Инспекция в киберпространстве
Ценность международных соглашений о запрете определенных видов кибервоенной деятельности или о ненападении отчасти зависит от нашей способности выявлять нарушения и возлагать на нарушителей ответственность. Принципы контроля над традиционными вооружениями едва ли применимы в киберпространстве. Чтобы удостовериться в соблюдении ограничений на количество подводных лодок или ракетных стартовых шахт, достаточно нескольких снимков из космоса. Сложно спрятать судостроительный завод, на котором производятся подводные лодки, или ракетную базу. Для проверки количества более мелких объектов, таких как боевые машины, на военные базы отправляется инспекция. Чтобы убедиться в том, что на ядерных реакторах не ведется незаконная деятельность, инспекторы МАГАТЭ (Международного агентства по атомной энергетике) устанавливают камеры наблюдения в помещениях, ставят пломбы и идентификаторы на ядерных материалах. Международные группы берут пробы химических веществ на химзаводах, отыскивая доказательства незаконного производства химического оружия. Для того чтобы отслеживать испытания ядерного оружия, существует международная сеть сейсмических датчиков, а страны делятся друг с другом полученными данными. Только эта сейсмическая сеть да, пожалуй, команды МАГАТЭ могут служить образцом в случае контроля над кибервооружениями. Нереально обнаружить кибероружие из космоса и даже в ходе непосредственного осмотра военных баз. Ни одно государство не согласится, чтобы международные группы инспекторов проверяли, какие специальные программы используются в его компьютерных сетях для защиты секретной информации. Даже если в какой-нибудь параллельной вселенной какая-нибудь страна согласилась бы на такую проверку военных и гражданских компьютерных сетей, она могла бы спрятать кибероружие на флэш-карте или компакт-диске где угодно. Соблюдение запрета на разработку, обладание или испытание кибероружия в закрытых сетях (таких, как National Cyber Range, разработанная Университетом Джонса Хопкинса и корпорацией «Локхид») сложно проконтролировать.
Фактическое использование кибероружия отследить уже проще, последствия атаки часто вполне заметны. Специалисты по судебной компьютерной экспертизе, как правило, способны определить, какие методы были задействованы, даже если не удается выяснить, как злоумышленники проникли в сеть. Но проблема атрибуции остается, даже когда атака состоялась. Техники отслеживания и журналы интернет-провайдера порой помогают узнать, какая страна причастна ко взлому, но этого недостаточно для того, чтобы доказать вину конкретного правительства. К тому же существует риск ложных обвинений. Кибератаки против Грузии наверняка организовала Россия, но компьютер, управляющий ботнетом, находился в Бруклине.
Даже если страна признает, что атака была произведена с компьютеров, расположенных на ее территории, вину можно переложить на анонимных граждан. Именно так и поступило российское правительство во время кибератак на Эстонию и Грузию. Так же поступило китайское правительство в 2001 году, когда было обнаружено проникновение в сети США после инцидента с американским самолетом-шпионом, который якобы вторгся в китайское воздушное пространство. Хакеры и в самом деле могут оказаться простыми гражданами, хотя такие действия наверняка совершаются с благословления и разрешения правительств.
Один из способов решить проблему атрибуции—переложить бремя доказывания со следователя и обвинителя на страну, с территории которой была запущена атакующая программа. Подобный ход использовался в практике борьбы с международной преступностью и терроризмом. В декабре 1999 года Майкл Шихен, тогда представитель США, должен был передать Талибану простое сообщение. Шихену поручили дать понять представителям Талибана, что именно они понесут ответственность за любую атаку, предпринятую «Аль-Каидой» против Соединенных Штатов или их союзников. Поздно вечером Шихен через переводчика передал это сообщение по телефону представителю Мулла Моххамед Омара, лидера Талибана. Чтобы донести суть, Шихен нашел такую простую аналогию: «Если в вашем подвале живет поджигатель, который каждую ночь выходит и сжигает дотла дома ваших соседей, а вы знаете, что происходит, нельзя утверждать, что вы за это неответственны». Мулла Моххамед Омар не выселил поджигателя из своего подвала, он продолжал укрывать Бен Ладена и его последователей даже после 11 сентября. Мулла Моххамед Омар во время написания этой книги прячется где-то в подвале, а его ищут армии НАТО, США и Афганистана.
