Глава 5 Оборонительная стратегия
Глава 5
Оборонительная стратегия
Военные теоретики и государственные деятели, начиная с Сунь Цзы и заканчивая фон Клаузевицем и Германом Каном, на протяжении столетий определяли и переопределяли военную стратегию по-разному, но, как правило, соглашались в одном—она включает в себя цели, средства (широко трактуемые), ограничения (иногда устанавливаемые) и, возможно, последовательность действий. Короче говоря, военная стратегия — это комплексная теория о том, что мы хотим делать и как. Отчасти по требованию конгресса Соединенных Штатов периодически открыто публиковали Стратегию национальной безопасности и Национальную военную стратегию. Вооруженные силы США имеют множество субстратегий, в числе которых можно упомянуть морскую стратегию, стратегию подавления восстаний, ядерную стратегию. Американское правительство публикует стратегии, которые связаны с военными опосредованно, — это стратегии контроля за нелегальным оборотом наркотиков, борьба с терроризмом и распространением оружия массового поражения. Ах, да, еще есть Национальная стратегия по безопасности киберпространства, появившаяся в 2003 году, но только она недоступна общественности. Поскольку у нас нет стратегии кибервойны, нет у нас и комплексной теории о том, как решать ее важнейшие задачи. Чтобы доказать это, давайте перечислим двадцать вопросов и посмотрим, найдутся ли ответы даже на самые очевидные из них.
— Что мы будем делать, если обнаружим, что в результате кибератаки вся западная часть Соединенных Штатов осталась без электричества?
— Наступление кибервойны для нас выгодно или оно ставит нас в неблагоприятные условия?
— Намерены ли мы использовать кибероружие только в ответ на его применение против нас?
— Будем ли мы прибегать к кибероружию в малых и больших конфликтах? Станем ли мы использовать его на ранних этапах, поскольку оно дает нам исключительные преимущества в достижении наших целей — позволяет, к примеру, быстро завершить конфликт?
— Нужны ли нам планы и возможности ведения «автономной» кибервойны против другого государства? Будем ли мы сражаться в киберпространстве, когда не ведем боевых действий в реальном мире?
— Считаем ли мы киберпространство местом (наряду с морем, воздушным пространством или космосом), где мы должны иметь военное превосходство и в котором будем проводить военные операции одновременно с действиями в других сферах?
— Насколько верно мы должны идентифицировать, кто атаковал нас в киберпространстве, прежде чем реагировать? Какие стандарты мы будем использовать для идентификации нападающих?
— Будем ли мы скрывать, что провели кибератаку?
— Станем ли мы в мирное время внедряться в сети других государств? Если да, должны ли существовать какие-либо ограничения?
— Как мы будем действовать, если обнаружим, что другие страны проникли в наши сети в мирное время? А что, если они оставят логические бомбы в сетях нашей инфраструктуры?
— Намерены ли мы использовать кибероружие в основном против военных объектов? Что мы вкладываем в понятие «военные объекты»?
— Насколько важно избегать сопутствующих потерь, используя кибероружие? Как может такой подход ограничить применение кибероружия?
— Если мы подверглись кибератаке, при каких обстоятельствах мы можем или должны применять в ответ наступательное вооружение? Должен ли ответ на этот вопрос быть заранее известен?
— Каких целей мы хотим достичь с помощью кибероружия в рамках кибервойны или в сочетании с военными действиями?
— Нужна ли точная граница между миром и кибервойной или в наших интересах размыть эту линию?
— Станем ли мы участвовать в кибервойне в союзе с другими странами, помогая защищать их киберпространство и делясь кибероружием, тактикой, целями?
— На каком уровне должны приниматься окончательные решения по вопросам использования кибероружия, его выбора, утверждения целей?
— Есть ли определенные типы целей, которые, по нашему мнению, нельзя атаковать с помощью кибероружия? Станем ли мы все. же атаковать, если аналогичные американские объекты подвергнутся атаке кибероружием?
— Как мы будем объявлять о наших намерениях относительно использования кибероружия в мирное время и в эпоху кризиса? Существуют ли способы использовать кибер-оружие для устрашения противника?
— Если противник успешно проводит широкое наступление на наши военные объекты или экономическую инфраструктуру, как это должно влиять на наши военные и политические стратегии?
Можно ли найти ответы на эти вопросы в официальных документах, протоколах заседаний конгресса, правительственных выступлениях? Мне не удалось. Справедливости ради стоит сказать, что это непростые вопросы, чем отчасти и объясняется, почему они до сих пор не переросли в стратегию. Ответы на них зависят от опыта отвечающего, меры его ответственности, а также от вытекающих из этих факторов последствий. Любой генерал хотел бы иметь возможность щелкнуть тумблером и отключить силы противника, особенно если знает, что тот не сможет ответить. Современные генералы, однако же, знают, что вооруженные силы — это один из многих инструментов государства, и об успехе военных судят не по тому, какой урон они нанесли противнику, а по тому, как они сумели защитить и поддержать всю остальную страну, включая ее фундамент — экономику. Военные и дипломаты уяснили из опыта прошлых лет, что существует тонкая грань между заблаговременной подготовкой к обороне и провокационными действиями, которые могут повысить вероятность конфликта. Таким образом, создать кибервоенную стратегию не значит воспользоваться новым типом оружия, как сделали американские военные, сбросив ядерную бомбу на Хиросиму.
