Какой должна быть атрибуция кибератак?

Завершу неделю, прошедшую под знаком атрибуции киберугроз, еще одной заметкой. Если посмотреть на то, что я написал в среду и свести в таблицу, то мы увидим вот такую картину:

Получается, что одby и тот же набор фактов может трактоваться совершенно по-разному; местами даже диаметрально противоположно. А это означает, что представленные "доказательства" не могут служить для целей атрибуции, как бы того не хотелось американским официальным лицам. Вон уже и украинский след пытаются найти в Гризлигейте...

Поэтому, попробую, дистанцируясь от текущего скандала, сформулировать некие мысли о том, какой должна быть атрибуция киберугроз в современном мире. Что вообще из себя представляет атрибуция; по-крупному? Это обвинение некоего лица в совершении преступления (кибератаки во многих странах мира признаны таковыми). А раз речь идет об обвинении (к счастью, международное право для киберпространства пока вызывает множество вопросов и поэтому не работает, а то бы мы за каждый ping получали повестки в Международный трибунал), то стоит смотреть на атрибуцию именно с точки зрения уголовного права.

Сегодня атрибуция атак отличается от сбора доказательств в уголовном деле, в котором требуется точность. Неверный вывод на основе собранных доказательств и подозреваемый становится обвиняемым и может сесть в тюрьму, а то и лишиться жизни (в тех странах, где смертная казнь не отменена). Следователь, подтасовавший доказательства, может быть наказан за свои действия. В атрибуции киберугроз такого нет - никто не отвечает за свои слова, хотя обвинения звучат достаточно серьезные, а на их основе принимаются серьезные решения, например, санкции в отношении юридических или физических лиц.

О чем же нам говорит уголовное право применительно к понятию "доказательство", на котором и строится обвинение (или защита)? Во-первых, бывают (по УПК) разные виды доказательств, из которых в атрибуции кибератак могли бы найти свое применение следующие:

• показания подозреваемого, обвиняемого, потерпевшего и свидетелей
• заключения и показания экспертов и специалистов
• вещественные доказательства
• иные документы.

С допустимостью доказательств требованиям процессуального законодательства пока я вижу сложности ввиду отсутствия единства у юристов-международников относительно применения норм права к киберпространству. Да и с такими понятиями как "надлежащий источник", "правомочный субъект", "законность способа получения доказательств" и "соблюдение правил фиксации доказательств" могут быть сложности. Особенно в тех случаях, когда не хочется раскрывать свои источники и методы сбора информации, используемой в качестве доказательств. Разумеется, это все в том случае, если мы говорим о придании некой юридической значимости проведенной атрибуции для, например, дальнейшей передачи материалов в международные суды или проведения дипломатических переговоров. Если такой цели, то вопрос допустимости доказательств, конечно, не снимается, но их можно и не афишировать.

Если посмотреть на представленные в рамках Гризлигейта доказательства, то мы увидим, что с ними в рамках рассматриваемой заметки существует множество проблем. И представленные доказательства слишком относительны и их связь с предметом доказывания неочевидна. С допустимостью доказательств вообще полная беда ввиду отсутствия этих самых доказательств (исключая косвенные). Достоверность доказательств DHS и американской разведки тоже вызывает много вопросов. Прямых доказательств лично я не увидел - только косвенные, но их количество не позволяет перейти им в качество и сделать вывод о виновности России.

Получается, что сегодня никто не может доказать правдивость аналитика, проводящего атрибуцию кибератак, исключая три ситуации:

1. "Хакера" поймали за руку в момент совершения кибератаки.
2. "Хакер" сам признался (хотя тут тоже есть свою нюансы, когда кто-то берет на себя всю вину).
3. Произошла утечка информации (если это не направленная дезинформация).

По сути можно говорить об атрибуции, как о регилигии. Фактов доказательства вины нет - есть только вера в это. Кто-то верит, кто-то нет; каждый выбирает для себя.

К сожалению, это говорит о том, что сегодня нормальную атрибуцию провести очень и очень непросто. Я видел не так уж и много отчетов, в которых проводилась неплохая атрибуция. Среди них анализ Лаборатории Касперского по Equation Group или анализ Airbus по Pitty Tiger Group. Очень достойные отчеты с кучей фактов и доказательств. Но даже там не сказано конкретно, кто стоит за той или иной группой. Дальше идут уже предположения. Например, что Equation Group работает на американское правительство, а Pitty Tiger Group - это не государственная группировка, но базирующая, вероятно, в Азии.

Какой же тогда должна быть атрибуция кибератак? Я бы не мудрствовал, а предложил бы применять к ней те же принципы, что и к сбору доказательств в уголовном процессе с поправкой на киберпространство. Тем более, что лучшие практики в этой области уже стали появляться. Тут можно назвать и недавно выпущенный стандарт Банка России, и материалы CERT/CC, и свободные ресурсы Интернет. Единственное, что я бы отметил особо, так это то, что проведение атрибуции, имеющей международные последствия, должно проводиться государством, а не частными компаниями, а используемые доказательства должны быть поддающимися проверке, а не голословными утверждениями или непонятно откуда взятыми данными. Если доказательства относятся к охраняемой законом тайне, то тут ситуация сложнее, что мы и видим (если рассматривать версию, что американские спецслужбы действительно что-то накопали, но не могут раскрывать своих источников) в Гризлигейте.

Подробнее…

Почему американцы винят именно русских в кибератаках на себя?

Процесс Threat Hunting практически всегда начинается с гипотезы о наличии (или, реже, отсутствии) угрозы в анализируемых данных, которую вы, с помощью собранных или собираемых доказательств, должны подтвердить или опровергнуть. В атрибуции, то есть определении того, кто стоит за той или иной угрозой, ситуация аналогичная. Сначала мы высказываем гипотезу о том, кто стоит за той или иной кампанией или инцидентом, а потом пытается это доказать или опровергнуть. И вот если посмотреть на Гризлигейт (так, по аналогии с Уотергейтом, стали называть историю с российскими кибератаками на США), то становится понятно, почему такое разное отношение к опубликованному Министерством национальной безопасности JAR-отчету, а после и к позиции трех спецслужб США, о которых, кстати, мы даже не знаем, на какую целевую аудиторию они были рассчитаны (а это важно).

Когда я первый раз смотрел оба эти документа, то я, пропуская его через призму собственного опыта и размышлений, считал, что это полная фигня, которая ничего не доказывает. Такой вывод по результатам анализа приведенных индикаторов компрометации делается большинством, особенно российских, специалистов. И это нормально. Мы, явно или неявно, не хотим, чтобы нашу страну считали прибежищем хакеров и киберпреступников. Но что, если попробовать дистанцироваться от геополитики и посмотреть на кейс с отчетом DHS с точки зрения специалиста по расследованию инцидентов? Сначала мы должны сформулировать гипотезу, которую будем доказывать или опровергать. У американцев она могла звучать так: "Нас атаковали хакеры из России, за которыми стоит государство в лице ГРУ или ФСБ". А дальше их задача была найти подтверждение этой гипотезе.

Что в итоге легло в основу американской уверенности, что за атаками на демпартию и другие федеральные информационные системы стоят "русские"?

