1.6. Неопознанная война: эскалация

Кибервойна, в силу трудностей определения инициаторов и инструментария кибератак, времени развертывания кибервооружений и фактического начала боевых действий в киберпространстве, замаскированности во многих случаях ущерба от кибернападений под технические отказы и человеческие ошибки, а также в силу других факторов, без преувеличения может быть названа «неопознанной» войной.

Отдавая себе отчет в принципиально новом характере кибервойн по сравнению с другими видами вооруженных конфликтов, оценивая возможности и угрозы, связанные с этим видом вооружений, американская элита в условиях несомненного лидерства США в сфере информационных технологий приняла несколько лет назад решение о фактическом начале крупномасштабного превентивного кибершпионажа, как первой фазы неопознанной кибервойны.

В марте 2013 года опубликован очередной сводный доклад о глобальных угрозах национальной безопасности США, подготовленный при участии всех 16 разведывательных и контрразведывательных структур США-Statement for the Record Worldwide Threat Assessment of the US Intelligence Community.

В докладе впервые киберугрозы четко и безоговорочно поставлены на первое место и особо выделены из спектра прочих угроз национальной безопасности США. Причем, киберугрозы в докладе трактуются весьма расширительно. Они включают наряду с атаками на государственные и военные сети, на критически важные объекты и сети, также кибершпионаж, не только в отношении правительственных учреждений, но и американских корпораций. В их состав включаются также хакерские атаки, например, на банки Wall Street и крупнейшие компании электронной коммерции типа Amazon и eBay и т. п. При этом в числе стран, с которыми связываются указанные угрозы, выделяются в первую очередь Китай и Россия.

Впервые в доклад добавлен раздел про угрозу усиления глобального контроля над интернетом со стороны национальных государств и попытку перекраивания глобальной модели управления Сетью, предпринятую Россией, Китаем и Ираном на Всемирной конференции по международной электросвязи (ВКМЭ), проведенной Международным союзом электросвязи в Дубае в декабре 2012 г.

Бывший на тот момент главой АНБ и Киберкомандования США генерал Кейт Александер в марте 2013 года, отвечая на вопросы конгрессменов, особо подчеркнул, что американская доктрина «кибернаступления требует глубокого, постоянного и повсеместного присутствия в сетях противников, чтобы в нужный момент добиться максимального эффекта… Непревзойденный эффект по поражению систем противника будет достигнут за счет американского технологического и эксплуатационного превосходства» в сфере информационных технологий. Действующая в настоящее время Президентская Директива № 20, выданная руководителям национальной безопасности и разведки в октябре 2012 года, включает ряд процедур для обеспечения законности кибератак. Директива указывает, что правительство считает, что кибератаки, известные как «Наступательные кибероперации» (ОСЕО от англ. Offensive Cyber Effects Operations), происходят все чаще и кибернетическая война может быть очень близко.

Наступательные кибероперации могут предоставить уникальные и нетривиальные возможности улучшения позиций США во всем мире «без или с малым предупреждением» противника или цели, с потенциальным воздействием от незначительных до серьезных повреждений», – говорится в Директиве № 20. «Правительство США должно определить потенциальные цели национального значения, где ОСЕО-операции могут предоставить лучший по сравнению с другими силовыми инструментами государства баланс эффективности и потенциального риска».

Еще в 2008 г. журнал Вооруженных сил США AFJ опубликовал большую статью полковника Чарльза Уильямсона III «Ковровые бомбардировки в киберпространстве». В этой статье полковник Уильямсон пишет: «Америке необходима сеть боевых программ, которые могут направить такое количество трафика на сервера противника, что они больше не смогут функционировать и превратятся в бесполезные куски металла и пластика. Америка нуждается в создании программ, обеспечивающих эффект ковровых бомбардировок киберпространства. Это позволит получить сдерживающий фактор, которого у нас пока нет». Развивая подход «ковровых бомбардировок в киберпространстве», Президентская директива № 20 предусматривает, что новые наступательные кибероперации «обеспечат потенциальные эффекты, начиная от едва заметного до причиняющего серьезный ущерб». К числу наступательных киберопераций в Директиве отнесены «перехват управления, нарушение функционирования, физическое уничтожение хранимой информации, компьютеров и их сетей, систем связи, а также управляемых компьютерами объектов физической или виртуальной инфраструктуры». В Директиве предусматривается, что при проведении киберопераций возможны «очень значительные последствия и разрушения для противника».

Основополагающей информацией, которая с уверенностью позволяет говорить о развертывании Соединенными Штатами сети глобального кибершпионажа, как первой фазы превентивной неопознанной кибервойны, являются сведения о многофункциональных программных продуктах для этих целей.