После Хиросимы потребовалось полтора десятилетия для того, чтобы разработать и принять комплексную стратегию применения, а точнее — неприменения ядерного оружия. В первые годы атомной эпохи несколько раз едва не начиналась война. Ядерная стратегия, которая в конце концов была принята, существенно снизила этот риск. В данной главе мы не раз будем возвращаться к ядерной стратегии. Огромная разница между ядерным и кибероружием очевидна, но некоторые концепции, найденные в ходе разработки ядерной стратегии, применимы и сейчас, другие — нет. Тем не менее, рассматривая события 1950–1960-х годов, мы кое-что узнаем о том, как можно разрабатывать комплексную стратегию использования нового типа оружия. Кроме того, некоторые концепции мы можем взять и адаптировать для систематизации кибер-военой стратегии.
Роль обороны в нашей стратегии кивервойны
В начале книги я спросил, что для нас лучше — мир с кибер-оружием и кибер-войной или идеальная вселенная, в которой подобного никогда не существовало? Последующие главы показали, по крайней мере мне, что в положении Соединенных Штатов появились новые уязвимые места по сравнению с другими странами, также обладающими кибер-потенциалом. На самом деле мы больше зависим от контролируемых компьютерами систем, но при этом до сих пор не сумели создать национальную кибер-оборону, а значит, более уязвимы в кибер-войне, чем Россия и Китай. Соединенные Штаты рискуют гораздо больше, чем Северная Корея, не имеющая такой тесной связи с Интернетом. Мы уязвимы перед странами и организациями, у которых отсутствует кибер-потенциал, но есть средства, чтобы нанять команду очень талантливых хакеров. А если проанализировать, к примеру, как могла бы развиваться кибер-война между США и Китаем? Наше наступательное кибер-оружие, возможно, лучше, но тот факт, что мы способны вывести из строя китайскую систему противовоздушной обороны, едва ли послужит утешением американцам, если вдруг Народно-освободительная армия оставит наши города без электричества на целые недели, закроет финансовые рынки, исказив их данные, создаст повсеместный дефицит, испортив логистические системы американских железных дорог. Несмотря на то что Китай — вполне передовая страна, немалая часть его инфраструктуры до сих пор не зависит от компьютерных сетей, контролируемых из кибер-пространства. Китайское правительство может меньше беспокоиться по поводу временных неудобств, которые могут выпасть на долю его граждан.
Сейчас кибервойна ставит Америку в невыгодное положение. Что бы мы ни сделали кому-то, скорее всего, нам навредят больше. Мы должны изменить эту ситуацию.
Пока мы не сократим уязвимые места в нашей киберобороне, будем вынуждены сдерживать самих себя. Мы знаем, что нам могут сделать другие, и поэтому запросто окажемся в такой ситуации, когда придется ограничивать себя даже в оправданном применении обычных вооружений. Кибероружие других стран будет удерживать нас от действий, и не только в киберпространстве. Останется ли у американского президента выбор послать авианосцы, чтобы предотвратить действия Китая, если обострятся разногласия последнего с соседними странами по поводу морских месторождений, или конфликт Китая с Тайванем? Станет ли президент отправлять флот в Тайваньский пролив, как сделал Клинтон в 1996 году, зная, что блэкаут в Чикаго — это сигнал о том, что электричество отключится по всей стране, если мы вмешаемся? Или что проблемы с данными на Чикагской товарной бирже — это пример того, что может произойти со всеми важнейшими финансовыми институтами? А что, если китайцы проведут кибератаку, после которой все авианосцы останутся болтаться в океане, как пустые консервные банки? Станет ли президент рисковать и разворачивать военно-морские силы лишь затем, чтобы противник продемонстрировал, что он способен остановить, ослепить, сбить с толку наши войска?
Тот факт, что наши важнейшие системы так уязвимы перед кибервойной, усиливает шаткость нашего положения. Пока экономические и военные системы Америки не защищены, у противников страны будет соблазн ее атаковать в периоды обострения разногласий. Наши оппоненты имеют основания думать, что у них есть возможность изменить политический, экономический и военный баланс, продемонстрировав миру, что они способны сделать с Америкой. Они могут полагать, что угроза большего вреда покажется вполне правдоподобной и помешает США предпринять ответные действия. Однако в случае кибератаки американским лидерам, скорее всего, придется реагировать. Этот отклик едва ли ограничится киберпространством, и конфликт может быстро обостриться и выйти из-под контроля.
Такое положение убеждает нас в необходимости принятия срочных мер по сокращению стратегического дисбаланса, вызванного уязвимостью США в возможной кибервойне. Для этого недостаточно только усилить наш наступательный киберпотенциал. Он едва ли устранит диспропорцию. В отличие от войны с применением обычных видов оружия, здесь превосходство в нападении не поможет обнаружить и разрушить наступательные мощности противника. Средства, способные нанести урон США, возможно, уже находятся на нашей территории. Они могли попасть сюда не только через киберпространство, но и по дипломатической почте, на CD-дисках или на USB-носителях, в портфелях бизнесменов. Что нам нужно, так это снизить риск того, что любое государство станет угрожать нам применением кибероружия, а для этого необходимо иметь надежную оборону. Мы должны заронить сомнения в умах потенциальных хакеров, чтобы они не пытались нас атаковать, осознавая мощь нашей обороны. Пусть потенциальные противники Соединенных Штатов думают, что их киберстрелы отскочат от наших щитов. Или, по меньшей мере, считают, что наши важнейшие системы достаточно защищены и ущерб, который они нанесут нам, не станет решающим. Но до этого еще далеко.