1. Web shell под названием PAS Tool PHP Web Kit, разработанный в Украине и активно рекламируемый на русскоязычных хакерских форумах. С другой стороны, тот же Роберт Грэм из Errata Security пишет, что этот софт используется сотнями, если не тысячами, хакеров по всему миру.
2. Вредоносное ПО Xagent, прочно увязываемое с русскими хакерами. Правда, найти его может любой желающий и квалифицированный специалист. Вон, ESET его получила и проанализировала.
3. Большое количество IP-адресов, принадлежащих российскому оператору связи Yota, который еще и принадлежал бывшему заместителю министра связи, то есть лицу, приближенному к властям. Yota занимает первое место в списке операторов связи, владеющих IP-адресами из списка DHS. Из 876 адресов 44 принадлежит Yota (еще 5 Ростелекому). С другой стороны, если отбросить привязку к операторам связи, то по географической привязке именно в США находится наибольшее число задействованных в атаке "русских" IP-адресов. А 15% всех адресов и вовсе связаны с Tor, то есть любой желающий мог скрыть свою активность за этой анонимной сетью.
4. Наибольшая активность хакеров происходила в те моменты, когда в Москве было рабочее время. Этот атрибут не упоминается в отчете DHS, но приводился в расследовании CrowdStrike и Mandiant. Я уже не раз писал, что Москва - это еще не вся Россия, а в московском часовом поясе также находится Ирак с Ираном, которые могут иметь зуб на США. Ну а в соседнем часовом поясе находится Турция, Сирия, Ливия, которые тоже не очень расположены к заокеанским "партнерам".
5. Русскоязычные комментарии, использование сайтов с русскоязычным интерфейсом и файлы, созданные в ОС/ПО с поддержкой русского языка. Также отсутствующий в отчете DHS, но упоминаемый в других исследованиях атрибут. В мире русским языком владеет около 300 миллионов человек, что ставит его на 5-е место по распространенности в мире и на 2-е в Интернет. Родным его считают 160 миллионов человек и не только в России. Так что "русская Винда" могла стоять на компьютере не только в России. Хотя я прекрасно понимаю, что под термином "русский" американцы давно уже понимают всех выходцев из бывшего СССР, в том числе и не являющихся гражданами Российской Федерации.
6. Они называют себя медведями, а где у нас по улицам ходят медведи и у какой страны медведь чуть ли не национальный герой? Опять все указывает на Россию, хотя те же гризли водятся только в США и нигде больше.
7. В атаке на демпартию было использовано вредоносное ПО, которое раньше уже было связано с Россией! Зачем же мы будем перепроверять, не ошиблись ли эксперты в прошлый раз?
8. Эти атаки выгодны именно России. Это, пожалуй, единственный довод, который увязывает "русских" хакеров и российские власти. Ну и что, что Китай раньше атаковал гораздо сильнее и имеются реальные факты и доказательства китайского шпионажа?.. 
9. Российские СМИ в лице RT и ее главреда Маргариты Симоньян активно поддерживали Трампа во время предвыборной гонки и гнобили демократов. RT у нас канал государственный, значит российские власти поддерживали все, что делалось супротив США; А еще Хиллари Клинтон считает, что за атаками стоит сам Владимир Путин, а у нас нет сомнений в ее честности и правдивости, ведь она была госсекретарем США.

Какой вывод можно сделать по данным фактам? Могла ли Россия стоять за атаками на американские ресурсы? Могла. Стояла ли? Не факт. Кто занимался эксплуатацией IDS или SIEM знает, что у этих систем бывают ложные срабатывания и их бывает немало. Так и с указанным отчетом DHS. Четких доказательств именно "русского следа" до сих пор нет. В совокупности приведенные выше атрибуты вроде как указывают на Россию, что вероятно подтверждает изначально выдвинутую гипотезу, а точнее не опровергает ее.

Есть ли другие кандидаты на место России в данном кейсе? А зачем? США в текущих условиях других врагов (например, Китай) пока называть нет смысла. Поэтому как в мультфильме "Падал прошлогодний снег": "Кто в цари последний? Никого? Тогда я буду первым!" Вот так и с Россией. Никто не опроверг озвученную американцами версию с доказательствами в руках. Даже Россия молчит и, кроме пресс-секретаря нашего Президента и отдельных чиновников МИДа, никак не опровергает представленные факты, просто называя их бредом и измышлениями уходящей на покой администрации.

Есть и еще одна причина, почему американцы в рамках атрибуции обвиняют Россию. Она называется предвзятость. Большинство аналитиков, занимающихся атрибуцией киберугроз, это бывшие военные ВВС США или АНБ, которые во время службы также занимались атрибуцией, но немного в иной сфере. Более того, часто они рассматривали в качестве источника угроз именно Россию, как самого вероятного противника. А после того как они перешлю на гражданку и стали заниматься атрибуцией киберугроз, то... ничего не поменялось. психология восприятия рисков у них осталась той же.

Специалисты из России, которые оперируют тем же отчетом и списком индикаторов, скорее всего, начали бы с иной гипотезы - "Америку атаковали не российские хакеры". И опираясь на эту гипотезу специалисты будут искать доказательства ее правоты, что я, собственно, и попробовал вышел сделать, противопоставляя "фактам" из расследования CrowdStrike, Mandiant, DHS контраргументы. В современном Интернет найти доказательства правоты обеих сторон не сложно. Особенно если оперировать только IP-адресами и не подниматься на уровень TTP.

После выхода совместного доклада трех американских спецслужб ситуация явно не улучшилась. Там еще меньше доказательств "русского следа" и много жалоб на RT и ее главреда за то, что они якобы не любят американских демократов и, наоборот, превозносят Трампа, что, как это понятно всем умным людям, доказывает влияние России на американские выборы и работу российских хакеров. Правда, после истории с якобы имеющими доказательствами наличия химического оружия в Ираке верить на слово отчетам американской разведки уже как-то и некомильфо. Как, собственно, и в ссылки на якобы имеющиеся в секретном (третьем) докладе для узкого круга лиц, доказательства. Достаточно вспомнить истории с отравлением Литвиненко, сбитым MH17, взломом Sony Pictures, арестом Хансена или нелегалов "во главе" с Анной Чапман и т.п. делами, в которых секретность не сильно мешала выкладывать гораздо больше доказательств (пусть и местами спорных), чем в текущем деле. А ведь те кейсы имели зачастую гораздо более серьезные последствия, чем атаки на несколько серверов.

А вот если дистанцироваться от геополитики и отбросить в сторону всю эту шумиху вокруг отношений России и США, то отчет DHS вполне неплох, так как содержит немалое количество индикаторов компрометации, которые действительно характеризуют вредоносную активность (и не так важно, кто за ней стоит). Поэтому, если уж извлекать из этого кейса пользу, то путем внесения соответствующих правил в сетевые средства ИБ (те же МСЭ или IPS) или SIEM для обнаружения атак на вас.

ЗЫ. Кстати, теперь использование и Xagent и PAS будет однозначно указывать на русский след. Замечательный подарок США всему хакерскому сообществу, которое теперь может спокойно маскироваться под ГРУ или ФСБ :-)

Подробнее…

Новости ИБ за новогодние праздники (остальное)

Продолжаем начатую прошлой заметкой тему с ИБ-событиями, произошедшими за новогодние праздники. К ним, помимо Гризлигейта, я бы еще отнес:

• 31 декабря Вашингтон-пост опубликовала статью о взломе российскими хакерами электросети в Вермонте. Потом, правда, оказалось, что взломанный компьютер не был подключен к электросети, а русский след отсутствовал, но американские СМИ успели подхватить столь лакомую идею об очередном доказательстве путинских кибератак. Это заставило Вашингтон-пост модифицировать свою статью и написать небольшое опровержение, но осадочек остался.
• Литва сообщила о нахождении на государственных компьютерах шпионского ПО из России (доказательств не представлено).
• Американский журналист Джейсон Леопольд и сотрудник MIT Райан Шапиро в соответствии с законом о свободе информации направили запрос американским спецслужбам с целью получить доказательства русского следа в кибератаках во время выборной кампании. Вопросы достаточно конкретные, но ответа на них пока дано не было, что может привести Леопольда и Шапиро к обращению в суд.
• CrowdStrike опять продемонстрировали свою "экспертизу" по части атрибуции киберугроз. В конце декабря они опубликовали отчет по "артиллерийскому троянцу", который был разработан ГРУ, который сливал данные о местоположении артиллерии Вооруженных сил Украины в российское МинОбороны, благодаря чему ВСУ потеряли до 50% своей артиллерии. Исследование CrowdStrike быстро было подвергнуто критике (например, тут). Несмотря на ранние заявления о том, что троянец передавал координаты артиллерийских установок российским военным, в итоге сама CrowdStrike признает, что доказательств этому нет. И модуля GPS в трояне нет; да и сама подменяемая программа для расчета артиллерийских таблиц непонятно с какого боку привязана к Вооруженным Силам Украины (обратите внимание, на этот вопрос следует ответ, что программа размещается на украинских сайтах для распространения софта). Да и про 50% потерь уже тоже ни слова. Министерство Обороны Украины опровергло "сенсацию" от CrowdStrike.

