Инспекция в киберпространстве

Ценность международных соглашений о запрете определенных видов кибервоенной деятельности или о ненападении отчасти зависит от нашей способности выявлять нарушения и возлагать на нарушителей ответственность. Принципы контроля над традиционными вооружениями едва ли применимы в киберпространстве. Чтобы удостовериться в соблюдении ограничений на количество подводных лодок или ракетных стартовых шахт, достаточно нескольких снимков из космоса. Сложно спрятать судостроительный завод, на котором производятся подводные лодки, или ракетную базу. Для проверки количества более мелких объектов, таких как боевые машины, на военные базы отправляется инспекция. Чтобы убедиться в том, что на ядерных реакторах не ведется незаконная деятельность, инспекторы МАГАТЭ (Международного агентства по атомной энергетике) устанавливают камеры наблюдения в помещениях, ставят пломбы и идентификаторы на ядерных материалах. Международные группы берут пробы химических веществ на химзаводах, отыскивая доказательства незаконного производства химического оружия. Для того чтобы отслеживать испытания ядерного оружия, существует международная сеть сейсмических датчиков, а страны делятся друг с другом полученными данными. Только эта сейсмическая сеть да, пожалуй, команды МАГАТЭ могут служить образцом в случае контроля над кибервооружениями. Нереально обнаружить кибероружие из космоса и даже в ходе непосредственного осмотра военных баз. Ни одно государство не согласится, чтобы международные группы инспекторов проверяли, какие специальные программы используются в его компьютерных сетях для защиты секретной информации. Даже если в какой-нибудь параллельной вселенной какая-нибудь страна согласилась бы на такую проверку военных и гражданских компьютерных сетей, она могла бы спрятать кибероружие на флэш-карте или компакт-диске где угодно. Соблюдение запрета на разработку, обладание или испытание кибероружия в закрытых сетях (таких, как National Cyber Range, разработанная Университетом Джонса Хопкинса и корпорацией «Локхид») сложно проконтролировать.

Фактическое использование кибероружия отследить уже проще, последствия атаки часто вполне заметны. Специалисты по судебной компьютерной экспертизе, как правило, способны определить, какие методы были задействованы, даже если не удается выяснить, как злоумышленники проникли в сеть. Но проблема атрибуции остается, даже когда атака состоялась. Техники отслеживания и журналы интернет-провайдера порой помогают узнать, какая страна причастна ко взлому, но этого недостаточно для того, чтобы доказать вину конкретного правительства. К тому же существует риск ложных обвинений. Кибератаки против Грузии наверняка организовала Россия, но компьютер, управляющий ботнетом, находился в Бруклине.

Даже если страна признает, что атака была произведена с компьютеров, расположенных на ее территории, вину можно переложить на анонимных граждан. Именно так и поступило российское правительство во время кибератак на Эстонию и Грузию. Так же поступило китайское правительство в 2001 году, когда было обнаружено проникновение в сети США после инцидента с американским самолетом-шпионом, который якобы вторгся в китайское воздушное пространство. Хакеры и в самом деле могут оказаться простыми гражданами, хотя такие действия наверняка совершаются с благословления и разрешения правительств.

Один из способов решить проблему атрибуции—переложить бремя доказывания со следователя и обвинителя на страну, с территории которой была запущена атакующая программа. Подобный ход использовался в практике борьбы с международной преступностью и терроризмом. В декабре 1999 года Майкл Шихен, тогда представитель США, должен был передать Талибану простое сообщение. Шихену поручили дать понять представителям Талибана, что именно они понесут ответственность за любую атаку, предпринятую «Аль-Каидой» против Соединенных Штатов или их союзников. Поздно вечером Шихен через переводчика передал это сообщение по телефону представителю Мулла Моххамед Омара, лидера Талибана. Чтобы донести суть, Шихен нашел такую простую аналогию: «Если в вашем подвале живет поджигатель, который каждую ночь выходит и сжигает дотла дома ваших соседей, а вы знаете, что происходит, нельзя утверждать, что вы за это неответственны». Мулла Моххамед Омар не выселил поджигателя из своего подвала, он продолжал укрывать Бен Ладена и его последователей даже после 11 сентября. Мулла Моххамед Омар во время написания этой книги прячется где-то в подвале, а его ищут армии НАТО, США и Афганистана.

«Принцип поджигателя» вполне применим к кибервойне. Хоть мы и рассуждаем о киберпространстве как об абстрактном пятом измерении, оно вполне материально. Его физические компоненты — высокоскоростные оптоволоконные магистрали, каждый маршрутизатор, сервер — располагаются на территории конкретных стран, за исключением разве что подводных кабелей и телекоммуникационных спутников. Но даже ими владеют страны или компании, у которых есть реальные физические адреса. Некоторые любят порассуждать о проблеме суверенитета в Интернете — никто не владеет киберпространством во всей его полноте и никто не несет ответственности за его целостность и безопасность. «Принцип поджигателя» можно использовать под названием «национальная ответственность за киберпространство». Он сделал бы каждого человека, компанию, интернет-провайдера, страну ответственными за безопасность своей части киберпространства.