Оборона Соединенных Штатов от кибератак должна стать первой целью кибервоенной стратегии. В конце концов, первостепенная задача любой стратегии национальной безопасности США — это защита страны. Мы не развиваем оружие, направленное на расширение нашего господства на воде, в космосе, киберпространстве, а стремимся сберечь страну. На первый взгляд концепция довольно проста, но она постоянно усложняется, поскольку есть те, кто верит, что лучшая защита — нападение, уничтожение противника до того, как он успеет причинить нам вред.
Когда генерал Роберт Элдер возглавлял Киберкомандование ВВС, он как-то сказал журналистам, что хоть его подразделение и отвечает за оборону, оно планирует выводить из строя компьютерные сети противника. «Мы хотим начать атаку и нокаутировать их в первом раунде», — заявил он. Его высказывание напомнило слова другого генерала ВВС, Куртиса Лемэя, который в 1950-х руководил стратегическим авиакомандованием ВВС и объяснял аналитикам корпорации RAND,[13] что Советы не смогут уничтожить бомбардировщики на земле, поскольку «мы будем атаковать первыми».
Такие мысли опасны. Если у нас не будет надежной оборонной стратегии, нам придется вовлекаться в киберконфликты. Агрессивно захватывать системы противника, чтобы остановить атаку до того, как он успеет нанести удар по нашим незащищенным системам. Это будет дестабилизировать обстановку и заставит нас рассматривать потенциальных врагов как реальных. Кроме того, мы будем вынуждены занимать более жесткую позицию в попытках удержать противника от нападения на наши системы, запугивая военным ударом в ответ на кибератаку, а у наших оппонентов будет больше оснований думать, что мы блефуем.
Почему американские кибервоины полагают, что лучшая защита — нападение? Отчасти потому, что, по их ощущениям, защищать, обороняясь, очень сложно. Военные видят, насколько распределены находящиеся в киберпространстве потенциальные мишени, и у них опускаются руки при мысли об обороне. Кроме того, они указывают (это удобно), что американские вооруженные силы не имеют юридических полномочий защищать находящиеся в частном владении объекты — банки, энергодобывающие компании, железные дороги, авиапредприятия.
Такой же аргумент приводила администрация Буша после 11 сентября — слишком дорого оберегать страну от террористов, поэтому нам необходимо нанести удар по «первоисточнику». Из-за подобных суждений пришлось ввязаться в две войны за последние десять лет, которые обошлись нам в 2,4 триллиона долларов и стоили более пяти тысяч жизней американских солдат.
Не существует единой меры, которая позволила бы уберечь американское киберпространство. Однако мы можем предпринять ряд шагов, которые защитят наши ключевые объекты или, по меньшей мере, заронят зерна сомнения в умах возможных нападающих, что провести успешную масштабную атаку на Америку возможно.
Уберечь каждый компьютер в США от кибератаки нереально, но вполне возможно в достаточной мере защитить важнейшие сети — потенциальные мишени противника. Мы должны защитить их так, чтобы никакая атака не лишила нас возможности нанести ответный удар и не подорвала экономику. Даже если наша оборона несовершенна, укрепленные сети смогут выдержать натиск или достаточно быстро прийти в норму, так что атака не станет разрушительной. Если мы не можем защитить каждую важную систему, то что нам оборонять? Существует три ключевых элемента в американском киберпространстве, или, пользуясь терминологией из ядерной стратегии, триада, которую необходимо защищать.
Оборонительная триада
Стратегия оборонительной триады отличается от того, что делали Клинтон, Буш и теперь Обама. Клинтон в Национальном плане и Буш в Национальной стратегии полагали, что важнейшие инфраструктуры должны сами себя защищать от кибератаки. Были названы 18 инфраструктур, начиная от электроэнергетики и банковской системы и заканчивая продовольственным обеспечением и розничными продажами. Как уже отмечалось, все три президента, пытаясь сократить уязвимые места нашего киберпространства, «воздерживались от регулирования» и в итоге не многого добились. Буш в последний год своего восьмилетнего пребывания в должности президента одобрил подход, в котором в значительной степени игнорируются частные инфраструктуры. Он сконцентрировался на защите государственных систем и создании военного Киберкомандования. Обама реализовывает план Буша практически без изменений.
Федеральное регулирование — это главный инструмент обеспечения безопасности. Оно должно, по крайней мере на первоначальном этапе, сконцентрировать оборонительные усилия только на трех секторах.
Первое — это магистраль. Как отмечалось в третьей главе, существуют сотни интернет-провайдеров, но только пять крупнейших обеспечивают так называемую магистраль Интернета. В их число входят AT&T, Verizon, Level 3, Qwest и Sprint, непосредственно связанные с большинством других интернет-провайдеров страны. Эти компании владеют магистралями, оптоволоконными кабелями, которые оплетают всю страну, проникают в каждый уголок и соединяются с проложенными по морскому дну кабелями, которые связывают Америку со всем остальным миром. Более 90 % интернет-трафика США проходит по этим магистралям, и попасть в любое место страны, минуя их, практически невозможно. Таким образом, если вы защищаете магистральных интернет-провайдеров, вы заботитесь обо всем остальном киберпространстве.
