Bruce Willis zwaait terug als John McClane in Live Free or Die Hard, maar deze keer draait het niet alleen om het opblazen van gebouwen. De slechterik gebruikt C4 niet. Hij gebruikt internet. Zijn doel? Om de Amerikaanse infrastructuur te verlammen. McClane moet een cyberterroristisch complot tegenhouden en zijn dochter redden, terwijl de digitale systemen om hem heen instorten.
Het is een Hollywood-kaskraker. Maar het roept een huiveringwekkende vraag op voor iedereen die zijn bankrekening online houdt: kan een gecoördineerde cyberaanval echte economische of fysieke verwoesting veroorzaken in de Verenigde Staten?
Het antwoord lijkt ja te zijn. Cyberbeveiliging is niet langer alleen een probleem van de IT-afdeling. Mediakanalen en overheidsfunctionarissen beschouwen het nu naast terrorisme, nucleaire proliferatie en klimaatverandering als een primaire bedreiging voor de nationale stabiliteit. Waarom? Omdat alles is aangesloten. Commerciële netwerken, overheidsdatabases, privéaccounts. Ze zijn allemaal verbonden. En verbinding is een kwetsbaarheid.
Het dreigingslandschap is veranderd. Hackers zijn geen eenzame wolven meer in kelders. Ze zijn georganiseerd. Ze werken in netwerken. Zwarte markten floreren online en handelen in gestolen gegevens en illegale software. “Carders” verkopen creditcardgegevens in bulk. Phishing-fraude is geavanceerder. Malware (virussen, Trojaanse paarden, wormen) is een grotere industrie dan de hele computerbeveiligingssector samen. Deze actoren zijn mondiaal. Velen opereren vanuit landen als Roemenië, waar snel internet en lakse wetshandhaving samenkomen.
Dit gaat niet alleen over diefstal. Het gaat over macht.
Recente rapporten van de Britse regering benadrukken dat buitenlandse inlichtingendiensten – mogelijk uit China, Noord-Korea en voormalige Sovjetstaten – Britse systemen hacken. Het motief? Economische spionage. Het doel is om rivaliserende economieën te ondermijnen door bedrijfsgeheimen en industriële gegevens te stelen en die informatie vervolgens door te geven aan staatsbedrijven of bevriende bedrijven. Tot de tactieken behoren onder meer het targeten van belangrijke medewerkers met met virussen beladen e-mails, geïnfecteerde USB-drives of gecompromitteerde cd’s.
Regeringen worden wakker. De EU, de G8 en andere instanties hebben taskforces voor cybercriminaliteit gevormd. De FBI beheert InfraGard en deelt informatie met de lokale wetshandhavingsinstanties. Groot-Brittannië ziet het gevaar. Maar hoe zit het met de VS?
Om de omvang van de dreiging te begrijpen, kijk naar Estland.
De cyberaanval in Estland
In 2007 werd Estland geconfronteerd met een van de eerste grote, door de staat gesponsorde cyberaanvallen in de geschiedenis. Het was geen fysieke invasie. Het was een digitale belegering.
De vonken die het eerste grote cyberconflict deden ontbranden kwamen niet van een schimmige staatsacteur in een donkere kamer. Ze kwamen uit een standbeeld.
Op 27 april 2007 nam de Estse regering een pragmatisch maar onstabiel besluit. Ze verplaatsten de Bronzen Soldaat, een monument uit de Tweede Wereldoorlog uit het Sovjettijdperk, van een druk plein in het centrum van Tallinn naar een militaire begraafplaats aan de rand van de stad. De stap was bedoeld om de spanningen te verminderen in een land waar ongeveer een achtste van de bevolking Russisch spreekt. Maar de verhuizing veroorzaakte een ander soort explosie.
Op de grond braken protesten uit. Wat nog belangrijker is, ze zijn online uitgebroken.
De anatomie van een DDoS-aanval
Binnen enkele weken werd de digitale infrastructuur van Estland voortdurend aangevallen. Het voornaamste wapen waren distributed denial of service (DDoS) -aanvallen.
Hackers hadden geen geavanceerde achterdeurtjes of complexe exploits nodig. Ze hadden gewoon volume nodig. Met behulp van honderden, soms duizenden, gecompromitteerde ‘zombiecomputers’ – machines die waren geïnfecteerd met malware en op afstand werden bestuurd – bombardeerden ze Estse websites met duizenden verzoeken per seconde.
Het resultaat was een verkeersopstopping van digitale proporties. legitieme gebruikers konden er niet doorheen komen. Overheidsportalen, bankenites en nieuwskanalen gingen uit of werden pijnlijk traag. De aanvallen waren niet alleen vervelend; ze waren storend.
Wie zat er werkelijk achter de cyberoorlog?
In de onmiddellijke nasleep begon het schuldspel. De Russische regering protesteerde woedend en dreigde met vergelding. Veel westerse experts, verlangend naar een nieuw verhaal, verklaarden dat dit het begin was van een ‘cyberoorlog’, wat een directe hand van het Kremlin impliceerde.