• За последние два месяца ушедшего високосного года Украина, по словам ее Президента, 6500 раз подвергалась кибератакам со стороны России. В ответ на данные недружественные акты Украина обновила свою Доктрину информационной безопасности, а также приняла ряд решений в части защиты своей критической инфраструктуры. Об этом было сообщено 29-го декабря на заседании Национального совета по национальной безопасности и обороне Украины.
• В Сети появилось фото, на котором Папа Римский Франциск использует планшетник с заклеенной камерой.

• Евразийский экономический союз (ЕАЭС) планирует создать единое цифровое пространство, в том числе и со своей собственной криптографией. 
• В США все активнее заговорили о необходимости государственного регулирования кибербезопасности Интернета вещей. Надо сказать, что Россия тоже движется в том же направлении. Про ИБ IoT, правда, речи пока нет, но вот идея государственного контроля промышленного и консьюмерского Интернета вещей озвучивалась уже неоднократно, а в ноябре даже была создана соответствующая ассоциация.
• Роскомнадзор стал активно блокировать анонимайзеры в сети Интернет.
• В Сети появился шифровальщик Koolova, который возвращает доступ над зашифрованными файлами при одном условии - жертва должна прочитать две статьи по кибербезопасности. Достаточно интересная тактика, которая скорее отражает изощренное чувство юмора у автора вредоносного ПО. Ранее в декабре появился шифровальщик Popcorn Times, который присылал ключи для расшифрования, если жертва заражала еще нескольких человек, создавая тем самым пирамиду.
• NetGear, который в последнее время часто попадает в ленты новостей с негативным окрасом от своей деятельности на ниве кибербезопасности, запустила программу Bug Bounty.
• Опять взломали сайт ФБР.
• НАТО будет спонсировать украинскую военную программу кибербезопасности.
• Чехия планирует перестроить свое киберкомандование и увеличить его численность в 10 раз - с 42 до 400 человек к 2025-му году.
• Американские военные нашли штаб-квартиру хакерского подразделения Китайской Народной Армии. Она располагалась в двух пекинских отелях.
• В Казахстане утверждены новые требования по ИБ, обязательные для госорганов. Документ достаточно высокоуровневый и сильно отличается от отечественного 17-го приказа. НО зато там упомянуты и управление активами, и управление рисками, и контроль за правомерностью использования ПО, и обязанность проводить внешний и внутренний аудит, и требования к разработке ПО, и многое другое.
• На 2017-й год прогнозируется около одного миллиона открытых вакансий по кибербезопасности.
• Энергосети Турции подверглись атакам хакеров из... США, а не России.
• Германия подозревает, что за кибератаками на ОБСЕ стоят те же хакеры, что и за последними атаками на США, то есть русские. 
• США признали свою избирательную систему критической инфраструктурой. У нас ГАС "Выборы" таковой считалась еще с середины прошлого десятилетия.

Вот такое "очко" в виде подборки из 21 новогодних новостей. В этом году праздники прошли очень уж активно.

Подробнее…

Новости по ИБ за новогодние праздники (Гризлигейт)

По традиции выкладываю список событий, имеющих отношение к ИБ и произошедших за новогодние праздники и пару дней, им предшествующих, дабы те, кто уходил в отпуск и просто хорошо отдохнул смогли быстро понять, не пропустили ли они что-нибудь важное.

На первое место я бы поместил событие, которое даже достойно отдельной заметки. Речь идет о введенных против России очередных санкций США в ответ на якобы имевшие место хакерские атаки. В список SDN были включены 4 руководителя ГРУ, 2 уже объявленных (тут и тут) несколько лет назад в международный розыск киберпреступника (единственные "русские" в списке самых разыскиваемых киберпреступников по версии ФБР), а также ФСБ, ГРУ и три компании, оказывающих услуги (по версии США) для российских спецслужб.

Список SDN - самый жесткий из всех "черных списков США". Попасть в него означает лишиться возможности ездить в США (хотя врядли руководство ГРУ туда ездит официально), а также вести любой бизнес с американскими компаниями. Хорошо еще, что список компаний, попавших под санкции, небольшой. У нас любая хоть что-то делающая фирма в области ИБ сотрудничает со спецслужбами и выполняет для них те или иные исследования, работы и контракты. И что, теперь каждую из них обвинять в работе на спецслужбы? Ну такое могут себе позволить только люди, изучающие рынок ИБ по заголовкам желтой прессы, но не специалисты. И вообще, почему в указе Обамы были объединены дипломаты, киберпреступники, давно разыскиваемые ФБР за финансовое мошенничество, и компании, "связанные" со спецслужбами России?

В указе уходящего с поста Президента США Обамы есть ссылка на аналитический отчет JAR, в котором, якобы, представлены доказательства "русского следа". Он странный с точки зрения специалиста. В нем нет доказательств именно "русского" следа. Да, там есть некоторые хеши вредоносных программ. Да, там куча IP-адресов, с которых осуществлялись атаки (на GitHub это все есть в более читабельном варианте). Почему-то эти адреса разбросаны по всему миру (хотя и российские там тоже есть), а часть их них и вовсе принадлежит сети Tor.

Но где нормальная атрибуция? А нет ее, что вызвало закономерную реакцию большого числа ИБ-экспертов, включая и американских. Тот же самый Роберт Ли, медиа-ИБ-персона, активно комментирующая различные инциденты по ИБ, признает, что доказательств именно русского следа в отчете JAR нет. А уж Роберта сложно заподозрить в любви к России - раньше он постоянно приписывал нам атаки на украинскую энергосистему и не только. Но потом поостыл и стал более осторожен в оценках, В частности, на прошедшем 6-го января вебинаре, где он разбирал ситуацию с атаками на демпартию и отчет DHS, он высказался вполне определенно - российская атрибуция достаточно слабая.

По мне, так в отчете американских спецслужб смешаны в кучу все последние крупные или нераскрытые инциденты, которые теперь приписываются российским спецслужбам. Даже недавно мной упомянутый Havex, теперь считается "русским".

На прошедшем 5-го января заседании сенатского комитета по вооруженным силам объединенные разведсилы США прямо назвали высшее руководство России стоящим за последними кибератаками. Осталось только дождаться публикации к 20-му января более полной версии отчета, о которой уже открыто говорят официальные лица. Опубликованная 6-го января аналитическая записка демонстрирует влияние России на выборы в США и вроде как доказывает причастность нашей страны к атакам, но... Доказательств там практически нет - просто давят на логику "А кто, если не Россия?" и сильно ругаются на RT и ее главного редактора Маргариту Симоньян. Но если отложить в сторону геополитическую составляющую и посмотреть серьезно на представленные на данный момент доказательства, то мы увидим, что они все находятся в нижней части так называмой "пирамиды боли" (The Pyramid of Pain), предложенной Дэвидом Бьянко из Mandiant. Эти индикаторы (IP и хеши) проще всего обнаружить и проще все использовать.