В 2013 году «Лаборатория Касперского» провела анализ платформы Flame, разработанной ориентировочно в конце 2010 г. и используемой как одна из базисных платформ для создания кибервооружений. Согласно мнению ведущего эксперта «Лаборатории Касперского» Александра Гостева: «Flame – это троянская программа, бэкдор, имеющая также черты, свойственные червям и позволяющие ей распространяться по локальной сети и через съемные носители при получении соответствующего приказа от ее хозяина. По размеру Flame почти в 20 раз больше Stuxnet и включает в себя много различных функций для проведения атак и кибершпионажа. У Flame нет большого сходства с Stuxnet/Duqu.

Flame-это большой набор инструментов, состоящий более чем из 20 модулей. Назначение большинства связано с тестированием уязвимостей, обеспечением проникновения и его маскировкой, поддержанием долговременного доступа в закрытую сеть через уязвимости, снятием разнообразных типов информации и кражей файлов из сети или аппаратного средства, и, наконец, с разрушением и/или перехватом управления физическими объектами и сетями.

По наблюдениям экспертов в сфере кибербезопасности, хозяева Flame искусственно поддерживают количество зараженных систем на некоем постоянном уровне. Это можно сравнить с последовательной обработкой полей: они заражают несколько десятков, затем проводят анализ данных, взятых на компьютерах жертв, деинсталируют Flame из систем, которые им неинтересны, и оставляют в наиболее важных, после чего начинают новую серию заражений».

Благодаря опубликованному в газете Washington Post от 30.08.2013 г. очередному материалу, основывающемуся на разоблачениях Э. Сноудена, стало известно о наличии обширной программы под кодовым названием GENIE. В рамках этой программы американские компьютерные специалисты осуществляют проникновение в зарубежные сети с тем, чтобы поставить их под негласный контроль США. В бюджетных документах указано, что 652 млн. долларов было потрачено на разработку и использование «секретных имплантатов» (сложных многофункциональных вредоносных программ), при помощи которых ежегодно инфицируются десятки тысяч компьютеров, серверов, маршрутизаторов и т. п. по всему миру.

К концу 2013 года в рамках программы GENIE по всему миру было заражено как минимум 85 тыс. стратегических серверов. Это практически четырехкратное увеличение по сравнению с соответствующим показателем в 2008 г.

Единственным ограничением для АНБ в количестве взятых под контроль аппаратных средств является необходимость использования на сегодняшний день людей-операторов для извлечения информации и осуществления удаленного контроля над взломанными машинами. Даже со штатом 1870 человек GENIE максимально использует только 8448 из 68975 машин с внедренными имплантатами по состоянию на 2011 г. Сейчас АНБ внедряет автоматизированную систему под кодовым названием TURBINE, которая должна позволить в автоматизированном режиме управлять миллионами имплантатов для сбора разведывательной информации и осуществления активных атак, вплоть до разрушения и/или перехвата управления над материальными объектами и сетями по всему миру. На расчетную мощность система TURBINE выйдет с началом полноценной эксплуатации сданного в 2013 г. нового огромного датацентра АНБ в штате Юта.

Согласно опубликованным в составе досье Сноудена документам, программное обеспечение для наступательных операций нацелено, прежде всего, не на отдельные компьютеры, а на сети. Оно решает задачу проникновения в сети противника, используя известные и обнаруживаемые самим Агентством уязвимости, которые содержатся не только в программах и технических средствах, разработанных противником, но и в харде и софте, используемых по всему миру известных брендов, большинство из которых производится в США. В настоящее время по разным оценкам от 65 до 75 % коммерчески реализуемого на мировых рынках программного обеспечения, производится компаниями под американской юрисдикцией. На корпорации из Соединенных Штатов и их ближайших союзников приходится более 85 % производства своего рода «сердца компьютеров» – от планшетников до серверов – процессоров. Как стало известно, подавляющее большинство этих компаний в рамках сотрудничества с американским разведывательным сообществом намерено оставляют в своей продукции те или иные уязвимости, облегчающие несанкционированное проникновение и закладку логических бомб, выводящих в нужный момент компьютеры из строя.

В бюджетных материалах, обнародованных Эдвардом Сноуденом, говорится о 231 наступательной кибероперации. Однако из сопроводительных документов к бюджету становится ясным, что это лишь верхушка айсберга. Из анализа опубликованных документов становится понятным, что это активные операции Киберкомандования, санкционированные в соответствии с законодательством высшим руководством Соединенных Штатов. В то же время, в соответствии с законодательством для собственно разведывательных операций в большинстве случаев таких санкций не требуется. Между тем, как видно из анализа компьютерных вооружений, одна и та же программная платформа может использоваться как для кибершпионажа, так и для разрушительных киберопераций. В отличие от материального мира, чтобы перейти грань между шпионажем и войной в киберпространстве, достаточно только активировать один дополнительный модуль программы, а именно боевую программу на уничтожение или перехват управления материальными объектами и сетями.

