Читати книгу - "ВІЙН@: битви в кіберпросторі, Шейн Харріс"

Банки належали до критично важливих об’єктів інфраструктури, за визначенням самого уряду. Але хакери атакували сайти банків, а не системи управління міжбанківськими транзакціями й не системи зберігання банківської інформації. Це був не той жахливий сценарій, що його змалював Майк МакКоннелл для президента Буша в 2007 році. Везерфорд розповів, що керівник Міністерства внутрішньої безпеки, який відповідав за невідкладні дії у надзвичайних ситуаціях, не запропонував жодного виходу: «Він сказав: “У нас немає сценарію для таких ситуацій”».

Влада почала непокоїтися, що DDOS-атака такого самого мас­штабу, націлена на корпоративні комп’ютерні мережі, не лише спричинить тимчасові незручності, а й може призвести до фізичних руйнувань. Американські держслужбовці щодня контактували з банками та їхніми провайдерами. Хакери повідомляли про дату запланованих кібератак на онлайн-форумах. І щоразу банки та влада готувалися до нападу. «Інтернет-провайдери й уряд серйозно непокоїлися, що можуть зазнати поразки, – каже Везерфорд. – І що можуть постраждати інші критично важливі об’єкти інфраструктури й інтернет у цілому».

Після повідомлення групою Із ад-Дін аль-Кассам про наступну заплановану атаку керівник відділу безпеки провайдера поставив запитання Везерфордові, та й уряду загалом. «Що ви робитимете, хлопці? – запитав він. – Атака почнеться у будь-яку мить і матиме наслідки для всієї держави. Як учинить уряд?»

Везерфорд намагався переконати його, що ситуація під кон­тролем, хоча й знав, що жодного контрнаступу не передбачено. Везерфорд вважав, що АНБ надто зволікає з розсекречуванням даних щодо загрози, яки могли б захистити банки. Агентство мусило «відчистити» інформацію, приховати джерела та методи, за допомогою яких здобували дані, до того як передати їх у Міністерство внутрішньої безпеки, яке своєю чергою зробить їх доступними для провайдерів. Везерфорд розповів, що телефонував у АНБ щодня й переконував якнайшвидше обробити розвіддані, щоб встигнути передати їх компаніям до початку нової атаки. «Для обробки інформації потрібно було шість годин. Але й сама атака могла тривати лише шість годин», – каже він.

Група високопоставлених фінансистів тиснула на представників АНБ під час особистих зустрічей. Вони хотіли знати, чому уряд не атакує джерело шкідливого трафіку й не виведе його в офлайн подібно тому, як для знищення ворожого табору запускає ракету. Представники АНБ відповідали, що кіберзброя, насамперед тисячі експлойтів нульового дня, тримають на випадок загрози державі або початок війни. «Щойно ми скористаємось одним із них, ми ніколи не зможемо застосувати його знову, – сказав один посадовець, як розповідає фінансовий керівників, що брав участь у тій нараді. – Ви справді хочете, щоб ми змарнували оцю зброю тому, що ваші сайти не працюють?»

Керівники відступили.

Атаки на банки стали перевіркою намірів держави. АНБ і військові не застосують силу, поки нападники не загрожуватимуть інфраструктурі транзакцій фінансового сектора або не почнуть знищувати дані рахунків, роблячи їх ненадійними. Держава відповість лише на кібератаку, що завдасть руйнівного удару по різних верствах суспільства. Злам сайту, хоч би яким брутальним він був, – не привід для початку війни. Так само як шпигунські дії.

Банки – та й інші компанії, які постраждали внаслідок дій іноземних кібернападників і мародерів, – ставили очевидне запитання: якщо держава не збирається їх рятувати, то хто це зробить?

