Bruce Willis se vrací jako John McClane ve filmu Bad Boys for Real, ale tentokrát nejde jen o vyhazování budov do povětří. Darebák nepoužívá C4. Používá internet. Jeho cíl? Paralyzujte americkou infrastrukturu. McClane musí překazit kyberteroristické spiknutí a zachránit svou dceru, protože kolem něj kolabují digitální systémy.
Tohle je hollywoodský trhák. Pro každého, kdo má svůj bankovní účet online, to ale vyvolává znepokojivou otázku: Mohl by koordinovaný kybernetický útok způsobit skutečnou ekonomickou nebo fyzickou újmu ve Spojených státech?
Zdá se, že odpověď je ano. Kybernetická bezpečnost již není jen záležitostí IT oddělení. Média a vládní představitelé ji nyní řadí vedle terorismu, šíření jaderných zbraní a změny klimatu za jednu z největších hrozeb pro národní stabilitu. Proč? Protože všechno spolu souvisí. Obchodní sítě, vládní databáze, soukromé účty. Všechny jsou propojené. A spojení je zranitelnost.
Krajina ohrožení se změnila. Hackeři už nejsou ve sklepích sami. Jsou organizovaní. Pracují v sítích. Černé trhy prosperují online, obchodují s ukradenými daty a nelegálním softwarem. „Karty“ hromadně prodávají informace o kreditních kartách. Phishingové útoky jsou stále sofistikovanější. Malware – viry, trojské koně, červi – je větší odvětví než celý sektor počítačové bezpečnosti dohromady. Tito aktéři jsou globální. Mnozí působí ze zemí, jako je Rumunsko, kde se vysokorychlostní internet snoubí s laxním vymáháním práva.
To není jen krádež. To je otázka moci.
Nedávné zprávy britské vlády zdůrazňují, že zahraniční zpravodajské agentury – potenciálně z Číny, Severní Koreje a bývalých sovětských států – se nabourávají do britských systémů. Motiv? Ekonomická špionáž. Cílem je narušit ekonomiky konkurentů krádeží obchodních tajemství a průmyslových dat a následným předáním těchto informací vládě nebo spřáteleným společnostem. Mezi taktiky patří cílení na klíčové zaměstnance virovými e-maily, infikovanými USB disky nebo kompromitovanými CD.
Vlády se probouzejí. EU, G8 a další orgány vytvořily pracovní skupiny pro boj s kyberkriminalitou. FBI provozuje InfraGard a sdílí zpravodajské informace s místními donucovacími orgány. Británie si je nebezpečí vědoma. A co USA?
Abyste pochopili rozsah hrozby, podívejte se na Estonsko.
Kybernetický útok na Estonsko
V roce 2007 čelilo Estonsko jednomu z prvních velkých vládních kybernetických útoků v historii. Nejednalo se o fyzickou invazi. Bylo to digitální obležení.
Jiskry, které zažehly první velký kybernetický konflikt, nepocházely od tajemného státního aktéra v temné komoře. Přišli ze sochy.
- dubna 2007 učinila estonská vláda pragmatické, ale výbušné rozhodnutí. Bronzový voják, památník druhé světové války ze sovětské éry, přemístil z rušného náměstí v centru Tallinnu na vojenský hřbitov na okraji města. Tento krok měl zmírnit napětí v zemi, kde asi osmina obyvatel mluví rusky. Hnutí však vyvolalo explozi jiného druhu.
V ulicích vypukly protesty. Ale co je důležitější, vybuchly na internetu.
Anatomie DDoS útoku
V průběhu několika týdnů byla estonská digitální infrastruktura vystavena neustálým útokům. Hlavní zbraní byly distribuované útoky odmítnutí služby (DDoS).
Hackeři nepotřebovali složitá zadní vrátka ani sofistikované exploity. Jediné, co potřebovali, byl objem. Pomocí stovek a někdy i tisíců kompromitovaných „zombie“ počítačů – strojů infikovaných malwarem a ovládaných na dálku – bombardovali estonské webové stránky tisíci žádostí za sekundu.
Výsledkem byla digitální dopravní zácpa po celé zemi. Legitimní uživatelé neměli přístup ke zdrojům. Vládní portály, bankovní weby a zpravodajské zdroje se staly nedostupnými nebo fungovaly bolestně pomalu. Útoky nebyly jen nepříjemné; byly destabilizující.
Kdo skutečně stál za kybernetickou válkou?
Bezprostředně poté začala hra o předávání peněz. Ruská vláda násilně protestovala a hrozila odvetou. Mnoho západních novinářů, dychtivých po novém příběhu, to prohlásilo za začátek „kybernetické války“, což znamená přímou účast Kremlu.