Американские специалисты и не заморачивались особо. Кстати, у той же FireEye (а Mandiant, известная своими исследованиями "русских хакеров", была куплена FireEye три года назад) в качестве одной из сигнатур атак используется вот такая последовательность:

Могу выдвинуть версию о столь слабой проработке аналитического отчета JAR - это PR частных ИБ-компаний, желающих сделать себе имя и получить доступ к бюджетам государевых структур (а он в части кибербезопасности немалый). И первым кандидатом тут является CrowdStrike, которая одной из первых (помимо Mandiant/FireEye) стала "кричать" о русском следе и приводить доказательства, не выдерживающие серьезной критики. А потом выясняется, что CrowdStrike - одна из немногих ИБ-компаний, участвующая в комиссии по развитию кибербезопасности при Белом Доме США. Получается, что американские спецслужбы просто доверились данным CrowdStrike о "русской киберугрозе" и не стали их перепроверять, а теперь пытаются сохранить лицо? Надо заметить, что и в России есть такие компании, которые много кричат об "американской угрозе", но никаких (даже в стиле CrowdStrike) доказательств не приводят.

А еще есть версия, что таким "детским" отчетом американские спецслужбы хотят заставить своих оппонентов думать, что они ничего не могут. Это как в истории со Сноуденом, которого некоторые эксперты рассматривают как пример стратегии киберсдерживания, которую используют США. Ну и конечно же вполне возможна версия, что это просто отписка уходящей администрации, которой дали задание "сделять бяку Путину". Ну и американские официальные лица решили перед Рождеством не сильно напрягаться и сварганили нечто, что должно было выглядеть как результат усилий одних из лучших (как все думают) спецслужб мира. Чиновники разных стран одинаковы и думают, что "пипл схавает" и что на фоне патриотической риторики ("русские атакуют") свои собственные эксперты не будут придираться к мелочам. Ан нет, придрались (например, тут или тут).

В середине прошлой недели было озвучено, что опубликована была неполная версия доказательств, а их публичный вариант. Оставшиеся две версии содержат более серьезные доказательства, которые, возможно, американские спецслужбы не хотят раскрывать, боясь сдать свои источники информации и методы ее добычи. Что опять же не является чем-то странным - спецслужбы многих стран, включая и Россию, не любят светить свои методы работы. Есть западные эксперты, которые поддерживают эту версию. Они попытаются повторить ход мыслей американских спецслужб, которые на базе опубликованных индикаторов компрометации делают вывод о "русском следе". По их версии получается, что большая часть IP-адресов принадлежит российскому оператору связи Yota, который, как известно, принадлежал бывшему заместителю министра связи Денису Свердлову, что может означать близость Yota российским властям. А значит дыма без огня не бывает... Ну тоже версия, ничего не скажешь. Как и версия с французским следом (многие IP-адреса в IoC принадлежат провайдеру французскому OVH). Правда, одной из причин ухода Свердлова с гражданской службы явилось наличие у его супруги собственности во... Франции :-)

Кстати, в СМИ часто обвиняют американские спецслужбы, которые не смогли предотвратить атаки "русских" хакеров на государственные информационные системы США. Но причем тут они? Разве они занимались защитой WADA или сайта Демпартии? Нет. Как и во многих странах мира. Как и в России. Они вырабатывают требования по безопасности и они могли участвовать в расследовании. Но если у жертв не был поставлен процесс сбора данных для последующего расследования, то даже именитые спецслужбы тут ничего поделать не могли. И они также бессильны, если у пострадавших не было никакой системы защиты. На самом же деле американские спецслужбы даже в расследовании взлома Демпартии не участвовали, как утверждают ее представители, чьи сервера пострадали одними из первых. За прошедшие с момента взлома полгода со стороны спецслужб так и не возникло желания ознакомиться со взломанными серверами и ФБР/ЦРУ положились на данные CrowdStrike, которая якобы и провела расследование.

Задам риторический вопрос - почему спецслужбы не проводили такого расследования и просто обвинили Россию во взломе и вмешательстве в выборы США, за чем и последовали последние в деятельности Обамы на посту президента санкции? И почему в отчете спецслужб, в самом его начале, написано, что он выпускается по принципу "как есть" и Министерство национальной безопасности (DHS) не дает никаких гарантий относительно приведенной в отчете информации? В чем тогда ценность отчета, если за него никто не несет ответственности?

А вот что мне в отчете спецслужб понравилось, так это раздел с рекомендациями, что делать и как противостоять будущим атакам "русских" хакеров. То есть не просто "ой, ужас, ужас", а еще и конкретные первоочередные меры по нейтрализации этого ужаса для тех, кто не читал NISTовскую специальную серию публикаций по кибербезопасности.

ЗЫ. Вот тут дан неплохой взгляд на якобы русские кибератаки с точки зрения международного права.

ЗЗЫ. Остальные новогодние новости я рассмотрю в следующей заметке.

Подробнее…

Атрибуция кибератак

Вчера мне довелось выступать на мероприятии, организованном Российским советом по международным делам в партнерстве с Институтом "Восток-Запад". Тема была выбрана непростая - "Сотрудничество России и США по противодействию киберпреступности и защите критической инфраструктуры", что на фоне субботнего выступления Лаврова выглядело достаточно странно. Ну о каком сотрудничестве можно вести речь, когда США постоянно и бездоказательно обвиняют Россию в кибератаках на "все, что движется"?

В рамках встречи обсуждались вопросы взаимодействия России и США в области противодействия киберпреступлениям и террористическим атакам во всемирной сети, нормы поведения в киберпространстве, а также возможность разработки совместных документов на межгосударственном уровне. Уровень участников был достаточно высокий - бывший министр иностранных дел Иванов, представитель президента по вопросам ИБ Крутских, советник министра внутренних дел Овчинский, вице-президент ICANN Якушев и другие эксперты, представлявшие МИД, ПИР-Центр, РАЭК, Интерпол, Центр Карнеги, ОДКБ, МГИМО и т.д. С "того берега" присутствовали президент и вице-президента института "Восток-Запад" и старший юрист Microsoft.

Дискуссия получилась неоднозначной, но в целом неплохо отражающая текущую картину мира. Много разговоров о том, что "надо делать" и о том, "почему не получается". Но все сходились во мнении, что до окончания президентских выборов и инаугурации о чем-то конкретном говорить не приходится. Нет сейчас уверенности в том, что все двусторонние соглашения, что уже заключены между США и Россией, будут подтверждены новым Президентом США. Хотя оптимизм у выступающих присутствовал, а учитывая уровень выступавших, они часто вдавались в воспоминания о том, как это было "тогда" и что даже в условиях холодной войны, бомбардировок американцами Югославии, между странами было взаимодействие - либо напрямую, либо через Интерпол. Поэтому есть надежда, что несмотря на все политические заявления здравый смысл у специалистов двух стран возобладает и практическое сотрудничество в сфере борьбы с киберпреступностью, с кибератаками на критические инфраструктуры и в военной сфере продолжится.