«Принцип поджигателя» вполне применим к кибервойне. Хоть мы и рассуждаем о киберпространстве как об абстрактном пятом измерении, оно вполне материально. Его физические компоненты — высокоскоростные оптоволоконные магистрали, каждый маршрутизатор, сервер — располагаются на территории конкретных стран, за исключением разве что подводных кабелей и телекоммуникационных спутников. Но даже ими владеют страны или компании, у которых есть реальные физические адреса. Некоторые любят порассуждать о проблеме суверенитета в Интернете — никто не владеет киберпространством во всей его полноте и никто не несет ответственности за его целостность и безопасность. «Принцип поджигателя» можно использовать под названием «национальная ответственность за киберпространство». Он сделал бы каждого человека, компанию, интернет-провайдера, страну ответственными за безопасность своей части киберпространства.
Тогда страны вроде России больше не имели бы права утверждать, что они не контролируют своих так называемых патриотических «хактивистов». Международное соглашение позволило бы государствам совместно отстранять таких хакеров от участия в незаконной международной деятельности или, по крайней мере, потребовать от конкретных стран прилагать максимальные усилия для этого. Кроме того, страна, подписавшая международное соглашение, должна соблюдать гарантию содействия. Там могут содержаться требования быстро реагировать на запросы международного следствия, изымать и хранить журналы серверов и маршрутизаторов, принимать международных следователей и содействовать им, вызывать граждан своей страны на допросы, преследовать граждан в судебном порядке за определенные преступления. Существующая с 2001 года Конвенция Совета Европы по киберпреступности включает многие из перечисленных гарантий, и Соединенные Штаты входят в эту конвенцию. Наш суверенитет не пострадал от бюрократической системы Старой Европы. Наоборот, подписав конвенцию, Соединенные Штаты пообещали принимать любой новый закон, необходимый для наделения правительства США полномочиями для выполнения гарантий этого соглашения.
В отличие от существующей конвенции по киберпреступности конвенция по кибервойне обяжет страны следить за тем, чтобы интернет-провайдеры прекращали обслуживать людей и устройства, участвующие в атаках, и сообщали о них властям. Такое условие означало бы, что интернет-провайдерам придется выявлять и блокировать «черви», ботнеты, DDoS-атаки и прочую злоумышленную деятельность. (Процесс идентификации вредоносного ПО не так сложен, как проверка информационных пакетов, он может быть реализован через анализ потоков—вы просто продвигаетесь по сети и обращаете внимание на «острые» импульсы или критические паттерны.) Если стране не удается успешно привлекать интернет-провайдеров к сотрудничеству, в международном соглашении должна быть предусмотрена процедура, которая перекладывает ответственность на другие государства. Интернет-провайдер может быть занесен в международный черный список, и тогда все страны—участники конвенции обязаны будут заблокировать работу этого провайдера до тех пор, пока он не подчинится и не разберется с ботнетом и другими вредоносными программами.
Такое международное соглашение отчасти решило бы проблему атрибуции с помощью перекладывания ответственности. Даже если взломщика определить не удастся, появится кто-то, ответственный за прекращение атаки и расследование. Большинству стран даже не придется создавать новые отделы для киберрасследований. Такие страны, как Китай и Россия, способны устанавливать личности хакеров и быстро пресекать их деятельность. Как сказал Джим Льюис из Центра стратегических и международных исследований, «если какой-нибудь хакер из Петербурга попробует взломать сеть Кремля, ему хватит пальцев на одной руке, чтобы сосчитать оставшиеся часы жизни». Будьте уверены, то же самое ждет любого жителя Китая, который попытается проникнуть в сеть Народно-освободительной армии. Если Китай и Россия подпишут подобное соглашение о кибервойне, они не смогут больше обвинять в DDoS-атаках своих граждан и спокойно бездействовать. Неспособность быстро действовать против хакеров приведет к тому, что страна будет признана нарушителем и, что более важно, другие государства откажутся от услуг проблемных интернет-провайдеров. Государства имеют возможность остановить такой дефектный трафик, но в отсутствие правовых рамок делают это очень неохотно. Соглашение не только позволит странам блокировать такой трафик, но и обяжет их это делать.
