Кибервойн@. Пятый театр военных действий - Шейн Харрис

В 50 км от делового центра Вашингтона, в пригороде Гейтерсберга, вдоль оживленной улицы напротив клуба Sam’s Club, транспортного агентства и магазина игрушек Toys R Us расположилось невысокое офисное здание. Пара охранников на проходной – первый признак того, что это не просто очередной склад самообслуживания или банальный офисный центр. В почти лишенном окон крыле здания площадью 7600 м2 находится кибернетический наблюдательный центр. Несколько десятков аналитиков и исследователей вредоносного ПО наблюдают за трафиком в глобальной распределенной сети компьютеров и серверов, на которых хранится часть самой секретной информации в Соединенных Штатах, в том числе чертежи реактивных истребителей, ракетных систем и спутников-шпионов. Однако это здание, которое может сойти за сверхсекретный объект, место которому в Форт-Миде или Пентагоне, не контролируется властями и не принадлежит им. В этом здании находится NexGen Cyber Innovation & Technology Center, и принадлежит оно компании Lockheed Martin – крупнейшему оборонному подрядчику. Здесь, а также в подобных центрах, расположенных в Денвере, в Фарнборо в Англии, в Канберре в Австралии, компания, которая сделала свое имя на разработке систем вооружений, создает новый бизнес в сфере киберобороны.

Проблему кибербезопасности Lockheed изучила, что называется, из первых рук, когда в 2006 г. компания подверглась атаке китайских хакеров, похитивших чертежи Единого ударного истребителя. Компания является крупнейшим поставщиком товаров и услуг в сфере информационных технологий для гражданских и разведывательных агентств, а также для военных ведомств, а потому представляет повышенный интерес для хакеров. После кибератаки компания потратила несколько лет на подробное изучение методов и технологий, используемых хакерами для взлома ее секретных систем и похищения государственных тайн. Молодой аналитик Lockheed Эрик Хатчинс как-то услышал, что для описания всех шагов, которые нужно пройти, прежде чем открыть огонь, начиная от идентификации цели и до определения ее точного географического положения, некоторые военные летчики используют термин kill chain[20]. Хатчинс предположил, что продвинутые хакеры, которые пытаются проникнуть в компьютерные сети Lockheed, также следуют некой пошаговой процедуре: выискивают цели, приобретают вредоносное ПО, запускают фишинговые атаки и в конце концов похищают данные. В сотрудничестве с двумя коллегами он адаптировал военную концепцию, после чего cyber kill chain стала основой для оборонной стратегии Lockheed. Компания применяет эту стратегию для защиты не только собственных сетей, но и сетей некоторых своих государственных заказчиков, а также банков, фармакологических компаний и по меньшей мере 17 коммунальных предприятий, которые обмениваются информацией с компанией и позволяют ей осуществлять сканирование их сетевого трафика в поисках угроз.

Cyber kill chain состоит из семи различных этапов, большая часть которых оставляет возможность заблокировать вторжение или атаку еще до их начала. Все начинается с наблюдения и разведки. Lockheed отслеживает ключевые слова, которые приводят пользователей на сайт компании через поиск в Google или в других поисковых машинах. Хакеры ищут в пресс-релизах и на веб-страницах компании имена сотрудников, чтобы более эффективно провести фишинговую атаку. Они устанавливают, какими программами пользуются менеджеры, работающие над конкретными государственными заказами. Они даже отслеживают высказывания и интервью руководителей компании, чтобы в фишинговом электронном письме можно было сослаться на запланированное мероприятие. Компания предупреждает своих сотрудников, ставших потенциальными объектами атаки, чтобы те были особенно внимательны, когда открывают документы, прикрепленные к электронным письмам, или кликают по присланным ссылкам.

На втором этапе, который в Lockheed называют «вооружение», аналитики ищут явные киберкриминалистические улики присутствия вредоносного ПО: к примеру, зараженный pdf-документ, прикрепленный к электронному письму. В Lockheed ведут базу данных всех зараженных pdf-файлов, когда-либо попадавшихся аналитикам компании. Эти данные используются в программах-сканерах, которые автоматически анализируют все электронные письма, получаемые сотрудниками компании, и помещают в карантин письма, которые могут быть заражены вредоносным ПО.

Следующими этапами cyber kill chain являются «доставка» (отправка вредоносной программы по электронной почте или на USB-носителе), «эксплоит», когда аналитики уделяют особое внимание поиску уязвимостей нулевого дня (Хатчинс утверждает, что им удалось обнаружить по крайней мере три эксплоита, использующих уязвимости в продуктах компании Adobe), «установка» на компьютер, «управление и контроль» коммуникаций с узловым компьютером и, наконец, «целевые действия» (похищение файлов, удаление данных или уничтожение элементов физического оборудования). На седьмом этапе хакер представляет максимальную опасность. Если аналитикам Lockheed удается обнаружить подобную активность, то они немедленно извещают руководство компании, ставшей целью атаки. Хакеры, обнаруженные на ранних этапах kill chain, скажем на третьем этапе, менее опасны, поскольку им предстоит пройти еще несколько шагов, прежде чем они смогут причинить какой-либо вред. Если аналитики видят, что хакер может попытаться заразить компьютеры с помощью внешних носителей, компания может запрограммировать свои системы так, чтобы запретить выполнение компьютерных программ с любых USB-дисков. Чем раньше Lockheed или кто-либо еще, кто использует стратегию cyber kill chain, сможет установить защиту, тем более эффективной она будет.

По словам вице-президента по вопросам кибербезопасности, генерала в отставке Чарли Крума, с помощью модели cyber kill chain Lockheed смогла предупредить своих клиентов о потенциальных вторжениях и предотвратить их. Lockheed не раскрывает имена своих заказчиков, поэтому проверить это утверждение невозможно. Концепция cyber kill chain просто соответствует здравому смыслу. Однако многие эксперты в области кибербезопасности, в том числе работающие на конкурентов Lockheed, говорят, что, когда в 2011 г. компания раскрыла свою концепцию киберзащиты, это стало поворотным моментом в эволюции киберобороны. Cyber kill chain разбивала процесс вторжения на отдельные действия и этапы, каждый из которых предоставлял защитникам возможность заблокировать своих противников. Таким образом, обороняющиеся могли более эффективно использовать свои ресурсы, поскольку им не приходилось реагировать на каждое предупреждение, как на экстренную ситуацию. Сyber kill chain предлагала концептуальную схему, как выстроить уровни защиты на дальних подступах и заблокировать взломщиков до того, как они подберутся слишком близко к цели.

Cyber kill chain была важна и еще по одной причине: эта концепция была разработана корпорацией, а не государственным агентством. Хатчинс, который в свои 34 года занимает пост главного информационного аналитика Lockheed, никогда не работал на государство и никогда не служил в вооруженных силах. Фактически он работал только в Lockheed, куда он пришел в 2002 г., получив степень в области компьютерных наук в Виргинском университете. В Lockheed работает много бывших госчиновников и армейских офицеров, и Крум один из них. Он возглавлял Агентство защиты информационных систем, откуда уволился в 2008 г. Однако Lockheed разработала стратегию cyber kill chain как способ собственной защиты. Компания не стала полагаться на помощь АНБ или любого другого агентства. И потом компания превратила свои знания в бизнес.