Realita se ukázala být více matoucí. Rozvědka následně uvedla, že ruský stát útoky přímo neorganizoval ani neprováděl. Místo toho byl hněv živen kombinací nacionalistického sentimentu a oportunistického hackerství. Rozhořčení ruští občané, živení vládní rétorikou a skutečným hněvem nad odstraněním sochy, zahájili vlastní útoky.
Estonská vláda tuto zkušenost označila za podobnou teroristickému útoku. Na tomto rozdílu záleželo. Teroristický útok je osobní, chaotický a psychologický. Státem podporovaná válka je strategická a koordinovaná. Události roku 2007 zapadly kamsi do šedé zóny, což dokazuje, že nestátní aktéři mohou mít významnou destabilizační sílu.
Cena destabilizace
Rozsah estonských útoků byl skromný ve srovnání s dnešními mega-DDoS incidenty, které mohou generovat terabity provozu. Ale jejich dopad byl hluboký.
Estonsko o data nepřišlo. Jeho kritická infrastruktura nebyla zničena. Náklady však byly vysoké z hlediska času a zdrojů. Vláda musela přesměrovat značné lidské zdroje, aby bojovala s útoky, obnovila svou pověst a uklidnila otřesenou ekonomiku. To odhalilo krutou pravdu: moderní společnosti jsou křehké, když jsou jejich služby digitalizovány.
Nebylo to poprvé, co se politické napětí přelilo do kyberprostoru. Indičtí a pákistánští hackeři již dlouho vedli kampaně vzájemných DDoS útoků a šíření virů. Izraelské a palestinské skupiny si vzájemně ničí webové stránky už léta.
Estonský případ byl ale ojedinělý. Nebyla to krátká potyčka. Bylo to staletí trvající obléhání, které spotřebovalo pozornost celé vlády a přitáhlo mezinárodní pozornost. Ukázal světu, že malou, vysoce propojenou zemi může srazit na kolena roj rozzuřených klávesnic.
Jak by si Spojené státy poradily?
Estonsko, jeden z nejvíce zapojených národů na světě, dokázalo bouři přečkat. Došlo k ekonomickému napětí. Došlo k dezorganizaci vlády. K žádnému dlouhodobému kolapsu ale nedošlo.
Klíčovou otázkou tehdy a nyní je, jak by Spojené státy podobný scénář řešily. Spojené státy jsou mnohem komplexnější, hluboce propojené a silně závislé na infrastruktuře soukromého sektoru při poskytování kritických služeb, jako je energetika, finance a zdravotní péče.
Pokud cílený útok distribuovaného odmítnutí služby (DDoS) zasáhne americké banky, energetické sítě nebo
Jaro 2007 přineslo do Washingtonu nepříjemný soud. Během slyšení 19. dubna Kongresový podvýbor pro nově vznikající hrozby, kybernetickou bezpečnost, vědu a technologii slyšel, že systémy na ministerstvech obchodu a zahraničních věcí USA byly hacknuty již v roce 2006. Tím ale škody neskončily. Scott Sharbaugh, hlavní informační důstojník ministerstva vnitřní bezpečnosti (DHS), čelí hrozbě propuštění. Jeho funkční období bylo poznamenáno 844 bezpečnostními incidenty zaznamenanými jen v letech 2005 a 2006.
Nešlo o drobné závady. Jednalo se o systémové poruchy. Šifrované e-maily byly směrovány přes nezabezpečené sítě. Osobní notebooky byly připojeny k vládní infrastruktuře. Netestovaný software byl nainstalován bez dozoru. Došlo k úniku šifrovaných dat. Viry se šířily. Firewally zůstaly otevřené. Ten rok DHS obdrželo ve své výroční zprávě o počítačové bezpečnosti známku „D“. To bylo zlepšení oproti neúspěšným známkám od roku 2003 do roku 2006, ale „D“ je stále neúspěšná známka. Celá federální vláda obdržela známku „C-“ oproti „D+“ o rok dříve. Propast mezi sliby a výsledky se prohloubila.
Reakce byla okamžitá. DHS vytvořilo novou pozici: náměstek ministra pro kybernetickou bezpečnost a telekomunikace, kterou obsadil Greg Garcia. To bylo přiznání, že stará struktura nefunguje. Dříve, v únoru 2006, se americká vláda pokusila simulovat nejhorší možný scénář. Při realizaci operace Cyber Storm** spolupracovali se 115 organizacemi z pěti zemí. Nešlo o stolní cvičení. Byla to rozsáhlá simulace zahrnující velké korporace, vládní agentury a bezpečnostní organizace.