А вообще мероприятие мне понравилось еще и тем, что не так часто удается увидеть людей, которые готовы годами и даже десятилетями обсуждать основополагающие документы в области стратегической кибербезопасности. Я бы так не смог (по крайней мере сейчас) :-) А люди (юристы и дипломаты) могут - ездят на заседания различных экспертных групп, заседают в ООН, пытаются найти общий язык (что непросто). Это совсем другая информационная безопасность, чем мы привыкли. Там нет никакой динамики - все очень неспешно. К примеру, нормы поведения в киберпространстве пытаются разработать уже 18 (!) лет и все без особого толку (и пока оптимизма не прибавляется). А термин "кибербезопасность" вокруг которого сломано уже столько копий?.. Но это не менее важная задача, чем и практическая ИБ. В конце концов именно от того, смогут ли договориться враждующие стороны зависит, будет ли в ответ на кибератаку предпринята реальная бомбардировка или участники конфликта попробуют все решить мирным путем.

Я на мероприятии делал краткое (всем давали по 10 минут) выступление про атрибуцию кибератак. По сути я свою большую статью для ПИР-Центра вложил в 14 слайдов, чтобы показать, что голословные утверждения американцев о "русском следе" - это не более чем геополитика. При наличии технических методов атрибуции кибератак, их мало кто применял в последних нашумевших взломах демократов, WADA, американских СМИ и т.п. А может быть применяли, но боятся показать результаты, которые будут отличаться от уже озвученных и считающихся незыблемыми.

Атрибуция кибератак from Aleksey Lukatskiy

Подробнее…

Новости международной ИБ

Раз уж в пятницу я упомянул про Вестфальскую систему международных отношений, то стоит сделать обзор текущей ситуации на международной арене информационной безопасности. Тем, кто занимается ИБ в рамках повседневной деятельности внутри своих компаний и ведомств обычно некогда смотреть, что происходит за пределами России в области информационной безопасности. Максимум, на что хватает времени и сил, - ознакомиться с результатами различных конференций или выставок по ИБ для того, чтобы составить представление о современных тенденциях в этой сфере. Однако есть одна тема, которая в последнее время все чаще и чаще выходит на повестку дня на самом высоком уровне. Речь идет о международной информационной безопасности, по которой за последнее время произошло немало событий, которые имеют далеко идущие последствия.

Я решил собрать воедино основные события последнего времени:

• В Грозном в конце мая прошла встреча высоких представителей, курирующих вопросы безопасности в более чем 70 странах. Говорили там и про международную ИБ, а точнее про мирное применение информационных технологий, выработку универсальных правил ответственного поведения государств в информационном пространстве и их последующее принятие под эгидой ООН. А вообще странная картина получается. При Президенте есть спецпредставитель по данным вопросам, а в проекте Доктрины ИБ эта тема своего места не находит. 
• В июне проходит очередное заседание Бильдербергского клуба, в повестке дня которого кибербезопасность стояла на 7-м месте. Как обычно бывает, никакой стенограммы не опубликовано и даже слухов по результатам заседания нет. Поэтому сложно сказать, что конкретно про кибербезопасность говорили на заседании якобы мирового закулисного правительства.
• Но зато Россию постоянно обвиняют нанесении киберударов по всему прогрессивному человечеству. Если верить западным СМИ, след Россия видится в попытке украсть материалы расследования катастрофы с самолетом MH17, в деле Хиллари Клинтон, в взломе сайта демократической партии США (признавшийся во взломе румынский хакер случайно умер в тюрьме во время следствия, но следы ведут в Россию, вроде как даже в ГРУ) и т.д. С одной стороны формируется не самый приятный имидж страны в глазах мирового сообщества, а с другой, возможно, готовится почва для принятия международных мер, о чем я еще скажу дальше.
• В США при при министерстве национальной безопасности (DHS) создается новое агентство по информационной безопасности. В Японии тоже создали отдельное агентство по кибербезопасности критических инфраструктур.

• Военные США и НАТО активно обсуждают тематику кибервойн и киберконфликтов. Это и недавно выпущенное руководство американского МинОбороны "Law of War", и конференция CyCon 2016 в Таллинне, и грядущий выпуск нового Таллиннского руководства 2.0, и официальное включение киберпространства в качестве новой сферы влияния НАТО. США просто развивают уже существующие давно документы и подходы, а для НАТО эта относительно новая тема, которая теперь будет серьезно развиваться и поддерживаться. На фоне Таллиннского руководства, которое пытается увязать существующее международное право с киберпространством и определить, в каких случаях кибератака может стать сигналом объявления войны и можно ли реагировать на кибератаки в физическом мире, такое внимание военных к данной теме пугает. Особенно на фоне некоторой медлительности России в этом вопросе. Пытаться на уровне ООН продвинуть правила неприменения информационных технологий в "плохих" целях - это хорошо, но и быть готовым к тому, что это не пройдет, тоже стоит. И иметь ответ, неважно, симметричный или асимметричный.

10 направлений кибер-стратегии НАТО

• Почти незамеченной у нас проходит дискуссия о применении международного гуманитарного права к кибервойнам и киберконфликтам. Активную роль в этой дискуссии играет Международный Комитет Красного Креста, который недавно опубликовал новые комментарии к Женевской Конвенции (с момента предыдущих комментариев прошло более 50 лет), рассматривающие вопросы защиты людей и гражданских объектов в том числе и от кибернападений в рамках международных и локальных конфликтов и войн, в том числе и с приставкой "кибер". Что интересно, об этом же недавно "Красный Крест" говорил и в России - совместно с ПИР-Центром они организовали интересный круглый стол о применении норм международного гуманитарного права в кибервойнах, о применении Гаагской и Женевской конвенций в киберпространстве.

Из основного это, пожалуй, все. Судя по той активности, которая ведется на международной арене, анархия в киберпространстве всем уже надоела, и его ключевые участники хотят установить правила игры. Не так уж и важно какой и в каких целях; они разные. Кто-то хочет предотвратить применение Интернет и информационных технологий в неблагих целях. Кто-то наоборот готовится к ведению кибервойн (это и НАТО, и США с союзниками). Кто-то (как Красный Крест) понимая, что предотвратить они ничего не могут, хотят хотя бы защитить граждан и гражданские объекты (больницы, транспорт, электростанции и т.п.) от кибератак в рамках межгосударственных кибервойн или локальных или негосударственных киберконфликтов.

Единственное, что мне непонятно, это цели России. Пытаться сдерживать появление кибероружия - это похвально, но все равно что плевать против ветра. Этот процесс уже не остановить и он уже давно вышел из под контроля, которого и не было. С ядерными вооружениями это могло сработать, но не с информационными технологиями. Эта тема прорабатывается уже давно и многими государствами. Некоторые из них и отдельные рода войск имеют. Многие специальные подразделения создают. Имеют стратегии противодействия. А вот у нас все как-то хаотично. Что-то делается, что-то пытаются делать, но не так, на что-то глаза и вовсе закрывают. Не знаю, что из всего этого получится, не знаю.

ЗЫ. А пока я писал эту заметку, США заявили, что они будут вводить санкции против тех стран (имея ввиду Россию и Китай), которые осуществляют кибератаки на американскую критическую инфраструктуру.

Подробнее…

Обзор последних событий в области кибербезопасности промышленных систем

Второй моей презентацией на ITSF был обзор последних событий на рынке кибербезопасности промышленных сетей. Учитывая просто огромное число таких событий ограничился только полугодовым периодом с конца 2015-го года. Все они могут быть разбиты на несколько групп:

• статистика инцидентов и уязвимостей за 2015-й год
• инциденты в разных критических отраслях
• атомная тематика
• международная повестка дня
• атрибуция кибератак
• рекомендация и требования по кибербезопасности критических инфраструктур
• NIST CyberSecurity Framework
• Отечественные решения в области защиты АСУ ТП
• От безопасности к живучести
• Люди и навыки
• Разное.