Тогда страны вроде России больше не имели бы права утверждать, что они не контролируют своих так называемых патриотических «хактивистов». Международное соглашение позволило бы государствам совместно отстранять таких хакеров от участия в незаконной международной деятельности или, по крайней мере, потребовать от конкретных стран прилагать максимальные усилия для этого. Кроме того, страна, подписавшая международное соглашение, должна соблюдать гарантию содействия. Там могут содержаться требования быстро реагировать на запросы международного следствия, изымать и хранить журналы серверов и маршрутизаторов, принимать международных следователей и содействовать им, вызывать граждан своей страны на допросы, преследовать граждан в судебном порядке за определенные преступления. Существующая с 2001 года Конвенция Совета Европы по киберпреступности включает многие из перечисленных гарантий, и Соединенные Штаты входят в эту конвенцию. Наш суверенитет не пострадал от бюрократической системы Старой Европы. Наоборот, подписав конвенцию, Соединенные Штаты пообещали принимать любой новый закон, необходимый для наделения правительства США полномочиями для выполнения гарантий этого соглашения.

В отличие от существующей конвенции по киберпреступности конвенция по кибервойне обяжет страны следить за тем, чтобы интернет-провайдеры прекращали обслуживать людей и устройства, участвующие в атаках, и сообщали о них властям. Такое условие означало бы, что интернет-провайдерам придется выявлять и блокировать «черви», ботнеты, DDoS-атаки и прочую злоумышленную деятельность. (Процесс идентификации вредоносного ПО не так сложен, как проверка информационных пакетов, он может быть реализован через анализ потоков—вы просто продвигаетесь по сети и обращаете внимание на «острые» импульсы или критические паттерны.) Если стране не удается успешно привлекать интернет-провайдеров к сотрудничеству, в международном соглашении должна быть предусмотрена процедура, которая перекладывает ответственность на другие государства. Интернет-провайдер может быть занесен в международный черный список, и тогда все страны—участники конвенции обязаны будут заблокировать работу этого провайдера до тех пор, пока он не подчинится и не разберется с ботнетом и другими вредоносными программами.

Такое международное соглашение отчасти решило бы проблему атрибуции с помощью перекладывания ответственности. Даже если взломщика определить не удастся, появится кто-то, ответственный за прекращение атаки и расследование. Большинству стран даже не придется создавать новые отделы для киберрасследований. Такие страны, как Китай и Россия, способны устанавливать личности хакеров и быстро пресекать их деятельность. Как сказал Джим Льюис из Центра стратегических и международных исследований, «если какой-нибудь хакер из Петербурга попробует взломать сеть Кремля, ему хватит пальцев на одной руке, чтобы сосчитать оставшиеся часы жизни». Будьте уверены, то же самое ждет любого жителя Китая, который попытается проникнуть в сеть Народно-освободительной армии. Если Китай и Россия подпишут подобное соглашение о кибервойне, они не смогут больше обвинять в DDoS-атаках своих граждан и спокойно бездействовать. Неспособность быстро действовать против хакеров приведет к тому, что страна будет признана нарушителем и, что более важно, другие государства откажутся от услуг проблемных интернет-провайдеров. Государства имеют возможность остановить такой дефектный трафик, но в отсутствие правовых рамок делают это очень неохотно. Соглашение не только позволит странам блокировать такой трафик, но и обяжет их это делать.

Но этого недостаточно, чтобы полностью решить проблему атрибуции. Российская ботнет-атака может пойти из Бруклина. Тайваньский хакер способен атаковать сайты китайского правительства, сидя в интернет-кафе в Сан-Франциско. Но по условиям такого соглашения Соединенным Штатам пришлось бы пресечь действия ботнета и начать активное расследование. В случае с гипотетическим тайваньским агентом, вторгшимся в китайскую сеть, Китай, обнаружив это, должен будет обратиться в ФБР и Секретную службу США с просьбой помочь китайской полиции отследить преступника в Сан-Франциско. Если его найдут, то привлекут к суду за нарушение американского закона. Конечно, любая страна может сказать, что ищет хакера, а в действительности этого не делать или провести расследование и не обнаружить виновного. Когда обнаружен ботнет, управляемый через интернет-провайдера конкретной страны, государство может потребовать время на принятие мер. Чтобы понять, действительно ли что-то предпринимается, понадобится международная следственная комиссия. Специалисты, действующие в рамках этой комиссии, будут представлять отчеты странам — участницам конвенции о том, действует или нет конкретное государство в духе соглашения. Можно создавать международные инспекционные группы, сходные с группами, работающими в рамках Договора о нераспространении ядерного оружия, запрета на химическое оружие и Европейского соглашения о безопасности и сотрудничестве. Такие группы могут приглашаться для содействия в проверке кибератаки, нарушающей соглашения. Они помогут определить, из какой страны была запущена атака. При добровольном согласии стран-участниц международные эксперты могут размещать отслеживающее потоки оборудование на ключевых узлах, ведущих в сети стран, чтобы облегчить обнаружение и поиск атак.