Но этого недостаточно, чтобы полностью решить проблему атрибуции. Российская ботнет-атака может пойти из Бруклина. Тайваньский хакер способен атаковать сайты китайского правительства, сидя в интернет-кафе в Сан-Франциско. Но по условиям такого соглашения Соединенным Штатам пришлось бы пресечь действия ботнета и начать активное расследование. В случае с гипотетическим тайваньским агентом, вторгшимся в китайскую сеть, Китай, обнаружив это, должен будет обратиться в ФБР и Секретную службу США с просьбой помочь китайской полиции отследить преступника в Сан-Франциско. Если его найдут, то привлекут к суду за нарушение американского закона. Конечно, любая страна может сказать, что ищет хакера, а в действительности этого не делать или провести расследование и не обнаружить виновного. Когда обнаружен ботнет, управляемый через интернет-провайдера конкретной страны, государство может потребовать время на принятие мер. Чтобы понять, действительно ли что-то предпринимается, понадобится международная следственная комиссия. Специалисты, действующие в рамках этой комиссии, будут представлять отчеты странам — участницам конвенции о том, действует или нет конкретное государство в духе соглашения. Можно создавать международные инспекционные группы, сходные с группами, работающими в рамках Договора о нераспространении ядерного оружия, запрета на химическое оружие и Европейского соглашения о безопасности и сотрудничестве. Такие группы могут приглашаться для содействия в проверке кибератаки, нарушающей соглашения. Они помогут определить, из какой страны была запущена атака. При добровольном согласии стран-участниц международные эксперты могут размещать отслеживающее потоки оборудование на ключевых узлах, ведущих в сети стран, чтобы облегчить обнаружение и поиск атак.
Международные эксперты могут руководить центром, с которым будут связываться государства, считающие, что подвергаются кибератаке. Представьте, что на израильскую сеть в три часа утра по тель-авивскому времени обрушивается DDoS-атака с ботнетов провайдера в Александрии (Египет). В Израиле, как и во всех странах — участницах нашей гипотетической конвенции, есть постоянно действующий центр кибербезопасности. Сотрудники израильского центра информируют международный центр, расположенный, скажем, в Таллинне, что кибератака началась с конкретного интернет-провайдера в Египте. Международный центр связывается с египетским центром в Каире и требует немедленно расследовать, обнаружены ли ботнеты этого интернет-провайдера в Александрии. Международные эксперты могут засечь, сколько времени понадобится Египту на обнаружение и пресечение атаки. Возможно, они смогут проследить потоки трафика, идущего через маршрутизаторы, соединяющие Египет с остальным миром, и обнаружить ботнет. Египет будет обязан представить отчет о расследовании. Если инцидент подтвердится, международные эксперты вышлют следственную группу для помощи и наблюдения за действиями властей, которая подготовит отчет для стран — участниц соглашения.
К странам, пренебрегающим правилами, следует применять санкции. Помимо отказа других стран работать с провайдером-нарушителем могут последовать санкции со стороны международных организаций. В качестве более решительных мер предложим отказ в предоставлении виз должностным лицам страны-нарушителя, ограничение исходящего и входящего в страну кибертрафика или отключение страны от международного киберпространства на определенный срок.
Такие проверки и меры не решают проблему атрибуции. Они не помешают злоумышленникам представить невиновную страну источником кибератаки. Однако они осложнят возможность проведения некоторых видов кибератак, установят международные нормы, обяжут страны оказывать содействие и создадут международное сообщество экспертов для совместной борьбы с кибервойной. Важно помнить, что организация атак такого масштаба требует усилий государственного уровня, и только несколько государств обладают такими возможностями. Список потенциальных нападающих невелик. Атрибуция — главная проблема киберпреступности, но что касается войны, расследование и традиционная разведка быстро сократят число подозреваемых.
Из нашего обсуждения проблем контроля над вооружениями можно сделать пять выводов.