Чтобы атаковать частные и государственные сети, вы должны связаться с ними по Интернету, пройдя на определенном этапе и по магистрали. Вы можете перехватить атаку на входе в магистраль и остановить ее до того, как она попала в сеть. Если это в ваших силах, вам не придется беспокоиться о том, как обезопасить десятки тысяч потенциальных мишеней кибератаки. Представьте: вы знаете, что кто-то из Нью-Джерси собирается подогнать заминированный грузовик к какому-то зданию на Манхэттене. У вас есть выбор: обеспечить оборону каждого важного здания на острове (определив, какие считаются важными) или проверять все грузовики при въезде на любой из 14 мостов и в каждый из четырех туннелей, ведущих на остров.
Проверка всего интернет-трафика до его попадания в магистраль поднимает две важные проблемы — техническую и этическую. Техническая проблема заключается в следующем: трафика много, и никто не хочет, чтобы скорость передачи падала, пока вы ищете вредоносное ПО или атакующие программы. Есть и этическая проблема — никто не хочет, чтобы его электронную почту читали или отслеживали историю посещения веб-страниц.
Техническую проблему позволяют решить уже имеющиеся технологии. Кажется, что по мере увеличения скорости все сложнее сканировать трафик без задержки, если технологии сканирования недостаточно совершенны. Однако несколько компаний продемонстрировали возможность сочетать аппаратное и программное обеспечение, способное сканировать потоки данных в Интернете — маленькие пакеты из единиц и нулей, которые образуют электронные письма или веб-страницы. Сканирование проходит так быстро, что практически не задерживает перемещение пакетов по оптоволоконной линии. При этом проверяются не только строки «куда» и «откуда» (так называемые заголовки), но и данные, в которых может находиться вредоносное ПО. Таким образом, мы можем без задержки проводить глубокое инспектирование пакетов, и технический барьер уже преодолен.
Решить этическую проблему тоже реально. Мы не хотим, чтобы правительство и интернет-провайдеры читали наши письма. Систему глубокого инспектирования пакетов, предлагаемую здесь, можно полностью автоматизировать. Она будет искать не ключевые слова, а определенные паттерны, соответствующие вредоносным программам. Это поиск сигнатур. Если система обнаружит атаку, она может просто отправить пакеты в «черную дыру» киберпространства, уничтожить или послать на карантин для последующего анализа.
Чтобы американцы не опасались, что за ними будет шпионить «Большой брат», глубокое инспектирование пакетов должны проводить интернет-провайдеры, а не государство. Более того, необходим жесткий контроль со стороны Комитета по защите частных и гражданских свобод, дабы ни интернет-провайдеры, ни власти не могли незаконно шпионить за нами.
Идея глубокого инспектирования пакетов не создает риска того, что власти начнут следить за нами, — этот риск уже существует. Как мы видели на примере незаконного перехвата сообщений в администрации Буша, если сдерживание и противовес ослабевают, власти получают возможность проводить незаконную слежку за гражданами. Это беспокоит многих, и беспокойство нужно предотвратить с помощью механизмов реального контроля и жесткого наказания тех, кто преступил закон. Наша вера в право на неприкосновенность частной жизни и гражданские свободы вполне совместима с мерами, которые требуются для защиты нашего киберпространства. Вооружая полицию, мы увеличиваем вероятность того, что некоторые полицейские в редких случаях сумеют использовать оружие неправомерно, но мы понимаем, что нам нужна вооруженная полиция, которая защищает нас, и проводим серьезную работу для предотвращения неправомерных действий со стороны ее сотрудников. Точно так же мы можем установить системы глубокого инспектирования пакетов на магистралях крупнейших интернет-провайдеров, осознавая, что эти системы нужны для нашей же безопасности, и принимая меры против злоупотребления ими.
Как установить такие системы? Системы глубокого инспектирования пакетов должны располагаться там, где оптоволоконные кабели поднимаются со дна океана и оказываются на территории Соединенных Штатов, в точках пиринга, где магистральные интернет-провайдеры связываются друг с другом и с более мелкими сетями, и на других узлах магистральных интернет-провайдеров. Платить за эти системы, наверное, придется федеральным властям, возможно, Министерству национальной безопасности, даже если работой будут руководить интернет-провайдеры и компании, занимающиеся системной интеграцией. Поставщиками сигнатур вредоносного ПО (которые должны разыскивать «черные ящики»-сканеры) станут такие компании, как Symantec и McAfee, которые занимаются компьютерной безопасностью. Интернет-провайдеры и правительственные организации также могут предоставлять сигнатуры.
Системы контроля типа «черного ящика» должны быть связаны друг с другом в закрытую сеть, так называемую внеполосную систему связи (вне Интернета), чтобы их данные можно было быстро и надежно обновлять, даже если возникли какие-то затруднения в Интернете. Представьте, что в киберпространство попадает новая вредоносная программа, с которой никто еще не сталкивался. Этот мэлвер начинает атаковать сайты. Между тем система глубокого инспектирования пакетов связана с компаниями, занимающимися интернет-безопасностью, исследовательскими центрами и правительственными организациями, которые занимаются поиском атак «нулевого дня». В течение нескольких минут, пока вредоносная программа видна, ее сигнатура передается на сканеры, которые начинают ее блокировать и сдерживают атаку.
