Третья мировая война. Какой она будет
Шрифт:
Банки и финансовая промышленность тоже начали искать альтернативные системы с открытым кодом после неоднократных сбоев в системах Microsoft, которые стоили им по несколько сотен миллионов долларов в год. В 2004 году банковская группа Financial Services Roundtable отправила делегацию банковских специалистов по компьютерной безопасности в Редмонд (штат Вашингтон) на встречу с представителями Microsoft. Они потребовали доступа к программному коду. Им отказали. Они потребовали предоставить им требования к качеству программного продукта, которыми пользуется Microsoft, чтобы сопоставить их с нормами других производителей программного обеспечения. Им отказали. Отношение Microsoft к американским банкам противоречит объявленной в 2003 году программе. В соответствии с этой программой Microsoft должна предоставлять участвующим в ней национальным и международным организациям доступ к исходному коду — так Microsoft ответила на претензии по поводу безопасности своей операционной системы. Первыми участниками этой программы были Россия, Китай, НАТО и Великобритания. Банки пригрозили переходом на Linux. Microsoft
Сотрудники Microsoft признавались, что компания не воспринимала проблемы безопасности всерьез, даже когда подвергалась хакерским атакам. Да и с какой стати? Реальной альтернативы программному обеспечению Microsoft не существовало, и компания купалась в деньгах. Когда появился Linux, а затем Apple стал непосредственным конкурентом, в Microsoft действительно предприняли меры по улучшению качества. Но сначала они наняли множество делегатов и лоббистов, которые выступали на конференциях, перед клиентами, в правительственных организациях и ратовали против совершенствования в сфере безопасности. Для Microsoft гораздо дешевле нанять делегатов и лоббистов, чем разрабатывать более безопасные системы. Это одна из нескольких влиятельных компаний, которых устраивает нынешнее положение вещей и которым невыгодны какие-либо перемены.
Перемены, однако, происходят. Вслед за Соединенными Штатами все больше стран создают наступательные кибервоенные организации. Киберкомандование США несет дополнительную оборонительную миссию — защищать Министерство обороны. Но кто защитит все остальное?
Министерство национальной безопасности защищает федеральные власти США, не имеющие отношения к Министерству обороны. Всем остальным приходится полагаться только на себя. Не существует федерального ведомства, в задачу которого входит защищать банковскую систему, транспортные сети или энергосистему страны от кибератак. Киберкомандование и МНБ полагают, что, защищая правительственных клиентов, они тем самьм немного помогают и частному сектору. Власти считают, что задача обороны частных корпораций лежит на них самих. Правительственные чиновники скажут вам, что частный сектор все устраивает, — он не хочет, чтобы власти вмешивались в его системы. В конце концов, никто в правительстве не знает, как управлять банковскими сетями, сетями железных дорог или энергосистем. Старшие менеджеры крупных компаний (занимающиеся программным обеспечением, безопасностью, связями с общественностью, информационной безопасностью) заявят примерно то же самое: мы готовы тратить на компьютерную безопасность, чтобы защитить себя от киберпреступности, которая грозит нам повседневно.
Однако нельзя от нас ожидать, чтобы мы знали, как защититься от кибервойны в государственном масштабе. Затем они добавляют что-то вроде: «Защита от вооруженных сил других стран — задача государства, за это мы и платим налоги».
На заре эпохи стратегических ядерных вооружений Соединенные Штаты развернули тысячи ракет ПВО наземного базирования, чтобы защитить население и промышленность, а не только военные объекты. Каждый крупный город окружало кольцо ракетных баз Nike, готовых сбить советские бомбардировщики. На заре эпохи кибервойн американские власти предлагают населению и организациям защищаться самостоятельно.
Один мой друг спросил: «Вы можете представить, чтобы в 1958 году Пентагон посоветовал U.S. Steel и General Motors прикупить ракеты Nike, чтобы защититься? А ведь, по сути, именно это сегодня и рекомендует нам президент Обама».
По фундаментальному вопросу — в чьи задачи входит защита американской инфраструктуры в кибервойне — власть и промышленность никак не могли прийти к взаимопониманию. В результате никто не защищает потенциальные мишени, по крайней мере, никто в Соединенных Штатах. В других странах, которые однажды могут стать нашими противниками, оборона, возможно, окажется несколько лучше нашей.
Как мы уже отмечали, Соединенные Штаты, возможно, обладают самыми совершенными и комплексными возможностями для ведения кибервойны, за нами следуют Россия, Китай и, вероятно, Франция. Они находятся во втором эшелоне и отстают совсем немного, и еще около 20 государств, включая Иран и Северную Корею, тоже имеют киберпотенциал. Верен данный рейтинг или нет, ему доверяют сами кибервоины. Можете даже представить, как сидят после работы американские гики, попивают свой «Рэд Бул» и скандируют «Сэ-Шэ-А! Сэ-Шэ-А!», как на Олимпиаде, или «Мы са-мы-е пер-вы-е!», как на футболе. Но верно ли, что мы самые первые? Разумеется, это зависит от того, какие критерии принимать в расчет. В том, что касается наступательного киберпотенциала, Соединенные Штаты, скорее всего, действительно занимают первое место. Но кибервойна не ограничивается одним лишь наступлением. Существует такой показатель, как киберзависимость, — степень зависимости страны от киберуправляемых систем. В двусторонней войне и она имеет значение. Как я узнал, когда спросил о планах кибервойны в Афганистане в 2001 году, для кибервоинов может не оказаться мишеней. В двусторонней кибервойне это дает Афганистану определенное преимущество. Важно, способна ли страна защитить себя от кибервойны. Очевидно, Афганистан может защититься просто потому, что у него нет сетей, но теоретически у страны могут быть и сети, и возможность их оборонять. Оборонительные киберспособности, таким образом, являются существенным критерием: имеет ли страна возможность отключиться от киберпространства всего остального мира или засечь кибератаки, идущие изнутри страны, и остановить их?
