Чи можуть хакери дійсно обрушити Америку? Попередження з Естонії
Брюс Вілліс знову перетворюється на Джона Макклейна у фільмі «Погані хлопці по-справжньому», але цього разу ставки стосуються не лише вибухів будівель. Лиходій використовує не C4. Він використовує Інтернет. Його ціль? Паралізувати інфраструктуру США. Макклейн повинен запобігти кібертерористичній змові і врятувати свою дочку, тоді як навколо неї руйнуються цифрові системи.
Це голлівудський блокбастер. Але він ставить тривожне питання для кожного, хто зберігає свій банківський рахунок у мережі: чи здатний скоординований кібератака завдати реальних економічних чи фізичних збитків у Сполучених Штатах?
Відповідь, здається, позитивна. Кібербезпека більше не є проблемою лише для відділу ІТ. Засоби масової інформації та державні чиновники тепер ставлять її на один рівень із тероризмом, поширенням ядерної зброї та зміною клімату як одну з головних загроз національній стабільності. Чому? Тому що все підключено. Комерційні мережі, урядові бази даних, приватні рахунки. Усі вони пов’язані. А зв’язок – це вразливість.
Ландшафт погроз змінився. Хакери більше не одинаки у підвалах. Вони організовані. Вони працюють у мережах. Чорні ринки процвітають в Інтернеті, торгуючи вкраденими даними та нелегальним програмним забезпеченням. «Кардери» продають інформацію про кредитні картки оптом. Фішингові атаки стають витонченішими. Шкідливе ПЗ – віруси, трояни, черв’яки – є більшою індустрією, ніж весь сектор комп’ютерної безпеки в сукупності. Ці актори є глобальними. Багато хто діє з таких країн, як Румунія, де високошвидкісний інтернет поєднується зі слабким правозастосуванням.
Це не просто крадіжка. Це питання влади.
Нещодавні звіти британського уряду наголошують на тому, що іноземні розвідувальні служби — потенційно з Китаю, Північної Кореї та колишніх радянських держав — зламують системи Великобританії. Мотив? Економічний шпигунство. Мета — підірвати економіки конкурентів, крадіжку торгових секретів та промислових даних, а потім передачу цієї інформації державним чи дружнім компаніям. Тактика включає націлювання на ключових співробітників за допомогою електронних листів з вірусами, заражених USB-накопичувачів або скомпрометованих CD-дисків.
Уряди прокидаються. ЄС, G8 та інші органи створили цільові групи боротьби з кіберзлочинністю. ФБР управляє InfraGard, обмінюючись розвідданими з місцевими правоохоронними органами. Великобританія розуміє небезпеку. А що щодо США?
Щоб зрозуміти масштаб загрози, подивіться на Естонію.
Кібератака на Естонію
2007 року Естонія зіткнулася з однією з перших великих державних кібератак в історії. Це було фізичним вторгненням. Це була цифрова облога.
Іскри, що підпалили перший великий кіберконфлікт, не виходили від таємничого державного актора у темній кімнаті. Вони походили від статуї.
27 квітня 2007 року уряд Естонії ухвалив прагматичне, але вибухонебезпечне рішення. Воно перенесло Бронзового солдата — меморіал часів Другої світової війни радянської доби — з жвавої площі в центрі Таллінна на військовий цвинтар на околиці міста. Цей крок мав знизити напруженість у країні, де приблизно одна восьма частина населення говорить російською. Однак переміщення спровокувало вибух іншого.
Протести спалахнули на вулицях. Але що важливіше, вони спалахнули в інтернеті.
Анатомія DDoS-атаки
Протягом кількох тижнів цифрова інфраструктура Естонії зазнала безперервної дії. Основною зброєю стали розподілені атаки типу «відмова в обслуговуванні» (DDoS).
Хакерам не потрібні були складні бекдори чи витончені експлойти. Їм був потрібний лише обсяг. Використовуючи сотні, а іноді й тисячі скомпрометованих комп’ютерів-«зомбі» — машин, заражених шкідливим ПЗ та керованих віддалено, вони обрушували на естонські веб-сайти тисячі запитів на секунду.
Результатом стала цифрова пробка у масштабах цілої країни. Легітимні користувачі не могли отримати доступу до ресурсів. Урядові портали, банківські сайти та ресурси новин ставали недоступними або працювали з хворобливою повільністю. Атаки були не просто дратівливими; вони були дестабілізуючими.
Хто насправді стояв за кібервійною?
У безпосередньому післямові почалася гра у перекладення відповідальності. Російський уряд висловив запеклий протест і пригрозив заходами у відповідь. Багато західних публіцистів, які прагнуть нового нарратива, оголосили це початком «кібервійни», маючи на увазі пряму участь Кремля.