Анализ последних событий на рынке кибербезопасности промышленных сетей: законодательство, инциденты, направления развития from Aleksey Lukatskiy

Подробнее…

Международный трибунал по результатам атаки на АЭС в Украине

"17 июля 2018 года в Украине произошел инцидент на Южно-Украинской атомной электростанции. Кибератака вывела из строя насосы, подающие воду для охлаждения реактора, что привело к нарушению функционирования технологического процесса и неконтролируемой ядерной реакции с последующим выбросом ядерных отходов в атмосферу. Проведенное в закрытом режиме расследование показало, что причиной выхода из строя насосов на АЭС стал "направленный с IP-адресов, зарегистрированных на территории Российской Федерации, большой объем данных, с которым не справились системы управления технологическими процессами". Спустя год ряд стран вышли на Совет Безопасности ООН с инициативой создать международный трибунал по расследованию данного инцидента.

В проекте резолюции содержится требование «призвать к ответу» всех ответственных за атаку на гражданский объект, повлекший за собой экологическую катастрофу, сравнимую ч Чернобыльской аварией 1986-го года. По мнению авторов резолюции, трагедия в Украине «представляет угрозу международному миру и безопасности» и должна быть тщательно расследована. Единственная цель трибунала, как отмечается в документе,— «привлечение к ответственности лиц, ответственных за преступления, связанные с агрессией на гражданский объект мирного атома.»

На рассмотрение Совбеза ООН также вынесен проект устава трибунала. Датированный 19 июня документ под грифом «совершенно секретно» содержит в себе 55 статей, охватывающих различные аспекты работы предполагаемого трибунала. В документе, в частности, сказано, что юрисдикция трибунала распространяется на военные преступления, «преступления против ядерной и радиационной безопасности» и «преступления, записанные в Уголовном кодексе Украины». Далее поясняется, что в первую категорию попадают, например, «серьезные нарушения» ст. 3 Женевской конвенции от 12 августа 1949 года о защите гражданского населения во время войны, запрещающей посягательство на жизнь и физическую неприкосновенность лиц, которые непосредственно не принимают участия в военных действиях. По второму пункту речь может идти о несоответствии нормам МАГАТЭ и законодательства Украины в области использования атомной энергии.

Что же касается предполагаемых нарушений уголовного права Украины, то речь, как следует из проекта документа, идет о целом ряде статей Уголовного кодекса: о преднамеренном разрушении или нанесении ущерба собственности, преступлениях против общественной безопасности, сокрытии информации об уголовных преступлениях, посягательстве на жизнь граждан иностранных государств.

К ответственности могут быть привлечены не только люди, которые напрямую были задействованы в совершении преступления, но и те, кто совершил его «посредством другого человека», а также «отдавал приказы, подстрекал или склонял» к этому. Уточняется, что речь, в частности, может идти о командующих вооруженными формированиями или людях, которые действуют в роли таковых. Таким образом, круг обвиняемых может быть крайне широк. При этом суд, как отмечается в документе, может идти заочно, то есть в отсутствие обвиняемых".

Я привел текст возможной будущей статьи журналиста "Коммерсант" Елены Черненко по мотивам событий, которые могут произойти в будущем и которые могут повлечь за собой неприятные последствия для обвиняемых в кибератаке сторон.

Что за плод воспаленной фантазии? - скажете вы. - Не может такого быть. И будете неправы. Я привел практически дословно (надеюсь Елена не будет за это на меня сердиться) текст статьи в Коммерсанте о возможности создания международного трибунала по крушению малазийского Боинга. Только заменил крушение самолета на аварию на АЭС. Вся остальная мотивация и объяснения инициаторов создания трибунала осталась неизменной.

То, что нападение на информационные системы АЭС вполне возможно, я думаю, не стоит никого убеждать. За последние 25 лет было зафиксировано больше 10 таких инцидентов. То, что найдутся желающие на международной арене воспользоваться ситуацией, чтобы скинуть кого-нибудт с геополитического Олимпа или осложнить ему жизнь, тоже объяснять не стоит. Поэтому описанная мной гипотетическая ситуация вполне возможна на практике.

И надо признать, что я вполне понимаю нежелание России поддержать проект резолюции Совета Безопасности ООН. Дело не в возможной геополитической составляющей отказа России от поддержка этого документа. И не в том, что такие события должны расследоваться в рамках действующих норм. И даже не в том, что раньше аналогичные крушения не приводили к созданию международного трибунала. Просто создание трибунала по такой мотивации означает возможность (ставшую реальной) обвинить кого угодно в чем угодно.

Когда я готовил статью для "Индекса безопасности" я изучал вопрос связанный с атрибуцией кибератак и дело в том, что сегодня отсутствуют международные нормы, позволяющие осудить кого бы-то ни было за нападение в виртуальном пространстве. И посколько прогресса в этой сфере на уровне международного права немного, отдельные эксперты пытаются применить нормы Гаагской и Женевской конвенций, а также нормы Устава ООН к спецоперациям в киберпространстве. Не случайно спонсируемые НАТО эксперты центра компетенций по кибербезопасности (CCD COE) выпустили известное Таллиннское руководство, которое пытается существующие нормы международного права применить к сфере кибернападений и киберобороны. Сейчас завершается вторая версия данного руководства. Как говорится, дополненная и переработанная.

При желании кибератаку на АЭС вполне можно квалифицировать как вооруженное нападение на гражданский объект, да еще и повлекший за собой серьезные последствия, вплоть до человеческих жертв. И последствия крушения самолета (какими бы ужасными они не были) покажутся детским лепетом по сравнению с ущербом от ядерной катастрофы. В отсутствие согласованных международных норм в этой сфере провести можно любое решение, которое будет выгодно наиболее ярким и активным игрокам мирового закулисья. Поэтому так важно разработать соответствующие правила поведения в этой сфере и гармонизировать с ними блоковое и национальное законодательство.

ЗЫ. Еще раз подчеркиваю, что в заметке рассмотрена гипотетическая ситуация.

ЗЗЫ. В заметке использована статья "Под трибунал по малайзийскому Boeing подводят широкий круг лиц", опубликованная в "Коммерсанте" 29-го июля 2015-го года.

ЗЗЗЫ. Не стоит искать политическую составляющую в данной заметке. Просто за основу выбрано событие, которое в данный момент активно обсуждается в мире. 

Подробнее…

В международной ИБ грядет передел

7 апреля стало известно сразу о трех достаточно важных событиях в области информационной безопасности, которые могут иметь далеко идущие последствия и которые, по сути, продолжают историю, ставшей публичной в прошлом году после проведения первых в России киберучений:

• На RIGF объявили о подготовке проекта конвенции по информационной безопасности для стран-участниц БРИКС.
• Совет безопасности объявил о начале подготовки новой редакции Доктрины информационной безопасности.
• В недрах Госдумы готовится проект законопроекта "О мерах по обеспечению информационной безопасности в РФ".

Попробуем разобраться в каждом из этих событий в отдельности и вместе взятых.

Итак проект Конвенции. О ней говорили достаточно давно и то, что она будет принята, у меня сомнений нет. Российские официальные лица потратили немало усилий, чтобы это подписание состоялось уже в этом году (вот только один из примеров). Известно даже, что представлять ее будут в Уфе, на саммитах БРИКС и ШОС, в июле 2015-го года. И хотя между странами БРИКС были определенные разногласия, которые, например, не позволили подписать соглашение о сотрудничестве в сфере международной ИБ между Россией и Китаем в ноябре прошлого года, думаю, сейчас ситуация будет совсем иной. Страны, которые населяет около 1 миллиарда Интернет-пользователей, хотят подорвать монополию США на доминирование в этой сфере, а также в сфере Интернет. 

