Третья мировая война. Какой она будет
Шрифт:
Для ведения нужного нам диалога необходимы серьезные академические исследования и обучающие программы, полки новых книг, доскональные журналистские расследования и серьезное рассмотрение в конгрессе.
Следующий пункт программы предупреждения кибервойны — это оборонительная триада. Как рассматривалось выше, оборонительная триада блокирует вредоносные программы на участках главных интернет-провайдеров, защищает элементы управления электросетей, укрепляет безопасность сетей Министерства обороны и целостность его оружия. В Министерстве обороны работа в этом направлении началась по решению президента Буша в последний год его пребывания в должности. Оборонительная триада — это не попытка защитить все в отличие от моей Национальной стратегии по кибербезопасности. Однако она должна защитить все необходимое, чтобы заставить другую страну дважды подумать, прежде чем начать кибервойну против нас. Потенциальный
Мы не сумеем построить два из трех зубьев оборонительной триады (обеспечить защиту магистральных интернет-провайдеров и электросетей) без дополнительного регулирования. Раньше, говоря о национальной безопасности в целом, я приводил такое сравнение: обеспечить безопасность без дополнительного регулирования со стороны федерального правительства—это все равно что защищаться с завязанными за спиной руками. Было время, когда федеральное регулирование было чересчур навязчивым и неэффективным, но этого можно избежать, если правительство попросит некоторые отрасли промышленности воздерживаться от определенных вещей и очертит желаемые цели. На конференции Black Hat (о которой уже речь) эксперт по кибербезопасности и автор многих книг Брюс Шнейер сказал то же самое, заявив, что разумное регулирование, которое определяет цель и не диктует средства ее достижения, необходимо для улучшения кибербезопасности.
В программу по кибербезопасности должно входить правило, которое требует от магистральных интернет-провайдеров проводить глубокое инспектирование пакетов на предмет обнаружения вредоносных программ, не нарушая при этом принципа неприкосновенности частной жизни и не допуская оплошностей. Интернет-провайдерам необходимо предоставить правовую защиту, чтобы они не опасались исков — по сути, за то, что блокируют вирусы, «черви», DDoS-атаки, фишинги и прочие формы вредоносного ПО. Напротив, по новым правилам их следует обязать делать это.
Чтобы Министерство национальной безопасности исполнило свою роль в оборонной триаде, нам нужно создать заслуживающий доверия и высокопрофессиональный орган, возможно, Управление по киберобороне. Управление по киберобороне должна контролировать системы глубокого инспектирования пакетов, которыми будут управлять интернет-провайдеры. Кроме того, она должна мониторить состояние Интернета в режиме реального времени; взять на себя ответственность за регулирование кибербезопасности энергетического сектора, которая сейчас возложена на Федеральную комиссию по управлению энергетикой; предоставлять точку фокуса для правоприменительных акций, связанных с киберпреступностью. Но самая важная роль управления должна заключаться в обороне как домена. gov, так и доменов критической инфраструктуры в случае кибератаки. Она может в режиме реального времени предоставлять интернет-провайдерам известные сигнатуры вредоносного ПО и координировать взаимный обмен сигнатурами, которые обнаружили сами интернет-провайдеры. Существующая уже сорок лет национальная система связи, задачей которой было обеспечивать телефонную связь в случае аварий и которая недавно была переименована в Национальный интеграционный центр кибербезопасности и коммуникаций, могла бы предоставлять интернет-провайдерам внеполосную систему связи для передачи сигнатур вредоносного ПО. Управление по киберобороне может использовать экспертные оценки Пентагона и служб разведки, но не следует вверять миссию защиты отечественных компьютерных сетей Агентству национальной безопасности. Специалисты из АНБ обладают огромным опытом, но при этом пользуются недоверием общества, которое особенно обострили незаконные перехваты сообщений по заказу Буша и Чейни.
Помимо регулирования интернет-провайдеров необходимо также ввести регулирование сети электропередач.
Единственный способ обезопасить сеть — это получить доступ к кодам команд, которые отдаются устройствам, управляющим системой, аутентификации отправителей, а также ряду абсолютно внеполосных каналов, не связанных с интрасетями компаний и публичным Интернетом. Федеральная регулятивная комиссия этого не запрашивала, хотя в конце концов установила некоторые регламенты в 2008 году, однако до сих пор не начала приводить их в исполнение. И даже если начнет, не ожидайте многого. У комиссии нет ни опыта, ни персонала, чтобы убедиться в том, что электроэнергетические компании отсоединили элементы управления от магистралей, которые может использовать хакер. Задача наблюдения за выполнением этих правил также должна быть возложена на Управление по киберобороне, которое должно предоставлять экспертные оценки и тесные связи которой с промышленностью не станут помехой для безопасности, как это было в случае Федеральной регулятивной комиссии.