Предшественник подобной системы уже существует. Крупнейшие телекоммуникационные компании Verizon и AT&T могут на некоторых участках отслеживать сигнатуры, которые прежде только идентифицировали, но не стремятся перенаправлять вредоносный трафик в «черную дыру» (то есть уничтожать), поскольку клиенты, обслуживание которых при этом будет прервано, могут подать в суд. Пожалуй, провайдеры выиграли бы такую тяжбу, поскольку в соглашении об уровне сервиса с клиентами обычно говорится, что они имеют право отказать в обслуживании, если деятельность клиента незаконна или наносит вред сети. И тем не менее в силу обычной юридической осторожности компании делают для защиты киберпространства меньше, чем могли бы. Вероятно, необходимы новые законы и регламенты для прояснения этого сложного вопроса.
Система «Эйнштейн» Министерства национальной безопасности, которую мы обсуждали в четвертой главе, установлена на некоторых участках сети, где правительственные учреждения соединяются с магистральными интернет-провайдерами. «Эйнштейн» контролирует только правительственные сети. У Министерства обороны имеется аналогичная система, использующаяся в 16 точках, где несекретная внутренняя сеть МО связана с общедоступным Интернетом.
Более совершенная система, с более высоким быстродействием, большей памятью, обрабатывающей способностью и с возможностью внеполосного соединения, может помочь минимизировать или пресечь масштабную кибератаку, если такую систему установить для защиты не только правительства, но и всей магистрали, от которой зависят все сети.
Защитив таким образом магистраль, мы сможем остановить большинство атак, направленных на системы госуправления и частного сектора. Независимая Федеральная комиссия по связи обладает полномочиями вводить правила, обязывающие магистральных интернет-провайдеров устанавливать такую систему защиты. Затраты крупные интернет-провайдеры могут переложить на пользователей и провайдеров меньшего масштаба, с которыми они сотрудничают. Или же конгресс должен выделить фонды для полного или частичного покрытия расходов. Пока власти только начинают двигаться в этом направлении, и то лишь для того, чтобы защитить себя, а не сети частного сектора, от которых зависит наша экономика, правительство и национальная безопасность.
От интернет-провайдеров следует потребовать, чтобы они прилагали большие усилия для сохранения чистоты кибернетической экосистемы. Эд Аморосо, глава безопасности компании AT&T, рассказывал мне, что их центр безопасности видит, когда компьютеры клиентов становятся частью ботяета, рассылающего DDoS-атаки и спам. Они знают, какие абоненты заражены, но не осмеливаются информировать их (а тем более отрубать доступ) из опасения, что пользователи перейдут к другому провайдеру или попытаются преследовать их в судебном порядке за вмешательство в личную жизнь. Это уравнение нужно перевернуть с головы на ноги. Интернет-провайдеров необходимо обязать информировать клиентов сети, когда те становятся частью ботнета. Интернет-провайдеры должны отключать доступ, если клиенты не реагируют на подобные предупреждения. От них следует потребовать предоставления бесплатных антивирусных программ для абонентов, как многие уже делают, чтобы повысить пропускную способность сети. Абонентов, в свою очередь, надо обязать использовать антивирусное ПО (предоставленное провайдером или любое другое на их выбор). Мы ведь не позволяем производителям автомобилей выпускать машины без ремней безопасности. Такая же логика нужна и с Интернетом, поскольку пренебрежение компьютерной безопасностью затрагивает проблему национальной безопасности.
Помимо глубокого инспектирования всех пакетов трафика с целью обнаружения вредоносного ПО и блокирования пакетов, которые запускали распознанные атаки, следует предпринять ряд дополнительных шагов для укрепления системы. Во-первых, затратив относительно немного времени и денег, можно разработать программное обеспечение для идентификации трансформированного мэлвера. Это позволит обнаруживать вариации известных сигнатур, которые могут использовать хакеры, чтобы проскочить глубокое инспектирование пакетов. Во-вторых, помимо магистральных интернет-провайдеров к поиску вредоносного ПО должны подключиться власти и крупные коммерческие структуры (например, банки), также заключив соглашения с центрами обработки и размещения данных. В нескольких крупных хостинговых центрах обработки данных, разбросанных по всей стране, сходятся оптоволоконные кабели крупнейших интернет-провайдеров и осуществляется коммутация. Здесь же находятся серверы некоторых крупных организаций, стоящие блестящими мерцающими рядами за ограждениями или скрытые в строго охраняемых помещениях. Операторы этих центров могут выявлять известное вредоносное ПО — это будет второй уровень защиты. Более того, операторы центров обработки данных или сотрудники фирм по обеспечению компьютерной безопасности могут просматривать данные. Центры имеют возможность предоставлять регулируемые услуги по обеспечению безопасности и отслеживать аномальную активность, причиной которой иногда являются необнаруженные вредоносные программы. В отличие от попыток блокировать мэлвер на входе регулируемые услуги позволяют отслеживать подозрительное поведение и аномальную активность пакетов данных. Тем самым увеличивается вероятность обнаружения более сложных двухэтапных атак и программ «нулевого дня». Эти вредоносные программы можно добавлять в список программ для блокировки. Поиски разумно проводить по тем адресам базы данных, куда проник новый мэлвер, тем самым позволяя системе останавливать крупномасштабную эксфильтрацию данных.
