подій. Так само чинить і підрозділ на базі Барксдейл. Але є одна конкретна група, відповідальна за захист інтернет-інфраструктури та оборону від кібератак: US-CERT, Команда готовності до комп’ютерних надзвичайних ситуацій США.
Створена в 2003 році, US-CERT відіграє ключову роль у ланцюзі реагування. Вони відстежують погрози. Координують події з партнерами. Допомагають пом’якшувати наслідки перед тим, як вони почнуть наростати лавиноподібно.
Інфраструктура крихка. Команди реагування готові. Але чи цього достатньо?
Кібератаки в Сполучених Штатах
У США є структурні слабкості у цифровому «хребті». Зусилля уряду щодо усунення цих уразливостей продовжуються, але вони не виключили ризику повністю. Однак сценарій кінця світу, що передбачає фізичну руйнацію в результаті кібервійни, значною мірою є міфом. Немає жодного випадку смерті від кібератаки. Ніхто не загинув під час атак на Естонію. Ніхто ніколи не вмирав через те, що його комп’ютер був зламаний.
Реальна загроза — фінансова, а не фізична
Терористичні групи голосно заявляють про плани запуску ударів через Інтернет. Але реальна загроза виходить із інших джерел. Злочинні угруповання хочуть грошей. Вони вимагають у компаній викуп. Злі хакери хочуть заявити себе. Естонія стала яскравим прикладом такого цифрового протесту.
Основна проблема полягає не в загибелі людей. Це економічна шкода. Якщо хакери відключать електропостачання, проникнуть до великого банку або обрушать фондовий ринок, фінансові наслідки будуть реальними. Але навіть у цьому випадку збитки рідко мають катастрофічний фізичний характер.
Чому ваші МБР у безпеці
Кібератаки практично не здатні завдати масових фізичних жертв. Чому? Тому що системи безпеки, резервування, програмне забезпечення моніторингу та людський контроль створюють формальний (непереборний) бар’єр. Військові системи особливо захищені. 11-річна дитина з Пекіна не запускає міжконтинентальних балістичних ракет. Ядерна зброя не підключена до Інтернету. Критично важливі чи секретні системи ізольовані (air-gapped). Вони відключені від зовнішніх мереж.
Хакерам може бути легко проникнути у систему. Проникнути одна справа. Завдати реальних збитків, перебуваючи всередині, — інше. Добре навчений персонал на об’єктах енергетики та критичної інфраструктури може швидко виявити проблеми. У пропрієтарних системах часто передбачені ручні перемикачі. Людина, як і раніше, знаходиться в контурі управління.
Мільярдна реальність шкідливого ПЗ
Небезпеки залишаються відчутними. Черв’яки, віруси та програми-трояни щодня експлуатують уразливості у безпеці. Ці погрози завдають приватному сектору мільярдів доларів збитків щорічно. Вартість висока, але наслідки мають фінансовий, а не фізичний характер.
Часті питання
Чи були зломи в США?
Так. Сполучені Штати стикалися з багатьма типами атак хакерів протягом багатьох років. Виділяються два помітні приклади. Злом Управління кадрів (Office of Personnel Management) у 2015 році призвів до крадіжки понад 21 мільйон особистих записів. Злом Sony Pictures у 2014 році розкрив понад 100 мільйонів записів про клієнтів. Ці інциденти наголошують на масштабі вразливості даних, навіть якщо вони не призвели до фізичних збитків.
Додаткові ресурси
Для тих, хто хоче глибше розібратися в тому, як ці системи працюють, доступні такі технічні огляди:
- Як працює інтернет-інфраструктура
- Як працюють веб-сервери
- Як працює фішинг
- Як працює спам
- Як працюють комп’ютерні віруси
- Як працює крадіжка особистих даних
- Як працюють міжмережеві екрани (фаєрволи)
- Як працює шифрування
- Як працюють біометричні системи
Додаткова література та офіційні джерела
Якщо вам потрібно повідомити про шахрайство або зрозуміти поточну картину загроз, ці ресурси є необхідними:
- Атаки хакерів – дзеркало блогу з безпеки
- Повідомлення про злам комп’ютерів, шахрайство та інші злочини, пов’язані з Інтернетом
- Команда готовності до комп’ютерних надзвичайних ситуацій США (US-CERT)
Розмови про кібербезпеку продовжують розвиватись. НАТО називає боротьбу з кібератаками терміновим завданням. Китай намагається відібрати у США лідерство у сфері кіберсил. Загроза змінюється. Небезпека зростає. Але чи апокаліпсис? Це досі вигадка.