De werkelijkheid was rommeliger. De inlichtingendiensten suggereerden uiteindelijk dat de Russische staat de aanslagen niet rechtstreeks had georganiseerd of uitgevoerd. In plaats daarvan werd de woede aangewakkerd door een combinatie van nationalistisch sentiment en opportunistisch hacken. Verontwaardigde Russische burgers, aangewakkerd door staatsretoriek en oprechte woede over de verwijdering van het standbeeld, lanceerden de aanvallen zelf.
De Estse regering beschreef de ervaring als een terroristische aanslag. Het onderscheid was belangrijk. Een terroristische aanslag is persoonlijk, chaotisch en psychologisch. Een door de staat gesponsorde oorlog is strategisch en gecoördineerd. De gebeurtenissen van 2007 vielen ergens in de grijze zone, wat aantoonde dat niet-statelijke actoren een aanzienlijke ontwrichtende macht konden uitoefenen.
De kosten van verstoring
De omvang van de aanvallen in Estland was bescheiden vergeleken met de huidige mega-DDoS-incidenten, die terabits aan verkeer kunnen genereren. Maar hun impact was diepgaand.
Estland verloor geen gegevens. De kritieke infrastructuur werd niet vernietigd. De kosten waren echter hoog in termen van tijd en middelen. De regering moest aanzienlijke mankracht inzetten om de aanslagen te bestrijden, reputatieschade te herstellen en een geschokte economie gerust te stellen. Het legde een harde waarheid bloot: moderne samenlevingen zijn kwetsbaar als hun diensten worden gedigitaliseerd.
Dit was niet de eerste keer dat politieke spanningen in cyberspace terechtkwamen. Indiase en Pakistaanse hackers zijn al lang bezig met tit-for-tat DDoS-campagnes en virusuitbraken. Israëlische en Palestijnse groepen hebben jarenlang elkaars websites beklad.
Maar het Estse geval was uniek. Het was geen korte schermutseling. Het was een wekenlange belegering die de aandacht van de hele regering opeiste en de aandacht trok van de internationale gemeenschap. Het liet de wereld zien dat een kleine, sterk verbonden natie op de knieën kon worden gebracht door een zwerm boze toetsenborden.
Hoe het de Verenigde Staten zou vergaan
Estland, een van de meest ‘bekabelde’ landen ter wereld, slaagde erin de storm te doorstaan. Er was economische wrijving. Er was sprake van staatsverstoring. Maar er was geen sprake van een langdurige ineenstorting.
De cruciale vraag, toen en nu, is hoe de Verenigde Staten met een soortgelijk scenario zouden omgaan. De VS zijn veel complexer, nauwer met elkaar verbonden en sterk afhankelijk van de infrastructuur van de particuliere sector voor essentiële diensten als energie, financiën en gezondheidszorg.
Als een gerichte distributed denial of service (DDoS) -campagne Amerikaanse banken, elektriciteitsnetwerken of
Het voorjaar van 2007 bracht Washington een ongemakkelijke afrekening. Tijdens een hoorzitting op 19 april hoorde de Subcommissie van het Congres voor opkomende bedreigingen, cyberveiligheid, wetenschap en technologie dat in 2006 systemen bij de ministeries van Handel en Buitenlandse Zaken waren gehackt. Maar daar hield de schade niet op. Scott Charbo, de Chief Information Officer bij het Department of Homeland Security, werd mogelijk ontslagen. Zijn ambtstermijn werd ontsierd door 844 veiligheidsgerelateerde incidenten die alleen al in 2005 en 2006 werden gedocumenteerd.
Dit waren geen kleine foutjes. Het waren systeemfouten. Geclassificeerde e-mails werden via onbeveiligde netwerken gerouteerd. Persoonlijke laptops werden aangesloten op de overheidsinfrastructuur. Er is zonder toezicht niet-goedgekeurde software geïnstalleerd. Er zijn geheime gegevens gelekt. Virussen verspreiden zich. Firewalls stonden open. Het DHS ontving dat jaar een “D” op zijn jaarlijkse computerbeveiligingsrapport. Het was een verbetering ten opzichte van de onvoldoende cijfers van 2003 tot en met 2006, maar een “D” is nog steeds een onvoldoende. De hele federale overheid scoorde een C-min, vergeleken met een D-plus het jaar daarvoor. De kloof tussen belofte en prestatie werd groter.
De reactie was onmiddellijk. Het DHS creëerde een nieuwe rol: adjunct-secretaris voor cyberbeveiliging en telecommunicatie, gevuld door Greg Garcia. Dit was een erkenning dat de oude structuur niet werkte. Eerder, in februari 2006, had de Amerikaanse regering geprobeerd het worstcasescenario te simuleren. In samenwerking met 115 entiteiten in vijf landen voerden ze Cyber Storm uit. Dit was geen tafeloefening. Het was een grootschalige simulatie waarbij grote bedrijven, overheidsinstanties en veiligheidsorganisaties betrokken waren.