Платя интернет-провайдерам и поставщикам услуг по обеспечению безопасности за проверку данных, власти будут удалены от процесса, чтобы гарантировать прайвеси и поощрять конкурентную борьбу. Помимо оплаты власти должны предоставлять информацию о вредоносном ПО, мотивировать компании обнаруживать атаки, создать механизм, позволяющий гражданам быть уверенными, что их частная информация и гражданские свободы надежно защищены. В отличие от единственной линии защиты, применяемой властями (например, системы «Эйнштейн», созданной Министерством национальной безопасности для защиты гражданских федеральных ведомств), это будет многоуровневая система, работу которой обеспечивают несколько провайдеров, что гарантирует инновации и здоровую конкуренцию среди IT-компаний частного сектора. Если правительству станет известно о надвигающейся или начатой кибервойне, ряд федеральных сетевых операционных центров сможет взаимодействовать с частными IT-защитниками и сетевыми операционными центрами ключевых частных организаций и координировать оборону. Для этого властям придется создать специальную коммуникационную сеть, объединяющую сетевые операционные центры, — строго охраняемую, полностью изолированную и отделенную от Интернета (тот факт, что такая новая сеть понадобится, кое-что говорит об Интернете).
Второй элемент оборонительной триады — безопасность электросетей. Спросите себя, как электрораспределительная сеть может быть связана с киберпространством, — так проще всего понять эту идею. Без электричества многие вещи, от которых мы зависим, не работают вообще или работают недолго. Самое простое, что может сделать хакер, чтобы нанести серьезный удар по Соединенным Штатам, — отключить западную или восточную электросети, которые обеспечивают электроэнергией США и Канаду (в Техасе есть собственная сеть). Дублирующие энергетические системы территориально ограничены и печально знамениты тем, что не включаются, когда больше всего нужны. (Так произошло у меня дома буквально вчера, когда молния ударила по местной электростанции и свет в нашем городке отключился. Мой автоматический пусковой генератор просто не сработал.) Можно ли защитить крупнейшие североамериканские системы, состоящие из сотен компаний по производству и транспортировке электроэнергии?
Да, но не без дополнительного федерального регулирования. Первостепенной задачей такого регулирования должно стать отсоединение управляющей сети энергетических компаний от Интернета, а затем введение обязательной аутентификации для доступа в сеть. Это было бы не так дорого, но попробуйте предложить такую идею компаниям-производителям электроэнергии. Если их спросить, какие активы наиболее важны и требуют особых мер кибербезопасности, они ответят, что 95 % их ресурсов не требуют никакого регулирования. Один специалист по кибербезопасности, сотрудничающий с крупнейшими аудиторскими компаниями, рассказал, что задавал руководству каждой из них один и тот же вопрос: «Могли ли вы во время работы с электроэнергетическими компаниями получить доступ к элементам управления электрораспределительной сети через Интернет?» Все шесть компаний ответили утвердительно. Как много времени на это потребовалось? Не более часа. За этот час они успевали взломать веб-сайт компании, проникнуть в закрытую корпоративную сеть, а затем добраться до систем управления. Некоторые аудиторские фирмы сокращают это время, проникая в телефонную сеть, работающую по интернет-протоколам (телефония на базе IP). Телефоны такой сети обычно связаны с Интернетом. Если они располагаются в диспетчерских, то наверняка связаны и с сетью, которая управляет энергетической системой. Удобно, правда? Более того, кое-где команды компонентам электросети посылаются в незашифрованном виде по радиоканалу. Просто сядьте неподалеку, настройтесь на ту же частоту, и, если ваш сигнал сильнее, отдавайте команды (правда, нужно знать, какое для этого используется программное обеспечение). Федеральная комиссия по управлению энергетикой (FERC) грозилась, что с 2010 года начнет наказывать энергетические компании, киберсистемы которых небезопасны. Но только никто не сказал, как комиссия будет вычислять нарушителей, ведь в FERC нет персонала, способного проводить регулярные инспекции. Однако Министерство энергетики США наняло двух экспертов по кибербезопасности, чтобы те определили, достаточно ли защищены 3,4 миллиарда долларов, выделенные на программу «Умная сеть». «Умная сеть» — идея администрации Обамы сделать электросеть более интегрированной и оцифрованной. Электроэнергетические компании могут претендовать на часть этих денег, если согласны с предложениями Министерства энергетики. В этих предложениях в том числе есть раздел, посвященный кибербезопасности. Однако Министерство энергетики отказывается сообщать, о чем идет речь в этом разделе и кто эти эксперты. Общедоступных стандартов не существует. Если бы они были, налогоплательщики вряд ли согласились бы дать какую-либо часть этих 3,4 миллиона компаниям, не обеспечивающим безопасность своих систем. Но не ждите, что Министерство энергетики введет такие стандарты, ведь это бы означало воспользоваться этой уникальной федеральной подарочной программой и мотивировать людей работать над безопасностью. Такой намек на регулирование очень напоминает социализм, а это не по-американски. Итак, скоро у нас будет еще более «умная» сеть… и еще менее защищенная. Но как же сделать ее умной и защищенной?