Реальність виявилася заплутанішою. Розвідувальні дані згодом вказали на те, що російська держава не організовувала та не виконувала атаки безпосередньо. Натомість гнів підживлювався поєднанням націоналістичних настроїв та можливого еволюційного хакінгу. Обурені російські громадяни, підігріті державною риторикою та щирим гнівом через вилучення статуї, ініціювали атаки самостійно.
Уряд Естонії охарактеризував цей досвід як аналогічний до терористичної атаки. Ця різниця мала значення. Терористична атака – це особисто, хаотично та психологічно. Війна, яка спонсорується державою, — це стратегічно та скоординовано. Події 2007 року опинилися десь у сірій зоні, довівши, що недержавні актори можуть мати значну дестабілізуючу силу.
Ціна дестабілізації
Масштаб естонських атак був скромним порівняно із сьогоднішніми мега-DDoS-інцидентами, які можуть генерувати терабіти трафіку. Але їхній вплив був глибоким.
Естонія не втратила даних. Її критична інфраструктура була зруйнована. Проте ціна була високою з погляду часу та ресурсів. Уряду довелося перенаправити значні людські ресурси на боротьбу з атаками, відновлення репутації та заспокоєння приголомшеної економіки. Це оголило сувору істину: сучасні суспільства крихкі, коли їхні послуги оцифровані.
Це був не перший випадок, коли політична напруга виливалася в кіберпростір. Індійські та пакистанські хакери вже давно ведуть кампанії взаємних DDoS-атак та спалахів вірусів. Ізраїльські та палестинські групи роками вандалізують веб-сайти один одного.
Але естонський випадок був унікальним. То була не коротка сутичка. Це була багатовікова облога, яка поглинала увагу всього уряду та привертала увагу міжнародної спільноти. Це показало світові, що невелику, високо підключену до мережі країну можна поставити на коліна за допомогою розгніваних роя клавіатур.
Як би впоралися Сполучені Штати
Естонія, одна із «провідних» націй у світі, змогла пережити шторм. Були економічні тертя. Була урядова дезорганізація. Але не було довгострокового колапсу.
Ключовим питанням тоді і зараз є те, як Сполучені Штати впоралися б із аналогічним сценарієм. США набагато складніші, глибоко взаємопов’язані та сильно залежать від інфраструктури приватного сектору для забезпечення таких важливих послуг, як енергетика, фінанси та охорона здоров’я.
Якщо цільова розподілена атака типу «відмова в обслуговуванні» (DDoS) обрушиться на банки США, енергетичні мережі або
Весна 2007 року принесла Вашингтону неприємний розгляд. Під час слухань 19 квітня Підкомітет Конгресу з загроз, кібербезпеки, науки і технологій, що виникають, почув, що системи в Міністерствах торгівлі та закордонних справ США були зламані ще в 2006 році. Але на цьому збитки не зупинилися. Скотт Шарбо, головний інформаційний директор Міністерства внутрішньої безпеки (DHS), зіткнувся із загрозою звільнення. Його tenure був затьмарений 844 інцидентами, пов’язаними з безпекою, зафіксованими лише у 2005 та 2006 роках.
Це були дрібні збої. То були системні збої. Зашифровані електронні листи маршрутизувалися незахищеними мережами. Особисті ноутбуки підключалися до урядової інфраструктури. Неперевірене програмне забезпечення встановлювалося без нагляду. Зашифровані дані вибігали. Поширювалися віруси. Брандмауери залишалися відкритими. У тому році DHS отримала оцінку «D» у своєму щорічному звіті з комп’ютерної безпеки. Це було покращенням порівняно з незадовільними оцінками з 2003 по 2006 рік, але «D» — це ще незадовільна оцінка. Весь федеральний уряд отримав оцінку «C-», що вище, ніж «D+» роком раніше. Розрив між обіцянками та результатами розширювався.
Реакція була негайною. DHS створила нову посаду: помічник міністра з кібербезпеки та телекомунікацій, яку обійняв Грег Гарсія. Це було визнання того, що стара структура не працює. Раніше, у лютому 2006 року, уряд США спробував змоделювати сценарій найгіршого випадку. У партнерстві зі 115 організаціями з п’яти країн вони провели операцію Cyber Storm. Це не було настільною вправою. Це була великомасштабна симуляція за участю великих корпорацій, урядових агентств та організацій безпеки.