Тут необходимо сделать сноску. Международная ИБ - это не совсем тоже самое, что привычная нам информационная безопасность. Это скорее свод вопросов, касающихся цифрового суверенитета, управления Интернетом, международного сотрудничества и т.п. Россия в 2013-м году уже приняла локальный документ на эту тему, а еще раньше пыталась провести через ООН проект Конвенции об обеспечении МИБ. Но, как это часто бывает в последнее время, палки нам в колеса вставляли США и проект Конвенции был благополучно, если и не забыт, то убран под сукно ООН. Но Россия свой документ не забыла и продолжала его методически продвигать в среде своих партнеров по различным альянсам и союзам (ШОС, СНГ, БРИКС, ОДКБ и т.п.).

В частности за последнее время Россией были предприняты следующие шаги и инициативы:

• Неудачная попытка 2011-го года о принятии в ООН правил поведения в области обеспечения МИБ от имени ШОС привела к тому, что в 2014-м году была подписана Душанбинская декларация глав государств-членов ШОС о международной ИБ, после которой в январе 2015-го года обновленная версия правил была внесена в качестве официального документа ООН.
• Предприняты шаги по подписанию соглашения в области международной ИБ между Россией и Китаем. Само соглашение в прошлом ноябре подписано не было и его подписание перенесли на первую половину 2015-го года.
• 11 июля 2014 года подписано соглашение между Правительством Российской Федерации и Правительством Республики Куба о сотрудничестве в области обеспечения международной информационной безопасности (вступило в силу 2 января 2015 года).
• В 2014-м году предприняты шаги по гармонизации законодательства по информационной безопасности в странах ОДКБ. Также в 2014-м году был подписан документ о создании центра противодействия кибербугрозам в рамках ОДКБ. Аналогичный центр в рамках СНГ, о создании которого говорят уже больше пяти лет, пока так и не заработал. А вообще работы по ИБ в рамках ОДКБ начаты были еще раньше. Кстати, в 2014-м году для парламентской ассамблеи ОДКБ был разработан и опубликован интересный словарь-справочник по ИБ.
• 25 декабря 2013-го года подписано соглашение между Правительством Российской Федерации и Правительством Республики Беларусь о сотрудничестве в области обеспечения международной информационной безопасности.
• В ноябре 2013-го года, в развитие Концепции было подписано соглашение о сотрудничестве государств – участников Содружества Независимых Государств в сфере обеспечения информационной безопасности.
• Подписание в 2013-м году соглашения о мерах доверия в киберпространстве с США.
• Подписание в 2012-м году соглашения о сотрудничестве государств - участников содружества независимых государств в области обеспечения информационной безопасности, а также ряд иных инициатив.
• Разработка проекта "Правил поведения в области обеспечения МИБ", распространенного от имени государств-членов ШОС в ходе 66-й сессии Генеральной Ассамблеи ООН в 2011 г.
• Подписание Соглашения между Правительством Российской Федерации и Правительством Федеративной Республики Бразилии о сотрудничестве в области обеспечения международной информационной и коммуникационной безопасности.
• Подписание 16 июня 2009-го года соглашения (вступило в силу в 2011-м году) между правительствами государств-членов ШОС о сотрудничестве в области обеспечения международной информационной безопасности (текст).
• Подписание в 2008-м году Концепции сотрудничества государств – участников Содружества Независимых Государств в сфере обеспечения информационной безопасности.

Такая активность по части СНГ, ШОС и ОДКБ, а также заявляемый российскими властями курс на усиление сотрудничества и с другими блоками заставляет нас сделать простой вывод - Россия будет усиливать свою активность в части МИБ и в рамках БРИКС. Заключенное соглашение с Бразилией, начало работ с Китаем, заявление руководителей Совета Безопасности о том, что БРИКС - это один из приоритетов внешней политики России, а также заявления сделанные по результатов саммитов БРИКС на о.Хайнань в 2011-м году и в Дурбане (ЮАР) в 2013-м году, все  это свидетельствует о том, что упомянутая выше конвенция, о которой должны заявить в Уфе, будет принята и Россия будет активно содействовать реализации ее принципов. Если уж не получилось в рамках всей ООН, то в рамках хотя бы 5-ти государств должно получиться. Конечно, если Китай не будет вставлять палки в колеса...

ЗЫ. Что-то длинный пост получился из обычного заявления, сделанного на RIGF :-) Поэтому рассказ о двух остальных событиях я продолжу завтра.

Подробнее…

Чем грозит российской ИБ лишение права голоса России в ПАСЕ?

Ничем, мог бы написать я и тем самым ответить на риторический вопрос, вынесенный в заголовок. Но ситуация не так проста, как кажется. Хотя и ее развитие может идти по нескольким сценариям. Вариант "ничего не изменится" я не рассматриваю - с ним и так все понятно. Гораздо более интересен другой вариант.

Допустим, Россия, как уже грозила, выходит из Совета Европы. В этом случае она будет не обязана соблюдать общие правовые нормы и рекомендации, принятые всеми 47-ю государствами-членами. Также в этом случае Россия не обязана будет приводить свое законодательство в соответствие с европейскими нормами (а мы, к слову, ратифицировали свыше 50 различных конвенций Совета Европы). И тогда мы на полном основании сможем отказаться от применения Евроконвенции по персональным данным и включать в ФЗ-152 и подзаконные акты те нормы, которые захочет Россия. Например, она может изменить и сделать более адекватным определение термина "персональные данные". А может ввести в 19-ю статью требование сертификации средств защиты ПДн как формы оценки соответствия. Варианты могут быть разные. А в ноябре на конференции по ПДн, которую устраивал Роскомнадзор, и вовсе прозвучала мысль, что штрафы за нарушение ПДн надо поднять. И пусть это будут не "смешные" 10 тысяч рублей; и не внесенные в Госдуму 500 тысяч (в совокупности). Пусть это будет 5% от годового оборота нарушителя. Несколько лет назад РКН уже пытался провернуть этот фокус; правда, штраф тогда был "всего" 2%. Сейчас же, в условиях дефицита бюджета, Минюст может и разрешить такую поправку...

Но пойдем дальше. Если Россия всерьез примет решение об аннексии ГДР со стороны ФРГ (а в этом процессе было тоже не очень все чисто), а также начнет выполнять угрозу Медведева о реакции "без ограничений", то мы можем стать свидетелями очень интересных юридических споров, которые могут послужить причиной для пересмотра если не всего, то очень большой части международного права.

В прошлом году я делал на одном мероприятии доклад на тему "А что если завтра кибервойна?" И в нем было сделано предположение, что для очередной смены основ международного права нужно серьезное потрясение. И если Россия решит пойти до конца, а Запад полезет в бутылку и не пойдет на попятную (а скорее всего это и произойдет), то это может послужить причиной пересмотра неработающих сейчас норм в области международной безопасности. 

А там, глядишь, недалеко и до разработки единых правил поведения в киберпространстве и норм в области кибервооружений. И все это может произойти в самое ближайшее время.

В интересное время живем, однако... Однако у китайцев пожелание жизни в эпоху перемен считалось проклятьем (хотя достоверных источников, подтверждающих китайское авторство этого "проклятия", до сих пор не найдено). Вот и думай, хорошо это или нет...

