Киберкомандование и CISA в администрации Трампа и российских операциях

В последние дни мир потрясла ссора в овальном кабинете между Дональдом Трампом и Владимиром Зеленским, которая может свидетельствовать о радикальном изменении направления политики США в отношении Украины. Но если острый обмен мнениями не всегда должен приводить к результатам переговоров, журналисты сообщают, что уже произошли два тревожных изменения. Рекорд сообщилМинистр обороны Пит Хегсет приказал Киберкомандование прекратить операции против России. По данным The Guardian CISA отказывается отслеживать российскую деятельность, поскольку она больше не рассматривается как угроза для США. Конечно, для большинства инфосекских сообществ такие изменения являются большим шоком. Широко известен масштаб деятельности российских групп. Как частные компании, так и правительственные учреждения за эти годы опубликовали множество докладов, описывающих разведывательную и разрушительную сторону операции. Можно упомянуть Взлом избирательного штаба Демократической партии перед выборами в США в 2016 году, Нападение на Олимпийские игрыявляется ли деятельность группы Песочный червь. Тем более шокирующим является то, что активное государство в кибероперациях может потерять приоритет в списке угроз. Обсуждение причин этой ситуации является, однако, вопросом отдельного поста или всей их серии. Давайте попробуем разобраться с последствиями и большей частью этих событий.

Начнем с Киберкомандования и решения прекратить операции против России. Согласно The Record, Пит Хегсет приказал прекратить планирование операций против Российской Федерации, включая кибернаступательные действия. Руководящие принципы предназначены для охвата только киберкомандования и не влияют на деятельность АНБ. Журналисты The Record также указывают, что общий объем руководящих принципов неизвестен. Точнее, касается ли это только строго наступательных подразделений или анализа разведывательных данных и создания резервных копий для наступательных действий, таких как подготовка инструментов и возможностей. И здесь мы подходим к сути проблемы, и вот насколько вредным может быть этот шаг для действий США в киберпространстве. Одна из самых больших проблем с кибероперациями заключается в том, насколько они зависят от точной подготовки. Получение доступа к окружающей среде с целью обеспечения долгосрочного доступа, который приведет к эффективному сбору данных, часто требует многомесячной подготовки, включающей разведку и точное знание используемых технологий или топографии сети.

В случае наступательных операций, которые призваны привести, например, к нарушению связи или прерыванию электроснабжения, ситуация еще сложнее. Злоумышленники должны не только получить доступ к инфраструктуре, но и понять принципы телекоммуникационных сетей или промышленных процессов, а также инженеров, управляющих ими. Вот почему Stuxnet это Трисис Это так сложно. В дополнение к стандартным функциям вредоносных программ, таким как предотвращение обнаружения или выживания системных перезагрузок, они должны были точно взаимодействовать с программным обеспечением управления промышленными устройствами для достижения желаемого эффекта. При этом они не могли преждевременно заинтересовать операторов системы или вызвать сбой всего объекта. Провести подобную деятельность за многие месяцы или даже годы планирования просто не представляется возможным, что заставляет США сейчас эффективно терять способность проводить наступательные операции, например, в ответ на враждебные действия России или в качестве элемента давления в переговорах о прекращении войны на Украине.

Не совсем ясно, будет ли прекращение планирования также включать в себя отказ от уже реализованных возможностей, таких как имплантаты, размещенные в стратегических системах. Однако в обоих случаях эта ситуация отнимает американские возможности на годы. Если имплантаты останутся без дальнейших действий, таких как их обмен или обновление, они в конечном итоге будут обнаружены, что будет иметь последствия как для операционной безопасности, так и для будущих попыток получить доступ. Противник сможет проанализировать свой код и оставленные артефакты, а анализ краж может также выявить способ доступа или инфраструктуру C2. С другой стороны, вывод имплантатов является возвращением к исходной точке для возможности действий и потерянных лет человеко-часов, посвященных планированию, выбору целей, анализу воздействия атак и подготовке сценариев, которые могут быть применены в случае необходимости давления, реагирования на нападение или открытого конфликта с НАТО.

Интересно, что сейчас кампания по подготовке почвы для потенциальных наступательных операций получила широкую огласку. Я говорю о Вольт Тайфун С 2021 года он занимается телекоммуникациями и энергетической инфраструктурой в США, особенно на острове Гуам. Его масштабы, применение ряда мер для сокрытия признаков вторжения, то ли способ построения инфраструктуры С2 хорошо иллюстрируют сложность подготовки к наступательным операциям. Мы можем подчеркнуть, например, инфраструктуру C2, основанную на сети потребительских устройств, или сильный акцент на использование только встроенных системных инструментов при перемещении в окружающей среде. Учитывая, что кампания продолжается и предполагает несколько месяцев подготовки, мы рассматриваем более чем пятилетний проект, направленный на конкретный регион и направленный на достижение конкретной цели. Умножив такую операцию на количество потенциальных целей, которых хотели бы достичь вооруженные силы США в ходе конфликта, можно представить масштаб упущенных возможностей.

Что касается CISA и предполагаемого прекращения обращения России как источника угроз, то этот вопрос не менее серьезен. Здесь, ради формальностей, отметим, что вскоре после публикации в The Guardian администрация Трампа опровергла предполагаемую записку, изменяющую сферу интересов CISA, и заявила, что CISA будет адекватно бороться с любыми угрозами. Но что, если информация The Guardian правдива? Здесь тоже возникает ряд проблем. Во-первых, «следовать за российскими группировками» легко только в контексте рекламных материалов третьих разведчиков. На практике Распределение активности происходит только в самом конце аналитического процесса.когда у нас уже достаточно данных, чтобы хотя бы с умеренной определенностью назначать действия данной группе.

Как такие руководящие принципы будут применяться на практике? Откажутся ли аналитики от групп отслеживания после возможного вклада в Россию? Как насчет артефактов и индикаторов, которые уже были распространены среди команд по кибербезопасности, например: Автоматический обмен индикаторами? На уровне аналитической методологии приказ избегать российской деятельности почти наверняка приведет к тенденции относить то, что более интересно группам аналитиков, к другим странам, или оставить неуказанный вклад, чтобы избежать отказа от отслеживания. Еще более серьезной проблемой станет операция под фальшивым флагом, поскольку другие страны получают очевидную мотивацию выдавать себя за российские группировки. Наконец, в чем конкретно заключается сфера «российской деятельности»? Включает ли она также преступные группировки, действующие из России и с ее неявного согласия? Именно так работают группы вымогателей, которые избегают арестов именно потому, что они недостижимы для юрисдикции западных государств.

Как мы видим, неизвестных много. Одно можно сказать наверняка – оба эти изменения негативно скажутся на способности США противостоять российской активности в киберпространстве. И в контексте США как части НАТО это означает меньший потенциал всего альянса. Представьте себе, что Россия начинает проверять возможность отправки диверсионных сил в страны Балтии — отсутствие ответа со стороны киберкомандования с операциями ниже военного порога значительно ограничивает диапазон возможностей. А с точки зрения системной устойчивости критической инфраструктуры изменение CISA сузит видимость враждебной деятельности и помешает работе аналитиков. Трудно найти какие-либо практические аргументы в пользу такого изменения отношения. И я думаю, что немного страшно думать, что в конечном итоге привело к этим решениям.