Во-первых, в отличие от других форм контроля над вооружениями, которые предусматривают ликвидацию определенных видов оружия, контроль над кибервооружениями не сокращает арсенал. Он просто запрещает конкретные действия, а страна может как соблюдать условия соглашения, так и внезапно нарушить их без всякого предупреждения.
Во-вторых, расширенное определение кибероружия, включающее кибершпионаж, делает его неверифицируемым и невыгодным для нас. Тем не менее национальные службы разведки и правительства должны создать каналы для дискуссий, чтобы разведывательная деятельность не вышла из-под контроля и не истолковывалась как имеющая враждебные намерения.
В-третьих, международные соглашения, запрещающие определенные действия, например кибератаки на гражданскую инфраструктуру, отвечают нашим интересам. Но поскольку такие атаки все равно могут произойти, в соглашениях нельзя принижать необходимость оборонительных мер для защиты гражданской инфраструктуры.
В-четвертых, полная уверенность в соблюдении ограничений, сформулированных в соглашении, невозможна. Мы, вероятно, сумеем подтвердить факт нарушения, но атрибуция атаки — вопрос сложный, к тому же атакующие намеренно могут запутать следы. Тем не менее существуют меры, которые могут содействовать соблюдению международного запрета кибератак на гражданские объекты, в частности создание международного экспертного совета, ответственность федеральной власти за нарушения, происходящие на ее территории, и гарантия содействия в пресечении и расследовании атак.
Запрет кибератак на гражданскую инфраструктуру, вероятно, приведет к тому, что нам и другим странам придется прекратить любую деятельность, связанную с установкой логических бомб и лазеек в гражданских сетях других стран. Эти вопросы мало обсуждаются СМИ и населением, на самом деле они очень опасны и провокационны, поскольку последствия их применения сопоставимы с результатами войны, но без солдат и смертей. Однако при этом они свидетельствуют о враждебных намерениях больше, чем любое другое оружие в арсенале страны. Применить их можно легко и просто, без всякого разрешения и без осознания масштабов возможного обострения политической обстановки. Даже если война начнется в киберпространстве и будет вестись без солдат и кровопролития, едва ли она останется такой навсегда. Если мы устанавливаем кибероружие в инфраструктурных сетях других стран, война может разгореться очень легко.
Глава 8
Повестка дня
Военные подразделения двух десятков стран незримо перемещаются на новое поле битвы. Поскольку они невидимы, парламенты и общество не замечают их приближения. Первые схватки были локальными и не отличались изощренностью оружия, поэтому мало кто считает, что кибервоины способны на большее. Поскольку крупнейшие военные державы являются торговыми партнерами, политические обозреватели не могут даже представить обстоятельства, которые могли бы сделать их отношения враждебными. Соединенные Штаты в течение семи лет вели войну с одной страной и девяти — с другой, а теперь преодолевают самую тяжелую рецессию и склонны к излишней подозрительности. Таким образом, переключая внимание на другие вопросы, мы, возможно, закладываем предпосылки для кибервойны. Нечто подобное наблюдалось в начале прошлого столетия. Барбара Тучман в книге The Proud Tower («Башня высокомерия») описывает мир, не догадывающийся, что войска уже готовы к разрушительным действиям, не задумывающийся, к каким ужасным последствиям это приведет. В следующем романе, The Guns of August («Августовские пушки»), одна маленькая искра приводит эти силы в действие. Тщательно подготовленные войска фон Шлиффена используют новую железнодорожную сеть, чтобы привести в движение механизм, который ничто уже не сможет остановит. Военные используют возможности новой химической промышленности, ведь химическое оружие наносит гораздо больший ущерб, чем кто-либо мог ожидать. Сегодня наши военные тщательно продумывают планы ведения нового типа войны и применяют технологии, разработанные для коммерческого использования. Как и сто лет назад, эти планы мало известны общественности. А ведь в нашей истории были случаи, когда американское академическое сообщество, средства массовой информации и конгресс фокусировались на проблеме, исследовали ее, вводили необходимое регулирование и в итоге предотвращали серьезные бедствия. Проблема стратегической ядерной войны, к которой мы неоднократно обращались в этой книге, яркий тому пример. В мире появилась новая технология, и американские военные увидели в ней способ достичь военного превосходства и тем самым мира. На авиабазах, под транспарантами «Мир — наша профессия», разрабатывали планы массированного применения ядерного оружия на начальном этапе войны — против городов и гражданских объектов. Только после того, как научное сообщество привлекло вникание общественности к этим планам и проблеме ядерной войны в целом, появились разумные ограничения и были разработаны и приняты соответствующие программы.