Het doel was om te testen wat er zou gebeuren als kritische overheids-, bedrijfs- en particuliere websites zouden worden aangevallen. De resultaten waren chaotisch. De nepaanvallen veroorzaakten stroomuitval in tien staten. Commerciële software was besmet met virussen. Netwerken voor online bankieren faalden. De oefening testte ook het vermogen van de regering om om te gaan met de desinformatie die aanvallers onvermijdelijk zouden verspreiden. Het was een stresstest die aanzienlijke kwetsbaarheden aan het licht bracht in de manier waarop de digitale infrastructuur van het land onder druk bij elkaar bleef. Cyber Storm II stond gepland voor 2008, een duidelijk signaal dat de eerste ronde te veel scheuren had blootgelegd.
Terwijl de bureaucratie in rep en roer was, bevond het leger zich al in de frontlinie. Op de luchtmachtbasis Barksdale in Louisiana werkten 25.000 man aan elektronische oorlogsvoering, netwerkbeveiliging en de verdediging van de internetinfrastructuur van het land. Ze wachtten niet op toestemming om zich zorgen te maken over de toekomst. Ze waren het aan het bouwen. Als de VS ooit te maken zouden krijgen met een grootschalige cyberaanval, zouden deze groepen, samen met de inlichtingendiensten en het ministerie van Defensie, de eerstehulpverleners zijn.
Centraal in deze verdediging staat US-CERT, het Computer Emergency Readiness Team van de Verenigde Staten. Het in 2003 opgerichte mandaat is specifiek: het beschermen van de internetinfrastructuur en het verdedigen tegen cyberaanvallen. Het fungeert als het knooppunt voor coördinatie en als de ogen en oren van de cyberdefensiepositie van de overheid. De architectuur is op zijn plaats. De spelers zijn geïdentificeerd. De vraag blijft of de muren hoog genoeg zijn voordat de volgende storm losbarst.
De Verenigde Staten hebben nog steeds grote kwetsbaarheden in hun digitale ruggengraat, ondanks niet-aflatende pogingen om de gaten te dichten. Maar leidt deze kwetsbaarheid tot chaos in Die Hard -stijl? Niet echt. Er zijn geen gegevens dat er iemand omkomt door een cyberaanval. Er is niemand omgekomen toen de netwerken van Estland werden gehackt, en er is nog nooit iemand om het leven gekomen doordat een computer werd gecompromitteerd.
Terroristische groeperingen praten over het lanceren van internetaanvallen, maar de echte dreiging is niet ideologische vernietiging. Het is geld. Criminele bendes persen bedrijven af. Boze hackers willen een statement maken. Dat is het werkelijke landschap.
Waarom cyberaanvallen geen massale slachtoffers veroorzaken
Betere beveiligingsprotocollen, redundante systemen, monitoringsoftware en menselijk toezicht maken het voor cyberaanvallen vrijwel onmogelijk om grootschalige fysieke slachtoffers te maken. Of zelfs maar één. Militaire systemen zijn bijzonder veilig. Een 11-jarige in Beijing lanceert geen ICBM’s. Kernwapens zijn, net als veel andere kritieke of geheime systemen, niet eens verbonden met het internet.
Estland heeft bewezen dat de economische schade reëel is. Als hackers de stroomvoorziening afsluiten of een grote bank of de aandelenmarkt infiltreren, is de pijn onmiddellijk. Maar in veel gevallen is het voor een hacker veel gemakkelijker om toegang te krijgen tot een systeem of netwerk dan om daadwerkelijke schade aan te richten terwijl hij zich binnenin bevindt. Bovendien zorgt de aanwezigheid van goed opgeleid personeel en bedrijfseigen systemen bij nutsvoorzieningen en andere vitale systemen ervoor dat eventuele problemen snel kunnen worden opgelost.
De belangrijkste gevaren voor de cyberveiligheid blijven bestaan in de vorm van wormen, virussen, Trojaanse paardenprogramma’s en de exploitatie van beveiligingsfouten, die allemaal elk jaar miljarden dollars aan verliezen blijven veroorzaken voor de particuliere industrie.
Zijn de VS ooit gehackt?
Er is geen eenduidig antwoord op deze vraag, aangezien de Verenigde Staten door de jaren heen het slachtoffer zijn geweest van veel verschillende soorten hackaanvallen. Enkele van de meest opvallende aanvallen zijn de Office of Personnel Management-hack in 2015, die resulteerde in de diefstal van meer dan 21 miljoen persoonlijke gegevens, en de Sony Pictures-hack in 2014, die meer dan 100 miljoen klantgegevens blootlegde.
Gerelateerde artikelen en bronnen
Als je dieper wilt ingaan op de manier waarop deze systemen werken en falen, bekijk dan de volgende onderwerpen:
- Hoe internetinfrastructuur werkt
- Hoe webservers werken
- Hoe phishing werkt
- Hoe spam werkt
- Hoe computervirussen werken
- Hoe identiteitsdiefstal werkt
- Hoe firewalls werken
- Hoe codering werkt
- Hoe biometrie werkt
Voor meer informatie over internetbeveiliging en andere gerelateerde onderwerpen kunt u de links op de volgende pagina raadplegen.
Nog meer geweldige links
- Aanvallen van hackers – Mirroring Security Blog
- Het melden van computerhacking, fraude en andere internetgerelateerde misdaden
- Computer Emergency Readiness-team van de Verenigde Staten