Даже если Соединенные Штаты обладают самым совершенным кибероружием, нападение не заменит дыру в защите. Как отметил адмирал в отставке Макконел, «поскольку мы самая развитая в технологическом отношении страна—нити сетей опутывают все наше общество, — мы более других зависимы от этих нитей, а значит, и более уязвимы». Наша экономика связана с Интернетом больше, чем экономика любой другой страны. Все 18 секторов гражданской инфраструктуры, которые Министерство национальной безопасности назвало критически важными, функционируют в Интернете и уязвимы перед внешними кибератаками. Сравните с Китаем, который развивает не только наступательные, но и оборонительные способности. Кибервоины Народно-освободительной армии Китая обязаны и наступать, и обороняться в киберпространстве, и, в отличие от американских военных, под словом «защита» они понимают не только защиту военных объектов.
Я не являюсь сторонником расширения полномочий Пентагона в сфере защиты гражданских систем США, но следует отметить, что не существует никаких других ведомств или подразделений федеральных властей, которые могли бы взять на себя такую ответственность. В свете воздержания от регулирования, которое началось при Клинтоне, продолжилось при Буше и передалось администрации Обамы, от частного сектора не требовалось укреплять безопасность, да и власти не стремились играть в этом активную роль. В Китае сети, образующие интернет-инфраструктуру страны, целиком контролируются правительством, которое либо напрямую владеет ими, либо состоит в тесном сотрудничестве с частным сектором. Никто не обсуждает «цену», когда китайское правительство требует ввести новые меры безопасности. Сети поделены на крупные сегменты между правительством, научным и коммерческим сообществами. Китайское правительство имеет и власть, и средства, чтобы отсоединить китайское интернет-пространство от всего остального мира, что, скорее всего, и сделает в случае конфликта с Соединенными Штатами. Американское правительство таких полномочий и возможностей не имеет. В США Федеральная комиссия по связи обладает законным правом регулировать, но большинство населения предпочитает, чтобы она этого не делала. В Китае правительство может устанавливать и вводить в действие стандарты, но идет гораздо дальше.
Интернет в Китае больше похож на интранет — внутреннюю сеть компании. Правительство является поставщиком услуг и отвечает за сетевую защиту. В Соединенных Штатах не так. Роль американского правительства не столь существенна. Как я упоминал во второй главе, наиболее обсуждаемое китайское средство интернет-цензуры — Great Firewall — дает стране преимущество в обороне. Технологию, которую китайцы используют для просмотра электронной почты на предмет противозаконных высказываний, можно применять и для выявления вредоносного ПО. Кроме того, Китай инвестировал в развитие собственной операционной системы, которая невосприимчива к возможным сетевым атакам, хотя технические проблемы отсрочили ее ввод в эксплуатацию. Китай начал, а затем временно приостановил попытки установить на все компьютеры страны программное обеспечение, предназначенное якобы для предотвращения детям доступа к порнографическим сайтам. Истинной целью этой акции, по мнению большинства экспертов, было обеспечить китайскому правительству возможность контролировать каждый рабочий стол страны. (Когда слухи просочились в сообщество хакеров, те быстро обнаружили уязвимые места программы, которые позволяют контролировать всю систему, и установку пришлось прекратить.) Эти попытки показывают, как серьезно китайцы воспринимают задачу обороны, а также демонстрируют, на что направлены эти усилия. Китай между тем серьезно отстает от США в автоматизации критических систем. Система энергоснабжения страны, к примеру, во многом управляется вручную, а в кибервойне это преимущество.
Было бы здорово, если бы в определении кибервоенного потенциала важен был лишь один фактор — наша способность нападения на другие государства. Если бы учитывалось только это, Соединенные Штаты действительно выигрывали бы в сравнении с другими странами. К сожалению, для реалистичной оценки кибервоенного потенциала необходимо принимать во внимание два других аспекта: защиту и зависимость. Защита — это способность страны предпринимать меры в условиях нападения извне, меры, которые блокируют или смягчают атаку. Зависимость — это степень интернетизации страны, распространенности сетей и систем, которые могут подвергнуться кибератаке. Чтобы проиллюстрировать, как взаимодействуют эти факторы (нападение, защита и зависимость), я составил таблицу. В ней представлены коэффициенты по каждому из трех факторов. Софисты заявят, что это слишком упрощенный метод: я измеряю по одной шкале все три аспекта, а затем суммирую их, чтобы получить общее количество баллов для конкретной страны. Подсчет очков для каждой страны основан на моих оценках ее наступательных возможностей, оборонительного потенциала и зависимости от компьютерных систем. В этом заключается парадокс: чем меньше уровень интернетизации страны, тем больше баллов у нее в графе «Независимость». Развитая сеть — хороший фактор для страны, но не тогда, когда вы оцениваете ее способность противостоять кибервойне.