Подлинным откровением опубликованных в рамках бюджетного доклада документов из досье Э. Сноудена стала активная вовлеченность ЦРУ в наступательные кибероперации. В чем чрезвычайная важность именно этого факта? Она состоит в том, что в отличие от АНБ, ЦРУ имеет право вербовать агентов, а также использовать в качестве агентов сторонние, никак не связанные контрактными отношениями с правительством США, компании и организации. В сочетании с информацией о том, что АНБ в 2013 г. потратило более чем 25 млн. долларов на «дополнительные тайные покупки программ обнаружения уязвимостей в программном обеспечении» у частных производителей хакерского софта на так называемом «сером» рынке, это означает возможность для американского разведывательного сообщества вести частные, формально не связанные с правительством США, кибервойны против любой страны мира.

Эти войны могут вестись тайными компаниями-агентами ЦРУ с использованием финансируемого правительством США, но формально никак с ним не связанного, боевого софта. Т. е. фактически кибервойны сколь угодно высокой степени интенсивности против любого противника могут вестись частными кибервоенными компаниями вне всякой формальной привязки к США, но при финансировании и всех видах поддержки со стороны Пентагона и американского разведывательного сообщества. Это означает полную бесконтрольность кибервойн. Особая же опасность состоит в том, что эти квазичастные киберармии могут использовать для своих боевых действий уязвимости, обнаруженные государственным разведывательным софтом в рамках вполне законной деятельности.

Совокупность фактов и сведений позволяет с уверенностью утверждать, что кибервойна США против остального мира, и в первую очередь Китая, России и Ирана уже началась. Пока она находится на первой стадии эскалации, а именно в фазе тотального шпионажа, обнаружения множественных уязвимостей и внедрения в них программ-имплантатов многоцелевого применения. Причем, в любой момент начальная фаза неопознанной войны может по сигналу оператора быть переведена в фазу разрушительных в прямом физическом смысле этого слова военных действий.

Нельзя не отметить, что в первую фазу эскалации кибервойн вступили не одни Соединенные Штаты. Другим крупнейшим актором кибершпионажа, а соответственно и разработки многоцелевых вредоносных разведывательных и боевых программ, является Китай.

По оценкам экспертов в сфере информационной безопасности и кибервойн на сегодняшний день лучшие в мире кибервойска имеются в составе Народно-освободительной армии Китая (НОАК). Китайская армия, технически проигрывая американцам в обычном и ядерном вооружениях, уже долгие годы целенаправленно вкладывает деньги именно в информационные технологии. В итоге ей удалось создать на сегодняшний день наиболее эшелонированную и мощную кибероборону страны, одновременно развивая наступательные кибервооружения. Китай сделал ключевым элементом своей военной стратегии «ассиметричное сдерживание» за счет создания киберподразделений.

Развитие китайских кибервойск осуществляется в соответствии с пятнадцатилетней стратегией (2006–2020 гг.) информатизации Китая, включающей вопросы использования киберсредств в целях национальной безопасности. Согласно специальному докладу ASPI (Австралийского института стратегической политики, связанного с австралийским разведывательным сообществом) «Enter the Cyber Dragon», опубликованном в июне 2013 г., структура кибервойск Китая выглядит следующим образом.

Китайские кибервойска сосредоточены во Втором, Третьем и Четвертом департаментах НОАК. Причем, решающую роль в кибервойнах призваны играть Третий департамент, обеспечивающий кибершпионаж и киберконтрразведку и Четвертый департамент, ответственный за атаки на компьютерные сети.

Помимо государственных кибервойск, соответствующие подразделения НОАК тесно взаимодействуют с Red Hacker Alliance. RHA является своего рода неформальной, но управляемой государством сетью хакеров, включающую десятки тысяч хакеров из Китая и других стран, в основном из китайской диаспоры по всему миру.

Помимо всемирно известных успехов китайцев в кибершпионаже, уже зафиксировано несколько случаев использования ими сложных платформ, типа многофункциональных троянов. В частности, они использовались в сентябре 2010 г. против австралийских правительственных сетей, в январе 2012 г. против европейского военного авиакосмического агентства и известной компании по безопасности ASC. Кроме того, многие эксперты связывают с RHA размещение вредоносных имплантатов в сентябре 2012 г. в сетях аэрокосмических предприятий, принадлежащих правительству Индии, а также в марте 2011 г. в сетях RSA – крупнейшей компании-производителе электронных ключей безопасности. В результате, предположительно, китайским хакерам удалось проникнуть в корпоративные сети крупнейших подрядчиков Пентагона L-3 Communications Lockheed Martin и Northrop Groumman, и изъять стратегически важную научно-техническую и технологическую документацию, касающуюся военных разработок.

Наряду с Соединенными Штатами и Китаем объявили о создании киберподразделений в составе вооруженных сил Израиль, Великобритания, Иран, Германия и т. п.