Ричард Кларк - Третья мировая война. Какой она будет
Фактическое использование кибероружия отследить уже проще, последствия атаки часто вполне заметны. Специалисты по судебной компьютерной экспертизе, как правило, способны определить, какие методы были задействованы, даже если не удается выяснить, как злоумышленники проникли в сеть. Но проблема атрибуции остается, даже когда атака состоялась. Техники отслеживания и журналы интернет-провайдера порой помогают узнать, какая страна причастна ко взлому, но этого недостаточно для того, чтобы доказать вину конкретного правительства. К тому же существует риск ложных обвинений. Кибератаки против Грузии наверняка организовала Россия, но компьютер, управляющий ботнетом, находился в Бруклине.
Даже если страна признает, что атака была произведена с компьютеров, расположенных на ее территории, вину можно переложить на анонимных граждан. Именно так и поступило российское правительство во время кибератак на Эстонию и Грузию. Так же поступило китайское правительство в 2001 году, когда было обнаружено проникновение в сети США после инцидента с американским самолетом-шпионом, который якобы вторгся в китайское воздушное пространство. Хакеры и в самом деле могут оказаться простыми гражданами, хотя такие действия наверняка совершаются с благословления и разрешения правительств.
Один из способов решить проблему атрибуции—переложить бремя доказывания со следователя и обвинителя на страну, с территории которой была запущена атакующая программа. Подобный ход использовался в практике борьбы с международной преступностью и терроризмом. В декабре 1999 года Майкл Шихен, тогда представитель США, должен был передать Талибану простое сообщение. Шихену поручили дать понять представителям Талибана, что именно они понесут ответственность за любую атаку, предпринятую «Аль-Каидой» против Соединенных Штатов или их союзников. Поздно вечером Шихен через переводчика передал это сообщение по телефону представителю Мулла Моххамед Омара, лидера Талибана. Чтобы донести суть, Шихен нашел такую простую аналогию: «Если в вашем подвале живет поджигатель, который каждую ночь выходит и сжигает дотла дома ваших соседей, а вы знаете, что происходит, нельзя утверждать, что вы за это неответственны». Мулла Моххамед Омар не выселил поджигателя из своего подвала, он продолжал укрывать Бен Ладена и его последователей даже после 11 сентября. Мулла Моххамед Омар во время написания этой книги прячется где-то в подвале, а его ищут армии НАТО, США и Афганистана.
«Принцип поджигателя» вполне применим к кибервойне. Хоть мы и рассуждаем о киберпространстве как об абстрактном пятом измерении, оно вполне материально. Его физические компоненты — высокоскоростные оптоволоконные магистрали, каждый маршрутизатор, сервер — располагаются на территории конкретных стран, за исключением разве что подводных кабелей и телекоммуникационных спутников. Но даже ими владеют страны или компании, у которых есть реальные физические адреса. Некоторые любят порассуждать о проблеме суверенитета в Интернете — никто не владеет киберпространством во всей его полноте и никто не несет ответственности за его целостность и безопасность. «Принцип поджигателя» можно использовать под названием «национальная ответственность за киберпространство». Он сделал бы каждого человека, компанию, интернет-провайдера, страну ответственными за безопасность своей части киберпространства.
Тогда страны вроде России больше не имели бы права утверждать, что они не контролируют своих так называемых патриотических «хактивистов». Международное соглашение позволило бы государствам совместно отстранять таких хакеров от участия в незаконной международной деятельности или, по крайней мере, потребовать от конкретных стран прилагать максимальные усилия для этого. Кроме того, страна, подписавшая международное соглашение, должна соблюдать гарантию содействия. Там могут содержаться требования быстро реагировать на запросы международного следствия, изымать и хранить журналы серверов и маршрутизаторов, принимать международных следователей и содействовать им, вызывать граждан своей страны на допросы, преследовать граждан в судебном порядке за определенные преступления. Существующая с 2001 года Конвенция Совета Европы по киберпреступности включает многие из перечисленных гарантий, и Соединенные Штаты входят в эту конвенцию. Наш суверенитет не пострадал от бюрократической системы Старой Европы. Наоборот, подписав конвенцию, Соединенные Штаты пообещали принимать любой новый закон, необходимый для наделения правительства США полномочиями для выполнения гарантий этого соглашения.