Первым шагом в этом направлении могло бы стать принятие и введение серьезных регламентов для энергетических компаний, согласно которым неавторизированный доступ к сети управления энергосистемой стал бы практически невозможен. Для этого необходимо закрыть все входы в систему управления через Интернет. Кроме того, в точки, где системы управления соединяются с внутренней сетью энергетических компаний, необходимо установить модули глубокого инспектирования пакетов, которые я предлагал разместить на интернет-магистралях. Затем, чтобы еще больше усложнить задачу хакерам, можно потребовать, чтобы командные сигналы, которые поступают на генераторы, трансформаторы и другие ключевые компоненты энергосистемы, были зашифрованы и аутентифицированы. Шифровка сигналов означает, что даже если кто-то проникнет в сеть и попытается дать какую-либо инструкцию генератору, без секретного кода у него ничего не получится. Аутентификация команд подразумевает, что генератор или трансформатор проверяет сигнал с помощью процедуры установления подлинности с целью убедиться в том, что полученный сигнал исходит из надежного источника. Кроме того, на случай захвата части сети в ключевых секциях должна существовать система вспомогательной связи для отправления командных сигналов — это даст возможность при необходимости восстановить питание.
Многие недооценивают опасность атаки на энергосистему. Как сказал мне один чиновник, «отключение электричества происходит часто, но через несколько часов все восстанавливается». Однако так может быть не всегда. Электроснабжение восстанавливается через несколько часов, если оно отключилось вследствие грозы. Но если блэкаут — результат умышленных действий, он может продлиться намного дольше. Согласно так называемому сценарию многократного противостояния, кибератаки разрушают энергосистему, и она выходит из строя на месяцы. Если кто-нибудь разрушит генераторы, как во время проведения учений, для их замены потребуется полгода, поскольку каждый генератор производится по специальному проекту. А если атака произойдет в нескольких направлениях одновременно, а затем повторится после перехода на резервное энергоснабжение, наша экономика может разрушиться, поскольку прекратится поставка продуктов питания и других потребительских товаров, выйдут из строя фабрики, а финансовые рынки вынуждены будут закрыться.
Действительно ли нам необходимо усовершенствованное регулирование? Должны ли энергетические компании больше тратить на защиту своих сетей? Реальна ли эта потребность? Давайте спросим главу американского киберкомандования, генерала Кейта Александера, чьи кибервоины способны разрушить энергосистему любой страны. Считает ли он, зная, какой урон можем нанести мы, что нам нужно лучше защищать собственные электросети? Именно об этом его спросили в 2009 году на заседании Конгресса. Он ответил: «Энергетическим компаниям придется изменить конфигурацию своих сетей… Модернизировать сети, чтобы обеспечить их безопасность. Для этого потребуются немалые средства… А нам нужно поработать с их управляющими комитетами, договориться о повышении тарифов, чтобы они смогли действительно обезопасить сети… Как правительство, заинтересованное том, чтобы наши электросети были надежными, может убедиться в том, что эта надежность обеспечивается?» Немного сумбурно, но генерал Александер, очевидно, имел в виду, что энергетические компании должны принять меры, чтобы наши электросети были безопасными и надежными, а для этого, возможно, потребуются немалые затраты, и в осуществлении этих планов им помогут регулирующие организации. Он прав.
Третьим элементом оборонительной триады является само Министерство обороны. Маловероятно, что противник в рамках крупномасштабной кибератаки не попытается подорвать работу этого министерства. Почему? Если противник нападет на Соединенные Штаты, разрушая частный сектор — энергосистему, трубопроводы, транспортную сеть и банковскую систему, вряд ли это начнется как гром среди ясного неба. Такая кибератака может произойти только в случае обострения отношений между США и атакующей страной. В такой ситуации противник будет опасаться, что вооруженные силы США перейдут к традиционным наступательным военным действиям. Более того, планируя крупную кибератаку, противник должен понимать, что США нанесет ответный военный удар. А кибератака на вооруженные силы США наверняка будет сконцентрирована на сетях Министерства обороны.
Упростим ситуацию. Предположим, что существует три главные сети Министерства обороны. Первая, NIPR-NET, — это несекретная внутренняя сеть, с адресами. mil. NIPRNET связана с Интернетом в 16 узлах. По NIPRNET передаются несекретные данные, но несекретные не значит неважные. Большая часть информации по материально-техническому обеспечению (допустим, едой) циркулирует именно в NIPRNET. Большинство военных подразделений США не смогут продержаться без поддержки частных компаний, и почти все коммуникации происходят в NIPRNET.
Вторая сеть называется SIPRNET и используется для передачи секретной информации. Многие военные приказы рассылаются по SIPRNET. Считается, что существует определенный «зазор» между секретной и несекретной сетями. Пользователи засекреченной сети скачивают данные из Интернета и загружают их в SIPRNET, а вместе с ними сюда могут проникать вредоносные программы. Специалисты по информационной безопасности Пентагона называют это проблемой «доставки ножками».
В ноябре 2008 года шпионская программа российского происхождения начала отыскивать в киберпространстве адреса. mil открытой сети NIPRNET. Когда программа проникла в компьютеры NIPRNET, она начала искать внешние накопители и загружаться на них. Затем началась «доставка ножками». Некоторые из накопителей пользователи вставили в компьютеры засекреченной сети SIPRNET. Что было дальше, можете представить. Поскольку не подразумевается, что засекреченная сеть может связываться с Интернетом, в ней не предполагается наличие вирусов. Поэтому на большинстве компьютеров этой сети не были установлены ни антивирусная защита, ни брандмауэры, ни любые подобные программные средства защиты данных. Короче говоря, компьютеры самой важной сети Министерства обороны защищены меньше, чем, возможно, ваш домашний компьютер.