В наше время Киберкомандование США и связанные с ним ведомства, где работают самые умные, патриотически настроенные и недооцениваемые гражданские и военные государственные служащие, разворачивают планы по достижению превосходства в киберпространстве, чтобы обеспечить безопасность страны и сохранить мир. Также готовятся киберподразделения и в других странах. В рамках этой подготовки кибервоины размещают «черные ходы» в гражданских сетях, устанавливают логические бомбы в энергетических сетях. Они считают свое оружие передовым, и не только потому, что применяют новейшие технологии, но и потому, что они не видят взрывов и смертей. Как и люди, управляющие беспилотным летательным аппаратом Predator, которые сидят в Соединенных Штатах и убивают талибов в Пакистане с помощью дистанционного управления, они подсознательно думают—раз они живут в мирном пригороде, то разрушения на другом конце мира выглядят чистенькими и аккуратными, вовсе не такими, как последствия «настоящей войны».
Когда отношения во время какого-нибудь будущего кризиса обострятся и кибервоины одной страны получат приказ послать сигнал потенциальному противнику с помощью размещенной заранее логической бомбы, предотвратит ли это надвигающуюся войну или, напротив, спровоцирует? Возможно, другая сторона пойдет по ложному следу и не сумеет понять, кто начал войну, в результате чего в конфликт будут втянуты другие страны. Инициировать войну способны кибервоины любой из стран, обладающих киберпотенциалом. С другой стороны, это может сделать и хакер, который решит воспользоваться кибероружием для развлечения, а не просто ради собственной выгоды, или же обнаружит и взорвет логическую бомбу, оставленную кем-то другим. А в результате разгорится кибервойна, невероятно стремительная и глобальная.
Когда американский президент посылает военных разбомбить лагерь террористов или завод по производству ядерного оружия в какой-нибудь стране, которая, быть может, и не сумеет дать отпор нашим вооруженным силам, но при небольших вложениях в собственный киберпотенциал они смогут в ответ разрушить международную финансовую систему, в целостности которой не слишком заинтересованы. Несопоставимость огромных затрат на вооружение и небольших в киберпотенциал побудят другие страны, а также, вероятно, преступные картели и террористические группировки развивать именно его.
Поскольку США изобрели Интернет, кибершпионаж и кибероружие, нам свойственна неявная заносчивость, в силу которой мы полагаем, что никто не способен победить Америку в кибервойне. Наши кибервоины и руководители из сферы кибербезопасности, наверное, успокаивают себя, полагая, что мы можем заметить надвигающуюся кибератаку. Может быть, они думают, что мы сумеем ее частично заблокировать, а потом ответить, и даже больше того. Но реальность такова, что крупная кибератака другой страны, скорее всего, начнется в США, так что мы не сможем увидеть ее приближение и заблокировать с помощью систем, которые имеются у нас сейчас или которые мы намерены ввести в эксплуатацию. Да, мы, пожалуй, сможем отреагировать таким же образом, но наша страна пострадает от масштабной кибератаки на гражданскую инфраструктуру, которая на недели выведет из строя энергосистему, остановит движение поездов и самолетов, взорвет трубопроводы и воспламенит нефтеперегонные заводы.
Реальность такова, что если американский президент захочет ответить тем же, ему придется обострить конфликт — придется пересечь границу кибернетической и наступательной войны. А сделав это, он обнаружит, что даже наши обычные силы киберзависимы. Зависимость американских вооруженных сил от киберсистем превосходит всестороннюю зависимость от них коммерческих инфраструктур. Подрядные организации, необходимые Америке для того, чтобы вести войну, может обездвижить кибератака. «Герметизированная» компьютерная сеть Министерства обороны может оказаться проницаемой и непригодной. Самые передовые технологии обычного вооружения, которые обеспечивают военное превосходство США (истребитель F-35 и GPS) могут внезапно выйти из строя. Мы не единственная страна, способная устанавливать логические бомбы.