Международные эксперты могут руководить центром, с которым будут связываться государства, считающие, что подвергаются кибератаке. Представьте, что на израильскую сеть в три часа утра по тель-авивскому времени обрушивается DDoS-атака с ботнетов провайдера в Александрии (Египет). В Израиле, как и во всех странах — участницах нашей гипотетической конвенции, есть постоянно действующий центр кибербезопасности. Сотрудники израильского центра информируют международный центр, расположенный, скажем, в Таллинне, что кибератака началась с конкретного интернет-провайдера в Египте. Международный центр связывается с египетским центром в Каире и требует немедленно расследовать, обнаружены ли ботнеты этого интернет-провайдера в Александрии. Международные эксперты могут засечь, сколько времени понадобится Египту на обнаружение и пресечение атаки. Возможно, они смогут проследить потоки трафика, идущего через маршрутизаторы, соединяющие Египет с остальным миром, и обнаружить ботнет. Египет будет обязан представить отчет о расследовании. Если инцидент подтвердится, международные эксперты вышлют следственную группу для помощи и наблюдения за действиями властей, которая подготовит отчет для стран — участниц соглашения.

К странам, пренебрегающим правилами, следует применять санкции. Помимо отказа других стран работать с провайдером-нарушителем могут последовать санкции со стороны международных организаций. В качестве более решительных мер предложим отказ в предоставлении виз должностным лицам страны-нарушителя, ограничение исходящего и входящего в страну кибертрафика или отключение страны от международного киберпространства на определенный срок.

Такие проверки и меры не решают проблему атрибуции. Они не помешают злоумышленникам представить невиновную страну источником кибератаки. Однако они осложнят возможность проведения некоторых видов кибератак, установят международные нормы, обяжут страны оказывать содействие и создадут международное сообщество экспертов для совместной борьбы с кибервойной. Важно помнить, что организация атак такого масштаба требует усилий государственного уровня, и только несколько государств обладают такими возможностями. Список потенциальных нападающих невелик. Атрибуция — главная проблема киберпреступности, но что касается войны, расследование и традиционная разведка быстро сократят число подозреваемых.

Из нашего обсуждения проблем контроля над вооружениями можно сделать пять выводов.

Во-первых, в отличие от других форм контроля над вооружениями, которые предусматривают ликвидацию определенных видов оружия, контроль над кибервооружениями не сокращает арсенал. Он просто запрещает конкретные действия, а страна может как соблюдать условия соглашения, так и внезапно нарушить их без всякого предупреждения.

Во-вторых, расширенное определение кибероружия, включающее кибершпионаж, делает его неверифицируемым и невыгодным для нас. Тем не менее национальные службы разведки и правительства должны создать каналы для дискуссий, чтобы разведывательная деятельность не вышла из-под контроля и не истолковывалась как имеющая враждебные намерения.

В-третьих, международные соглашения, запрещающие определенные действия, например кибератаки на гражданскую инфраструктуру, отвечают нашим интересам. Но поскольку такие атаки все равно могут произойти, в соглашениях нельзя принижать необходимость оборонительных мер для защиты гражданской инфраструктуры.

В-четвертых, полная уверенность в соблюдении ограничений, сформулированных в соглашении, невозможна. Мы, вероятно, сумеем подтвердить факт нарушения, но атрибуция атаки — вопрос сложный, к тому же атакующие намеренно могут запутать следы. Тем не менее существуют меры, которые могут содействовать соблюдению международного запрета кибератак на гражданские объекты, в частности создание международного экспертного совета, ответственность федеральной власти за нарушения, происходящие на ее территории, и гарантия содействия в пресечении и расследовании атак.

Запрет кибератак на гражданскую инфраструктуру, вероятно, приведет к тому, что нам и другим странам придется прекратить любую деятельность, связанную с установкой логических бомб и лазеек в гражданских сетях других стран. Эти вопросы мало обсуждаются СМИ и населением, на самом деле они очень опасны и провокационны, поскольку последствия их применения сопоставимы с результатами войны, но без солдат и смертей. Однако при этом они свидетельствуют о враждебных намерениях больше, чем любое другое оружие в арсенале страны. Применить их можно легко и просто, без всякого разрешения и без осознания масштабов возможного обострения политической обстановки. Даже если война начнется в киберпространстве и будет вестись без солдат и кровопролития, едва ли она останется такой навсегда. Если мы устанавливаем кибероружие в инфраструктурных сетях других стран, война может разгореться очень легко.