13. Оборонний бізнес

За неповних 50 кілометрів од ділового центру Вашинґтона, на околиці міста Ґейтерсберґа (штат Меріленд), уздовж жвавої вулиці поблизу транспортного агентства й крамниці іграшок Toys «R» Us розташувалася присадкувата офісна будівля. Двоє охоронців на прохідній – перша ознака того, що це не якийсь там склад чи звичайний офісний центр. У майже позбавленому вікон крилі будівлі площею 7 тисяч кв. м розташований центр кіберспостереження. Декілька десятків аналітиків і дослідників шкідливого ПЗ моніторять трафік у глобальній розподіленій мережі комп’ютерів і серверів, на яких зберігається частина найсекретнішої інформації Сполучених Штатів, зокрема схеми реактивних винищувачів, систем управління ракетами та супутниками-шпигунами. Проте цей об’єкт, який вельми нагадує надсекретні об’єкти у Форт-Міді або Пентаґоні, ані належить владі, ані підпорядковується їй. Розташована тут компанія NexGen Cyber Innovation & Technology Center (це повна назва) належить компанії Lockheed Martin – найбільшому оборонному підрядникові країни. Тут і в подібних центрах у Денвері, Фарнборо (Велика Британія) і Канберрі (Австралія) компанія, яка зробила своє ім’я на розробці систем озброєння, створює новий бізнес у сфері кіберзахисту.

Проблему кібербезпеки Lockheed вивчила на власній шкірі, коли 2006 року мережі компанії атакували китайські хакери, що викрали креслення Єдиного ударного винищувача. Компанія є найбільшим постачальником товарів і послуг у сфері інформаційних технологій для цивільних і розвідувальних агентств, а також для військових структур і саме тому становить бажану ціль для хакерів. Після кібератаки 2006 року компанія впродовж кількох років досліджувала методи й технології, використовувані хакерами для проникнення в секретні системи та крадіжки державних таємниць. Молодий аналітик Lockheed Ерік Гатчінз дізнався, що деякі військові льотчики використовують термін «убивчий ланцюг» (kill chain), щоб описати всі поступові кроки до відкриття вогню – від ідентифікації мети до визначення її географічного положення. Гатчінзу спало на гадку, що спритні хакери, які намагаються проникнути в комп’ютерні мережі Lockheed, також слідують певній покроковій моделі: вишукують цілі, готують шкідливе ПЗ, запускають фішинґову атаку і, врешті-решт, крадуть дані. Разом із двома колегами він адаптував військову концепцію та взяв «убивчий кіберланцюг» (сyber kill chain) за основу для оборонної стратегії Lockheed, призначеної для захисту не лише мереж компанії, а й мереж деяких державних замовників, а також банків, фармацевтичних компаній і щонайменше 17 комунальних підприємств, які обмінюються інформацією з компанією та дозволяють їй сканувати власний трафік у пошуках загроз.

Модель «убивчий кіберланцюг» складається з семи різних етапів, більшість яких залишає можливість заблокувати вторгнення або атаку до їхнього початку. Перший етап – це стеження. Компанія Lockheed відстежує ключові слова у пошукових запитах різних пошукових систем, які виводять користувачів на сайт компанії. Для вдалої фішинґової атаки хакери вишукають у прес-релізах і на веб-сторінках компанії імена співробітників. Потому вони визначають, якими програмами користуються менеджери, що працюють над конкретними державними замовленнями. Вони слідкують за публічними виступами керівників, щоб створити достовірний електронний лист із посиланням на якийсь запланований захід. Компанія попереджає своїх співробітників, які можуть стати потенційними жертвами атаки, про особливу пильність, з якою треба відкривати вкладення в електрон­них листах, і про небезпеку натискання на лінки.

На другому етапі, який в Lockheed називають «озброєння», аналітики шукають очевидні кримінальні докази присутності шкідливого ПЗ: наприклад, заражений pdf-документ, прикріплений до електрон­ного листа. У Lockheed ведуть базу даних усіх заражених pdf-файлів, що будь-коли потрапляли на очі аналітикам компанії, і ця інформація використовується у програмі автоматичного сканування всіх електронних листів, отриманих співробітниками компанії, і відправки у карантин листів, які можуть бути заражені шкідливим ПЗ.

«Убивчий ланцюг» містить такі