Управление по киберобороне должно также взять на себя ответственность за мириады гражданских федеральных ведомств и агентств, которые сейчас пытаются организовать киберобзащиту собственными силами. Кроме того, консолидация в предложенном управлении всего, что сделано в сфере безопасности административно-бюджетным управлением и управлении общими службами, увеличит наши шансы на достижение лучших результатов в управлении безопасностью гражданских (невоенных) государственных сетей.
Поскольку киберпреступники — это потенциальные наемные кибервоины, мы должны в качестве третьего пункта нашей программы сократить уровень киберпреступности в Интернете. Киберпреступники начали проникать в сети поставок производителей как аппаратного, так и программного обеспечения для того, чтобы внедрить вредоносный код. Вместо того чтобы просто использовать широко распространенные хакерские инструменты, киберпреступники теперь начинают писать собственный, специально разработанный код для взлома систем безопасности, как было в случае с кражей миллионов номеров кредитных карт из Т. J. Махх в 2003 году. Эта тенденция указывает на растущую изощренность киберпреступников и, пожалуй, свидетельствует о том, что угроза может расшириться до уровня национальной. А это позволяет предположить, что нам нужно прилагать больше усилий к борьбе с киберпреступностью. Сегодня киберпреступления расследует ФБР, Секретная служба (теперь она называется Immigration and Customs Enforcement) и Федеральная комиссия по торговле. И все-таки раздаются жалобы компаний и частных лиц на то, что их заявления о киберпреступлениях остаются без ответа. Девяносто независимых прокуроров Министерства юстиции, работающие по всей стране, чаще игнорируют киберпрестпления, поскольку отдельные хищения превышают сумму в 100 тысяч долларов, необходимый для заведения федерального дела. Адвокаты часто не разбираются в компьютерных вопросах и не хотят расследовать преступления, жертвы которых находятся в другом городе или, еще хуже, в другой стране.
Президент мог бы назначить агентов ФБР и Секретной службы, которые занимаются киберпреступлениями, на определенные должности в предлагаемую Управление по киберобороне, и они вместе с адвокатами подготавливали бы дела для Министерства юстиции. Единый следственный центр в рамках Управления по киберобороне, координирующий работу региональных подразделений, мог бы проводить экспертизу, расследовать преступления, устанавливать международные связи, необходимые для увеличения возможностей ареста, что до определенной степени сдерживало бы киберпреступников. Сегодняшняя правоприменительная практика в США киберпреступников никак не устрашает. Сейчас киберпреступления действительно выгодны. Чтобы прекратить это, США необходимо существенно больше вкладывать в борьбу федеральных правоприменительных органов с киберпреступностью. Кроме того, нам придется что-то сделать с оплотами кибепреступности.
В конце 1990-х международные преступные картели отмывали сотни миллиардов долларов через банки в разнообразных карликовых государствах, обычно островных, а также в нескольких более крупных странах. Главные финансовые власти объединились, разработали типовой закон, делающий отмывание денег преступлением, и посоветовали странам — оплотам киберпреступности принять его и обеспечить правовой санкцией. В противном случае крупнейшие международные финансовые институты прекратили бы проводить расчеты в местных валютах и финансовые операции с их банками. Я имел удовольствие сообщить об этом премьер-министру Багамских островов, где закон был быстро принят. Практика отмывания денег не исчезла, но теперь это гораздо сложнее, да и подходящих для этого стран стало меньше. Стороны, подписавшие Конвенцию по киберпреступности Европейского совета, должны принять такие же меры по отношению к странам-оплотам киберпреступности. Им нужно обязать Россию, Белоруссию и другие пренебрегающие нормами права государства начать вводить законы против киберпреступлений. В противном случае их должны ждать последствия. Одним из таких последствий может быть ограничение и инспектирование всего интернет-трафика, поступающего из этих стран. Это стоит попробовать.
Четвертым пунктом программы должен стать посвященный кибервойне договор, подобный ОСНВ (Договор об ограничении стратегических наступательных вооружений), который мы назовем Договором об ограничении кибервойны, ОКВ. Соединенные Штаты должны обсудить его положения со своими главными союзниками, а затем внести их в ООН. Как ясно из названия, главная цель договора — ограничить кибервойну, а не стремиться к глобальному запрету хакерства или киберразведки. В Договоре об ограничении стратегических наступательных вооружений и последовавшем за ним Договоре о сокращении стратегических наступательных вооружений разведка не только принималась как неизбежность, но и считалась средством обеспечения «помехозащищенности».