Подробнее…

Основные ИБ-события за новогодние праздники

По традиции публикую ключевые события, произошедшие за новогодние праздники:

• Принятие поправок в части переноса срока вступления в силу закона "о запрете хранения ПДн россиян за границей". Президент подписал 31-го декабря закон 526-ФЗ на эту тему.
• Принятие поправок в 149-ФЗ в части запрета хостинга техсредств государственных информационных систем за рубежом. Президент подписал 31-го декабря закон 531-ФЗ на эту тему. В этом законе стоит обратить внимание на два момента. Он оперирует не понятием "государственная информационная система", что было бы логично, но очередной раз приводило бы к спорам о том, что такое ГИС. Вместо понятия ГИС 531-ФЗ использует "информационные системы, используемые государственными органами, органами местного самоуправления, государственными и муниципальными унитарными предприятиями или государственными и муниципальными учреждениями". За нарушение данного требования предусмотрена административная ответственность в виде новой статьи КоАП - 13.27.1 (штраф на юрлиц - до 50 тысяч рублей). Я про этот законопроект уже писал в марте 2014-го года. Тогда предполагалось, что его рассмотрят только в октябре 2015-го года, но изменение геополитическое ситуации заставило подвинуть сроки вступления закона в силу. Та же ситуация и с изменением сроков по 242-ФЗ.
• Президент Обама подписал указ о введении санкций против Северной Кореи за взлом компании Sony. Тут интересны не детали, а сам факт введения санкций против целого государства за так и недоказанный взлом частной компании. Это что-то новое в международном праве (хотя к США, наверное, нормы международного права сложно применять - они всегда были сами в своем праве). Но хорошо хоть нормы Таллинского руководства не стали применять, а ведь оно разрешает ответить на кибератаку бомабардировкой. В ответ на санкции Северная Корея увеличила вдвое штат своих кибервойск.
• Очередной виток "наездов" на северокорейских хакеров. В западной прессе началась волна материалов (пример), направленных против хакеров из Северной Кореи. Якобы они   совершают атаки на американскую инфраструктуру и поэтому санкции против Северной Кореи вполне обоснованы и не высосаны из пальца. При этом делаются выпады еще и в сторону Китая, под протекторатом которого которого и находятся северокорейские хакеры. Якобы спецподразделение под названием "Бюро 121" находится не в КНДР, а в Китае и последний этому способствует. Нахождение "Бюро 121" в Китае обосновывается тем, что в самой Северной Корее слабая Интернет-инфраструктура. Попутно подозрение падает и на Китай, который в последнее время слишком сильно активизировался в части сопротивления американской гегемонии (Никарагуанский канал, "дружба" с Россией, "крышевание" Северной Кореи и т.п.). А ведь про "Бюро 121" и его нахождение в Китае писали еще в 2009-м году. Видимо "сенсация" нужна была именно сейчас :-)
• Конец декабря 2014-го и начало января 2015-го ознаменовались атаками на немецкие правительственные ресурсы. Сначала был инфицирован лэптоп Ангелы Меркель и, возможно, с помощью Regin были украдены конфиденциальные документы. Спустя неделю пророссийский "КиберБеркут" вывел из строя сайт Меркель и ряда других правительственных структур Германии (КиберБеркут подтверждает сей факт). Последние два события лишний раз подтверждают выводы, сделанные в 2009-м году, что Китай и Россия, наряду с Северной Корее, Ливией, Сирией и Ираном являются самыми опасными в киберпространстве государствами. Последние шаги США по принуждению этих государств "к миру" только подтверждают, что мишени выбраны неслучайно :-)

• 56-тилетний бывший директор по кибербезопасности американского Минздравсоцразвития получил 25 лет за оплату членства на сайтах с детской порнографией и попытки скрыть сей факт путем доступа к таким сайтам с помощью средства анонимизации (в частности, Tor).

Вот такой Топ5 новогодних ИБ-событий.

Подробнее…

Европа ограничивает распространение инструментов для обхода средств защиты

Многие, наверное, слышали про санкции в отношении России, про технологии двойного использования (назначения), про Васенаарские соглашения... Для многих эти термины связаны с определенной процедурой (а иногда и ограничениями) поставок отдельных видов ИТ/ИБ-продукции в страны, являющиеся участниками соответствующих соглашений. Но недавно данные ограничения стали применяться и в отношении кибероружия.

22 октября Европа внесла изменения в свой список технологий двойного назначения (dual use items). Изменения коснулись свыше 400 позиций, включая и появление совершенно нового объекта для регулирования - "intrusion software", которое расшифровывается как "ПО, специально разработанное или модифицированное с целью избежания его обнаружения средствами мониторинга, или для обхода защитных мер, сетевых устройств или средств вычислительной техники, а также для выполнения одной из следующих функций:

• добыча данных или информации из средств вычислительной техники или сетевых устройств, или модификации систем или пользовательских данных, или
• модификации стандартного способа выполнения программ или процессов с целью выполнения полученных извне инструкций".

К средствам мониторинга относится по версии Евросоюза ПО или "железо", предназначенное для мониторинга поведения системы или процессов, запущенных на устройстве. Примером таких средств являются антивирусы, системы обнаружения и предотвращения вторжений, межсетевые экраны и средства защиты ПК и мобильных устройств, а также иные средства персональной ИБ.

К защитным мерам Евросоюз относит "песочницы", DEP, ASLR и иные технологии безопасного исполнения кода.

К "intrusion software" не относятся:

• гипервизоры, отладчики и средств для реверс-инжиниринга
• ПО для DRM (Digital Rights Management)
• ПО, установленное разработчиком, администратором или пользователем для целей отслеживания активов и восстановления.

Я уже неоднократно говорил и писал, что "санкции" не означают запрета. Также и попадание в технологии двойного назначения не означает невозможности продажи, распространения и использования таких технологий. Просто Евросоюз хочет контролировать данный вид программного обеспечения и позволяет распространять его, но после получения соответствующей экспортной лицензии.

Данные поправки в законодательство демонстрируют две проблемы, которые все чаще проявляются в последнее время применительно к кибероружию или спецоперациям в киберпространстве. Во-первых, многие международные эксперты считают, что в отношении кибероружия (или "intrusion software") надо вводить режим нераспространения по аналогии с ядерным нераспространением. Однако, хочу отметить, что если технология создания ядерного оружия действительно доступна далеко не каждому государству, то создание вредоносного ПО не является такой уж и сложной задачей. Она под силу не то, что государству, но и хакерам-одиночкам. Поэтому ограничивать создание и распространение таких технологий достаточно сложно - работы в этом направлении могут вестись скрытно и не попадать в поле зрения "кибер-МАГАТЭ" (создание аналога МАГАТЭ, но в киберпространстве, сейчас также обсуждается на международной арене).

Вторая проблема связана с попытками ограничивать распространение программного обеспечения. Это продажу танка можно ограничить. Или продажу боеголовки. Или компьютеров. Но как ограничить продажу нематериального? Ведь я могу просто скачать с какого-либо сайта или из сети Тор нужное мне ПО, минуя все запреты? По сути, вводимые Евросоюзом нормы, могут ограничить экспорт только легально продаваемого шпионского/вредоносного ПО. Нелегально производимое ПО остается вне регулирования и контроля.

По сути сегодня международное сообщество не готово к регулированию вопросов международной информационной безопасности, спецопераций в киберпространстве, распространения кибероружия и т.п. Традиционные нормы международного права малоприменимы к виртуальному пространству, а новых пока не появилось. Да и вся структура международного законодательства в области безопасности сегодня устарела, так как разрабатывалась совсем в иных условиях и в другое время.

Поэтому можно резюмировать, что предпринятые Евросоюзом попытки ограничить распространение вредоносного ПО достаточно интересны, но малопродуктивны. Но как начало некоторой тенденции, этот факт стоит взять на карандаш.

Подробнее…