Метою було перевірити, що станеться, якщо критично важливі урядові, бізнес-сайти та приватні веб-сайти зазнають атаки. Результати були хаотичними. Фіктивні атаки викликали відключення електроенергії у десяти штатах. Комерційне програмне забезпечення було заражене вірусами. Мережі онлайн-банкінгу вийшли з ладу. Вправа також перевірила здатність уряду справлятися з дезінформацією, яку неминуче поширять зловмисники. Це було стрес-тестування, яке виявило значні уразливості у тому, як цифрова інфраструктура країни тримається під тиском. Cyber Storm II була запланована на 2008 рік, що було чітким сигналом про те, що перший раунд виявив надто багато тріщин.
Поки бюрократія метушилася, військові вже були на передовій. На авіабазі Барксдейл у Луїзіані 25 000 співробітників працювали над електронною війною, мережевою безпекою та захистом інтернет-інфраструктури країни. Вони не чекали на дозвіл турбуватися про майбутнє. Вони його будували. Якщо США будь-коли зіткнеться з масштабною кібератакою, ці групи, разом із розвідувальними агентствами та Міністерством оборони, будуть першими, хто відреагує.
Центральним елементом цієї оборони є US-CERT (Команда готовності до комп’ютерних надзвичайних ситуацій США). Створена у 2003 році, її мандат специфічний: захищати інтернет-інфраструктуру та відображати кібератаки. Вона служить центром координації, очима та вухами кібероборони уряду. Архітектура створена. Гравці визначено. Питання залишається в тому, чи високі стіни досить перед тим, як ударить наступний шторм.
США, як і раніше, мають серйозні вразливості у своїй цифровій інфраструктурі, незважаючи на безперервні зусилля щодо усунення цих прогалин. Але чи наводить ця крихкість до хаосу у стилі фільму «Міцний горішок»? Не зовсім. Немає записів про те, щоб хтось загинув у результаті кібератаки. Ніхто не загинув, коли мережі Естонії зазнали масованих атак, і ніхто ніколи не помирав через те, що комп’ютер був скомпрометований.
Терористичні групи говорять про запуск інтернет-ударів, але реальна загроза полягає не в ідеологічній руйнації. Це — гроші. Злочинні угруповання потребують грошей у компаній. Злі хакери хочуть заявити себе. Ось такий справжній ландшафт.
Чому кібератаки не призводять до масових жертв
Більш досконалі протоколи безпеки, резервні системи, програмне забезпечення для моніторингу та людський контроль унеможливлюють завдання кібератаками великомасштабної фізичної шкоди. Або навіть поодиноких жертв. Військові системи особливо захищені. 11-річна дитина з Пекіна не запускає міжконтинентальних балістичних ракет. Ядерна зброя, як і багато інших критично важливих або засекречених систем, взагалі не підключена до інтернету.
Естонія довела, що економічні збитки є реальними. Якщо хакери відключать електропостачання або проникнуть у великий банк або фондовий ринок, біль буде негайним. Але в багатьох випадках хакеру набагато простіше отримати доступ до системи або мережі, ніж завдати будь-якої реальної шкоди, перебуваючи всередині. Крім того, наявність добре навченого людського персоналу та пропрієтарних систем на об’єктах комунальних послуг та інших критично важливих системах означає, що будь-які проблеми можуть бути швидко вирішені.
Основні загрози кібербезпеці, як і раніше, являють собою черв’яки, віруси, програми-трояни та використання вразливостей безпеки, які продовжують завдавати приватному сектору збитків на мільярди доларів щороку.
Чи були колись зламані США?
На це питання немає однозначної відповіді, оскільки США зазнавали різних типів атак хакерів протягом багатьох років. Деякі з найбільш помітних атак включають злом Управління кадрів (Office of Personnel Management) у 2015 році, в результаті якого було викрадено понад 21 мільйон особистих записів, і злом Sony Pictures у 2014 році, який призвів до розкриття понад 100 мільйонів записів про клієнтів.
Додаткові статті та ресурси
Якщо ви хочете глибше розібратися в тому, як працюють ці системи та чому вони дають збій, ознайомтеся з наступними темами:
- Як працює інтернет-інфраструктура
- Як працюють веб-сервери
- Як працює фішинг
- Як працює спам
- Як працюють комп’ютерні віруси
- Як працює крадіжка особистих даних
- Як працюють міжмережеві екрани (фаєрволи)
- Як працює шифрування
- Як працюють біометричні системи
Для отримання додаткової інформації про безпеку Інтернету та інші пов’язані теми, будь ласка, перейдіть за посиланнями на наступній сторінці.
Інші корисні посилання
- Атаки хакерів – дзеркало блогу з безпеки
- Повідомлення про комп’ютерний злом, шахрайство та інші злочини, пов’язані з Інтернетом
- Команда готовності США до комп’ютерних надзвичайних ситуацій (US-CERT)