Когда страна погрузится во мрак, жители будут дрожать от холода, исчезнут с прилавков продукты, а банкоматы перестанут выдавать наличные, когда все военные подразделения окажутся беспомощными и дела пойдут совсем скверно, что будет делать главнокомандующий? Вероятно, он назначит комиссию, которая станет расследовать, что пошло не так. Эта комиссия примется читать доклады других комиссий, одну из которых в 1996 году назначил Билл Клинтон, и с удивлением обнаружит, что это бедствие прогнозировали еще тогда. Они обратят внимание на совет, который дала президенту неправительственная комиссия 2008 года, — серьезно отнестись к угрозе кибервойны. При должном усердии они обнаружат и проведенное Национальной академии наук в 2009 году исследование о наступательной информационной войне, в котором политика в отношении кибервойны характеризовалась как «плохо согласованная, неразвитая и в высшей степени неопределенная».
Комиссия, собранная после катастрофы, специальный комитет конгресса или следующий президент, скорее всего, порекомендуют принять план, чтобы «подобное больше никогда не происходило». Поскольку мы сейчас знаем, что уже рекомендовано, что не сработало и почему, может быть, не стоит ждать катастрофы, чтобы принять план на случай кибервойны? Если отбросить все излишества и просто желательные аспекты, останется шесть простых шагов, которые нужно совершить сейчас и сразу, чтобы предотвратить беду.
Думать о невидимом
Во-первых, мы должны начать широкое общественное обсуждение проблемы кибервойны. Недавно одна студентка, желавшая поступить в аспирантуру, спросила меня, где она могла бы пройти соответствующий курс. Мы внимательно просмотрели учебные планы и не нашли ни одного такого курса в университетах, готовящих специалистов по политике безопасности, включая Школу Кеннеди в Гарварде, Школу Вудро Вильсона в Принстоне и Школу Линдона Джонсона в Техасе. Тогда она поинтересовалась, какие книги ей стоит почитать, и мы нашли несколько интересных изданий, но мало где глубоко рассматривались вопросы политики и технологии кибервойны. Во многих книгах под фразой «информационная война» чаще всего понималось психологическое оружие или публичная дипломатия.
Книг, посвященных кибервойне, возможно, мало потому, что тема эта остается закрытой. Необходима открытая дискуссия, ведь немалая часть важных данных остается под грифом «секретно». В 1950–1960-х годах таким людям, как Герман Кан, Билл Кауфман и Альберт Вольстеттер, тоже говорили, что проблемы ядерной войны совсем не стоит обсуждать публично. Кан в ответ на это написал книгу под названием «Думать о немыслимом» (Thinking About the Unthinkable, 1962), которая содействовала здравому общественному диалогу о моральных, этических и стратегических аспектах ядерной войны. Публикация результатов исследований, проводимых в Массачусетском технологическом институте (МТИ), Гарварде, Принстонском университете и Брукингском институте, также внесла свой вклад.
Курсы Билла Кауфмана в МТИ, Гарварде и Брукингском институте сформировали взгляд на проблему ядерной стратегии двух поколений студентов, научили их ставить аналитические вопросы и благодаря этому мыслить самостоятельно. Сегодня в Гарварде и МТИ запущен проект «Минерва» (весьма кстати так названный) — финансируемая Министерством обороны открытая исследовательская программа по проблеме кибервойны. (Вспоминаю изречение Гегеля: «Сова Минервы всегда прилетает в сумерках» — мудрость всегда приходит слишком поздно.)
Основные СМИ стали уделять больше внимания вопросам кибервойны. Обозреватели Wall Street Journal и New York Times пишут на эту тему с 2008 года. В 2003 году программа под названием «Кибервойна» вышла в рамках популярной телепередачи Frontline. Телевидение гораздо больше фокусируется на проблеме «кражи личности», поскольку многие зрители и читатели уже стали жертвами подобных киберпреступлений. Кинорежиссеров, однако же, тема кибервойны очень привлекает. В фильме «Крепкий орешек-4» бывший сотрудник государственной службы кибербезопасности, которого никто не слушал (его прототипом один журналист New York Times назвал меня. Вздор!), взламывает национальные системы. В фильме «На крючке» в результате хакерской атаки обрываются линии высокого напряжения и вся жизнь рушится.