Cílem bylo otestovat, co by se stalo, kdyby byly napadeny kritické vládní, obchodní a soukromé webové stránky. Výsledky byly chaotické. Hoaxové útoky způsobily výpadky elektřiny v deseti státech. Komerční software byl infikován viry. Sítě internetového bankovnictví jsou mimo provoz. Cvičení také prověřilo schopnost vlády vypořádat se s dezinformacemi, které by nevyhnutelně šířili špatní aktéři. Byl to zátěžový test, který odhalil značná zranitelnost ve způsobu, jakým digitální infrastruktura země odolává tlaku. Cyber Storm II byl plánován na rok 2008, což byl jasný signál, že první kolo odhalilo příliš mnoho trhlin.
Zatímco byrokracie zuřila, armáda už byla v první linii. Na letecké základně Barksdale v Louisianě pracovalo 25 000 zaměstnanců na elektronickém boji, zabezpečení sítě a ochraně národní internetové infrastruktury. Nečekali na povolení obávat se o budoucnost. Oni to postavili. Pokud někdy USA budou čelit velkému kybernetickému útoku, tyto skupiny spolu se zpravodajskými agenturami a ministerstvem obrany zareagují jako první.
Ústředním prvkem této obrany je US-CERT (Computer Emergency Readiness Command ve Spojených státech). Byla vytvořena v roce 2003 a její mandát je specifický: chránit internetovou infrastrukturu a odrážet kybernetické útoky. Slouží jako ústřední bod, oči a uši vládních snah o kybernetickou obranu. Architektura byla vytvořena. Hráči byli identifikováni. Otázkou zůstává, zda jsou stěny dostatečně vysoké, než přijde další bouřka.
Spojené státy mají i nadále významnou zranitelnost ve své digitální infrastruktuře, a to i přes pokračující snahy o odstranění těchto mezer. Ale vede tato křehkost k chaosu ve stylu Die Hard? Vlastně ne. Neexistuje žádný záznam o tom, že by někdo zemřel v důsledku kybernetického útoku. Nikdo nezemřel, když se estonské sítě dostaly pod masivní útok, a nikdo nikdy nezemřel kvůli kompromitaci počítače.
Teroristické skupiny hovoří o zahájení online útoků, ale skutečnou hrozbou není ideologická destrukce. Tohle jsou peníze. Zločinecké gangy vymáhají peníze z firem. Zlí hackeři o sobě chtějí dát vědět. Toto je skutečná krajina.
Proč kybernetické útoky nevedou k masovým obětem
Lepší bezpečnostní protokoly, redundantní systémy, monitorovací software a lidský dohled prakticky znemožňují, aby kybernetické útoky způsobily rozsáhlé fyzické škody. Nebo dokonce izolované oběti. Vojenské systémy jsou zvláště chráněny. Jedenáctileté dítě z Pekingu neodpaluje mezikontinentální balistické střely. Jaderné zbraně, stejně jako mnoho jiných kritických nebo utajovaných systémů, nejsou vůbec připojeny k internetu.
Estonsko prokázalo, že hospodářské škody jsou skutečné. Pokud hackeři přeruší napájení nebo infiltrují velkou banku nebo akciový trh, bolest bude okamžitá. V mnoha případech je však pro hackera mnohem snazší získat přístup k systému nebo síti, než způsobit skutečnou škodu, když je uvnitř. Navíc dostupnost dobře vyškoleného lidského personálu a proprietárních systémů na elektrárnách a dalších kriticky důležitých systémech znamená, že jakékoli problémy lze rychle vyřešit.
Hlavními kyberbezpečnostními hrozbami jsou i nadále červi, viry, trojské koně a zneužívání bezpečnostních zranitelností, které soukromému sektoru každoročně způsobují ztráty v miliardách dolarů.
Byly někdy USA napadeny?
Na tuto otázku neexistuje jednoznačná odpověď, protože USA byly v průběhu let vystaveny různým typům hackerských útoků. Mezi nejpozoruhodnější útoky patří hack Office of Personnel Management z roku 2015, který vedl ke krádeži více než 21 milionů osobních záznamů, a hack Sony Pictures z roku 2014, který měl za následek odhalení více než 100 milionů záznamů zákazníků.
Další články a zdroje
Pokud se chcete hlouběji ponořit do toho, jak tyto systémy fungují a proč selhávají, podívejte se na následující témata:
- Jak funguje internetová infrastruktura
- Jak fungují webové servery
- Jak funguje phishing
- Jak funguje spam
- Jak fungují počítačové viry
- Jak funguje krádež identity
- Jak fungují firewally
- Jak funguje šifrování
- Jak fungují biometrické systémy
Další informace o zabezpečení internetu a dalších souvisejících tématech získáte pomocí odkazů na další stránce.
Další užitečné odkazy
- Hackerské útoky – bezpečnostní zrcadlo blogu
- Hlášení počítačového hackování, podvodů a dalších trestných činů souvisejících s internetem
– Tým pro počítačovou pohotovost v USA (US-CERT)