За несколько часов шпионская программа заразила тысячи засекреченных компьютеров вооруженных сил США в Афганистане, Ираке, Катаре и прочих местах, где базируются подразделения Объединенного центрального командования. Спустя несколько часов высокопоставленный американский офицер адмирал Майк Маллен, председатель Объединенного комитета начальников штабов, понял, как уязвимы его войска. По рассказу одного высокопоставленного источника в Пентагоне, Маллен, услышав доклад специалистов, закричал: «Вы хотите вше сказать, что я не могу полагаться на нашу рабочую сеть?» Сетевые эксперты из Объединенного штаба подтвердили вывод адмирала. Они не были удивлены. А разве адмирал об этом раньше не знал? Шокированный невероятной слабостью, которую майоры и капитаны воспринимали как должное, но скрывали от него, Маллен перевел взгляд на старшего офицера. «Где Джей-3? — спросил он, требуя начальника по военным операциям. — Он об этом знает?» Вскоре Маллен и его начальник, министр обороны Роберт Гейтс, докладывали о своем открытии президенту Бушу. Вероятно, SIPRNET взломали. Сетецентричное преимущество, которым так гордились американские вооруженные силы, может оказаться ахиллесовой пятой. Пожалуй, Маллену не стоило так удивляться. По всему миру расположено около 100 тысяч терминалов SIPRNET. Если у вас получится остаться с одним из них наедине всего на несколько минут, вы сумеете загрузить туда вредоносное ПО или установить связь с Интернетом. Один мой друг рассказывал, что до одного терминала SIPRNET на Балканах могли спокойно добираться российские «миротворцы», оставаясь незамеченными. Точно как во время Второй мировой войны, когда союзникам нужен был только один экземпляр германской кодирующей машины «Энигма», чтобы прочитать все шифровки нацистов, так и сейчас достаточно одного терминала SIPRNET, чтобы установить программу, которая нарушит работу всей сети. Несколько специалистов, занимающихся проблемами безопасности SIPRNET, подтвердили мой вывод. Как сказал один из них, «приходится допускать, что она может не работать, когда нам это необходимо». Он объяснил, что, если во время кризиса противник выведет из строя эту сеть или, что еще хуже, отдаст фальшивые приказы, «американские вооруженные силы окажутся в очень невыгодном положении». И это мягко сказано.
Третья сеть Министерства обороны — это совершенно секретная режимная сеть JWICS. Эта более закрытая сеть служит для обмена сверхсекретной информацией. Ее терминалы располагаются в специальных секретных режимных помещениях. Доступ к ним еще более ограничен, но информация, передающаяся по сети, должна пройти по оптоволоконным кабелям, через маршрутизаторы и серверы, как и в любой другой сети. Кто-нибудь может атаковать маршрутизаторы, и связь нарушится. Аппаратное обеспечение, используемое в компьютерах, серверах, маршрутизаторах, коммутаторах, может быть взломано на этапе производства или позднее. Поэтому нельзя сказать, что эта сеть безопасна.
Согласно плану CNCI, Министерство обороны приступает к реализации программы по модернизации систем безопасности всех трех типов сетей. Некоторые аспекты этой программы секретны, многие дорогостоящи, на осуществление иных потребуется много времени. Один из вариантов — использование лазеров с высокой пропускной способностью для передачи сообщений через спутники. Если допустить, что спутники защищены от взлома, такая система способна уменьшить количество уязвимых мест, которые имеются в оптоволоконных кабелях и маршрутизаторах, разбросанных по всему миру. Однако есть несколько важных и не столь разорительных для бюджета конструктивных принципов использования доступных технологий, которые следовало бы включить в программу Министерства обороны:
— помимо защиты самой сети, нужно защищать конечные точки; устанавливать брандмауэры, анти-вирусные программы и программы предотвращения вторжений на все компьютеры сетей Министерства обороны, независимо от того, связаны они с Интернетом или нет;
— требовать от пользователей всех сетей Министерства обороны подтверждать свою личность при регистрации в сети как минимум по двум признакам аутентификации;
— сегментировать сети в подсети и установить для пользователей, желающих выйти за пределы своей подсети, ограниченный «принцип необходимого знания»;[14]
— не ограничиваться существующей практикой группового шифрования, согласно которой шифруется весь трафик, идущий по магистральному оптоволоконному кабелю, и шифровать все файлы на компьютерах, включая информацию, находящуюся на серверах хранения данных;
— отслеживать все сети на предмет новых несанкционированных соединений, автоматически отключая неизвестные устройства.
Даже если сети Минобороны защищены, всегда есть риск того, что программные и/или аппаратные средства, обеспечивающие работу систем вооружения, могут быть взломаны. Мы знаем, что проектная документация нового истребителя F-35 была выкрадена в результате взлома сети военного подрядчика. А что, если хакер дополнил проекты невидимой программой, которая при поступлении определенной команды, переданной с любого истребителя противника, вызовет сбой в системе, когда самолет будет находиться в воздухе? Подобные логические бомбы могут быть спрятаны среди миллионов строк кода F-35, в любой из множества встроенных программ или в компьютерной аппаратуре истребителя. Как сказал мне один пилот: «Современный самолет, будь то „F-22 раптор“ или „боинг 787“, — это просто набор программ, который, как ни странно, летает по воздуху. Напутайте что-нибудь в этих программам, и он перестанет летать». Я считаю, что аэробус Air France, который потерпел крушение в Южной Атлантике, разбился потому, что его компьютер принял неверное решение.