В «Итальянской работе» хакеры просто выводят из строя светофоры, а в «Одиннадцати друзьях Оушена» без электричества остается весь Лас-Вегас. Таких фильмов очень много, и киноманы легко могут представить, к чему приводит кибервойна. Однако высокопоставленные чиновники редко ходят в кинотеатры. Или, наверное, думают, что все это лишь плод воображения. Чтобы заставить их понять, что такие сценарии вполне реальны, нам необходима специальная учебная программа. Генерал Кен Минихэн давно уже продвигает идею проведения военной игры, похожей на «Приемлемого получателя»: «Мы напугаем их до смерти, как напугали президента в 97-м».
Конгресс, на удивление, провел уже немало слушаний по теме кибербезопасности и дал задание Управлению государственной ответственности (УГО) исследовать этот вопрос. В одном из докладов перед УГО был поставлен вопрос, обоснованны ли предостережения о том, что хакеры могут атаковать электросеть. УГО исследовало одну из немногих государственных электросетей, которая находится в ведении независимой государственной корпорации «Управление ресурсами бассейна Теннеси». В ответном докладе УГО от 2008 года сообщалось, что в этих сетях есть множество уязвимых мест, открытых для вторжения. Однако по вопросам кибервойны в целом конгресс сделал очень мало.
Конгресс — это федерация феодалов, объект превратностей бесконечного фандрайзинга и лоббирования тех, кто предоставил фонды. Отсюда вытекает два вредных последствия относительно участия конгресса в контроле над кибервойной. Во-первых, каждый хочет сохранить свою сферу влияния. Конгресс отвергает любые предложения, подобные тому, что внес сенатор Боб Беннэт (республиканец из Юты) о создании отдельного комитета, уполномоченного проводить проверки по кибербезопасности. В итоге данной проблемой занимается около 30 комитетов и подкомитетов, и ни один из них не имеет возможности подойти к проблеме целостно. Во-вторых, конгресс «воздерживается от регулирования» и этого не стесняется. Влиятельные доноры из сферы информационных технологий, энергетического и телекоммуникационного бизнеса сделали идею серьезного регламента в области кибербезопасности столь же отдаленной, сколь и идеи общественного финансирования кампаний по выборам в конгресс или значительных ограничений взносов в пользу избирательных кампаний.
Для ведения нужного нам диалога необходимы серьезные академические исследования и обучающие программы, полки новых книг, доскональные журналистские расследования и серьезное рассмотрение в конгрессе.
Оборонительная триада
Следующий пункт программы предупреждения кибервойны — это оборонительная триада. Как рассматривалось выше, оборонительная триада блокирует вредоносные программы на участках главных интернет-провайдеров, защищает элементы управления электросетей, укрепляет безопасность сетей Министерства обороны и целостность его оружия. В Министерстве обороны работа в этом направлении началась по решению президента Буша в последний год его пребывания в должности. Оборонительная триада — это не попытка защитить все в отличие от моей Национальной стратегии по кибербезопасности. Однако она должна защитить все необходимое, чтобы заставить другую страну дважды подумать, прежде чем начать кибервойну против нас. Потенциальный нападающий должен знать, что его атака по большей части провалится и что главным ее последствием станет разного рода воздаяние. Без оборонительной триады Соединенным Штатам лучше воздерживаться от любых действий (не только в киберпространстве), которые могут спровоцировать кибератаку на Америку. Сейчас мы настолько уязвимы перед масштабной кибератакой, что нашим лидерам лучше соблюдать осторожность.