В отличие от существующей конвенции по киберпреступности конвенция по кибервойне обяжет страны следить за тем, чтобы интернет-провайдеры прекращали обслуживать людей и устройства, участвующие в атаках, и сообщали о них властям. Такое условие означало бы, что интернет-провайдерам придется выявлять и блокировать «черви», ботнеты, DDoS-атаки и прочую злоумышленную деятельность. (Процесс идентификации вредоносного ПО не так сложен, как проверка информационных пакетов, он может быть реализован через анализ потоков—вы просто продвигаетесь по сети и обращаете внимание на «острые» импульсы или критические паттерны.) Если стране не удается успешно привлекать интернет-провайдеров к сотрудничеству, в международном соглашении должна быть предусмотрена процедура, которая перекладывает ответственность на другие государства. Интернет-провайдер может быть занесен в международный черный список, и тогда все страны—участники конвенции обязаны будут заблокировать работу этого провайдера до тех пор, пока он не подчинится и не разберется с ботнетом и другими вредоносными программами.
Такое международное соглашение отчасти решило бы проблему атрибуции с помощью перекладывания ответственности. Даже если взломщика определить не удастся, появится кто-то, ответственный за прекращение атаки и расследование. Большинству стран даже не придется создавать новые отделы для киберрасследований. Такие страны, как Китай и Россия, способны устанавливать личности хакеров и быстро пресекать их деятельность. Как сказал Джим Льюис из Центра стратегических и международных исследований, «если какой-нибудь хакер из Петербурга попробует взломать сеть Кремля, ему хватит пальцев на одной руке, чтобы сосчитать оставшиеся часы жизни». Будьте уверены, то же самое ждет любого жителя Китая, который попытается проникнуть в сеть Народно-освободительной армии. Если Китай и Россия подпишут подобное соглашение о кибервойне, они не смогут больше обвинять в DDoS-атаках своих граждан и спокойно бездействовать. Неспособность быстро действовать против хакеров приведет к тому, что страна будет признана нарушителем и, что более важно, другие государства откажутся от услуг проблемных интернет-провайдеров. Государства имеют возможность остановить такой дефектный трафик, но в отсутствие правовых рамок делают это очень неохотно. Соглашение не только позволит странам блокировать такой трафик, но и обяжет их это делать.
Но этого недостаточно, чтобы полностью решить проблему атрибуции. Российская ботнет-атака может пойти из Бруклина. Тайваньский хакер способен атаковать сайты китайского правительства, сидя в интернет-кафе в Сан-Франциско. Но по условиям такого соглашения Соединенным Штатам пришлось бы пресечь действия ботнета и начать активное расследование. В случае с гипотетическим тайваньским агентом, вторгшимся в китайскую сеть, Китай, обнаружив это, должен будет обратиться в ФБР и Секретную службу США с просьбой помочь китайской полиции отследить преступника в Сан-Франциско. Если его найдут, то привлекут к суду за нарушение американского закона. Конечно, любая страна может сказать, что ищет хакера, а в действительности этого не делать или провести расследование и не обнаружить виновного. Когда обнаружен ботнет, управляемый через интернет-провайдера конкретной страны, государство может потребовать время на принятие мер. Чтобы понять, действительно ли что-то предпринимается, понадобится международная следственная комиссия. Специалисты, действующие в рамках этой комиссии, будут представлять отчеты странам — участницам конвенции о том, действует или нет конкретное государство в духе соглашения. Можно создавать международные инспекционные группы, сходные с группами, работающими в рамках Договора о нераспространении ядерного оружия, запрета на химическое оружие и Европейского соглашения о безопасности и сотрудничестве. Такие группы могут приглашаться для содействия в проверке кибератаки, нарушающей соглашения. Они помогут определить, из какой страны была запущена атака. При добровольном согласии стран-участниц международные эксперты могут размещать отслеживающее потоки оборудование на ключевых узлах, ведущих в сети стран, чтобы облегчить обнаружение и поиск атак.