Мы не сумеем построить два из трех зубьев оборонительной триады (обеспечить защиту магистральных интернет-провайдеров и электросетей) без дополнительного регулирования. Раньше, говоря о национальной безопасности в целом, я приводил такое сравнение: обеспечить безопасность без дополнительного регулирования со стороны федерального правительства—это все равно что защищаться с завязанными за спиной руками. Было время, когда федеральное регулирование было чересчур навязчивым и неэффективным, но этого можно избежать, если правительство попросит некоторые отрасли промышленности воздерживаться от определенных вещей и очертит желаемые цели. На конференции Black Hat (о которой уже речь) эксперт по кибербезопасности и автор многих книг Брюс Шнейер сказал то же самое, заявив, что разумное регулирование, которое определяет цель и не диктует средства ее достижения, необходимо для улучшения кибербезопасности.
В программу по кибербезопасности должно входить правило, которое требует от магистральных интернет-провайдеров проводить глубокое инспектирование пакетов на предмет обнаружения вредоносных программ, не нарушая при этом принципа неприкосновенности частной жизни и не допуская оплошностей. Интернет-провайдерам необходимо предоставить правовую защиту, чтобы они не опасались исков — по сути, за то, что блокируют вирусы, «черви», DDoS-атаки, фишинги и прочие формы вредоносного ПО. Напротив, по новым правилам их следует обязать делать это.
Чтобы Министерство национальной безопасности исполнило свою роль в оборонной триаде, нам нужно создать заслуживающий доверия и высокопрофессиональный орган, возможно, Управление по киберобороне. Управление по киберобороне должна контролировать системы глубокого инспектирования пакетов, которыми будут управлять интернет-провайдеры. Кроме того, она должна мониторить состояние Интернета в режиме реального времени; взять на себя ответственность за регулирование кибербезопасности энергетического сектора, которая сейчас возложена на Федеральную комиссию по управлению энергетикой; предоставлять точку фокуса для правоприменительных акций, связанных с киберпреступностью. Но самая важная роль управления должна заключаться в обороне как домена. gov, так и доменов критической инфраструктуры в случае кибератаки. Она может в режиме реального времени предоставлять интернет-провайдерам известные сигнатуры вредоносного ПО и координировать взаимный обмен сигнатурами, которые обнаружили сами интернет-провайдеры. Существующая уже сорок лет национальная система связи, задачей которой было обеспечивать телефонную связь в случае аварий и которая недавно была переименована в Национальный интеграционный центр кибербезопасности и коммуникаций, могла бы предоставлять интернет-провайдерам внеполосную систему связи для передачи сигнатур вредоносного ПО. Управление по киберобороне может использовать экспертные оценки Пентагона и служб разведки, но не следует вверять миссию защиты отечественных компьютерных сетей Агентству национальной безопасности. Специалисты из АНБ обладают огромным опытом, но при этом пользуются недоверием общества, которое особенно обострили незаконные перехваты сообщений по заказу Буша и Чейни.
Помимо регулирования интернет-провайдеров необходимо также ввести регулирование сети электропередач.
Единственный способ обезопасить сеть — это получить доступ к кодам команд, которые отдаются устройствам, управляющим системой, аутентификации отправителей, а также ряду абсолютно внеполосных каналов, не связанных с интрасетями компаний и публичным Интернетом. Федеральная регулятивная комиссия этого не запрашивала, хотя в конце концов установила некоторые регламенты в 2008 году, однако до сих пор не начала приводить их в исполнение. И даже если начнет, не ожидайте многого. У комиссии нет ни опыта, ни персонала, чтобы убедиться в том, что электроэнергетические компании отсоединили элементы управления от магистралей, которые может использовать хакер. Задача наблюдения за выполнением этих правил также должна быть возложена на Управление по киберобороне, которое должно предоставлять экспертные оценки и тесные связи которой с промышленностью не станут помехой для безопасности, как это было в случае Федеральной регулятивной комиссии.
Управление по киберобороне должно также взять на себя ответственность за мириады гражданских федеральных ведомств и агентств, которые сейчас пытаются организовать киберобзащиту собственными силами. Кроме того, консолидация в предложенном управлении всего, что сделано в сфере безопасности административно-бюджетным управлением и управлении общими службами, увеличит наши шансы на достижение лучших результатов в управлении безопасностью гражданских (невоенных) государственных сетей.
Киберпреступность