Чиновники испугались киберучений
Александр Михайлов
17 октября 2010 года, 21:44
Некоторые события, случившиеся во властных структурах и России, и ряда зарубежных стран, дают основания предполагать, что в кои-то веки чиновники серьезно испугались информационных технологий. Впрочем, не столько самих технологий, которые давно научились использовать, в том числе для «выбивания» бюджетов (пример — так называемая Проблема-2000). Испугались они последствий квалифицированного использования информационных технологий деструктивными элементами, в частности, кибертеррористами.
Речь идет о двух событиях, случившихся в один день. Одно из них — 26 заседание Национального антитеррористического комитета (НАК) России, второе — объявление европейским агентством по сетевой и информационной безопасности (ENISA) о планах по проведению в ноябре текущего года масштабных киберучений.
Что касается НАК, то на заседании этой организации директор ФСБ России Александр Бортников заявил, что комитет должен разработать комплекс мер по защите критически важных объектов, в том числе объектов государственной власти, от угроз кибертерроризма. По его словам, НАК должен, в частности, выработать меры по предупреждению и пресечению незаконного вмешательства в деятельность информационных и телекоммуникационных сетей. В первую очередь против такого вмешательства, которое может повлечь за собой техногенные и экологические катастрофы, породить дестабилизирующие явления в социальной сфере, а также нанести ущерб экономике и национальной безопасности. При этом подобные воздействия на ИКТ-инфраструктуру обозначены как преступные действия террористического характера с использованием информационных технологий.
ENISA, в свою очередь, планирует провести киберучения, в которых примут участие все 27 стран ЕС. Основной целью этой «тренировки» названа выработка единого подхода к защите и создание единого доверенного IT-пространства Евросоюза. Не менее важной задачей учений сотрудники агентства считают налаживание соответствующих контактов между странами ЕС. Дело в том, что в настоящее время, по данным ENISA, каждая из стран ЕС имеет свой механизм обеспечения IT-безопасности. В большинстве случаев он не предусматривает взаимодействия даже с ближайшими соседями. Все это, можно сказать, относится к стратегическому уровню. На тактическом же, по словам старшего консультанта ENISA Вангелиса Узуниса, в рамках учений планируется выработать наилучшие способы защиты от масштабных вирусных инфекций и атак со стороны ресурсов ботнетов.
Видимо, последние события в области информационной безопасности все-таки сподвигли российских и европейских чиновников на какие-то действия для обеспечения информационной безопасности. И поскольку речь идет о защите информационных систем критически важных объектов, то, скорее всего, непосредственным виновником такой активности стал вирус Win32/Stuxnet, «пробравшийся» на один из критических промышленных объектов Ирана — на Бушерскую АЭС. Кстати, уже тогда у экспертов не было твердой уверенности, что вирусная атака, если она все же была, — не дело рук кибертеррористов.
Здесь можно вспомнить и о более ранних событиях, например о том, как министерство обороны США приняло решение о создании кибернетического командования, которое должно отвечать за безопасность военных информационных сетей, впрочем, не только за безопасность. Предполагалось, что в задачи кибервойск войдет и проведение самостоятельных хакерских атак на информационные сети противников.
Ситуацию с защищенностью критически важных систем от кибератак BFM.ru прокомментировали руководитель направления аудита и консалтинга LETA IT-Company Алексей Медведев и директор департамента аудита компании «Информзащита» Максим Эмм.
Алексей Медведев: В настоящее время защищенность критически важных систем и объектов в мире от кибератак и кибертерроризма не является достаточной. В случае, когда мы говорим о кибертерроризме — новом явлении, которое направлено на выведение из строя или получение управления критичными системами и объектами стран, необходимо четко понимать, что работы в этой области ведутся не разрозненными группами хакеров, преследующих личные цели, а организованными и хорошо финансируемыми группами, которые в состоянии привлечь к такого рода деятельности узкоспециализированных и квалифицированных инженеров. Это обстоятельство позволяет сделать предположение, что программные коды будут направлены на дестабилизацию работы промышленных систем управления или получение контроля над управляющими процессами в этих системах. Трудно себе представить те объемы проблем, которые в настоящее время может доставить программный код, благодаря которому можно получить управление системами ядерных электростанций, электроэнергетических сетей, систем водоснабжения и обеспечения жизнедеятельности крупных мегаполисов.
Недавний пример — вирус Stuxnet, компьютерный вирус, действующий на уровне логических контроллеров. Проблемой с идентификацией и локализацией этого вируса являлось наличие цифровых подписей. Учитывая характер и способ его распространения, можно говорить о том, что зараженные объекты не соответствовали требуемому уровню защищенности. В каждой стране на законодательном уровне по-разному приняты требования к критически важным объектам. В нашей стране существуют классы защищенности в соответствии с руководящими документами ФСТЭК.
Максим Эмм: Большинство критически важных систем и объектов во всех странах мира, за исключением США, Великобритании, Франции и еще ряда высокотехнологичных государств, защищены от кибератак достаточно надежно — они просто отключены от всех внешних сетей. Хотя, как показывает пример со Stuxnet в Иране, это перестало быть панацеей. По отношению к угрозам типа Stuxnet защиты нет практически ни у кого, поскольку исторически считалось, что внутренние сети критических объектов можно не защищать от киберугроз так же, как веб-сайты, например.
— Насколько защищены российские объекты по сравнению с зарубежными?
А. М: В настоящее время, начиная с 2001 года, в США предпринимаются серьезные действия на законодательном уровне в отношении противодействия кибератакам и кибертерроризму. В США разрабатывают и готовят к запуску программу защиты критически важных объектов инфраструктуры от кибератак. Таким образом, учитывая серьезность угрозы, объемов возможного финансирования подготовки и организации кибератак, их направленности на нарушение функционирования жизненно важных объектов, безусловным фактором успеха является координация действий по защите на законодательном уровне. Сопряженность сетевых инфраструктур обязывает страны сотрудничать для оказания противодействия, выработки комплекса мер защиты и сдерживания инцидентов от возможных кибератак. Таким образом, борьба с такого рода угрозой на «местечковом» уровне не позволяет добиться серьезного успеха. Однако необходимость принятия стратегических решений на высоком уровне не обеспечит эффективной защиты без тактических действий, а именно, выстраивания процессов защиты информации, сервисов и систем. Только совокупность и синергия этих направлений позволит эффективно сдерживать и противодействовать угрозам кибератак и кибертерроризма.
В России различные объекты аттестованы по различным классам защищенности. Любой объект, любая автоматизированная система — это сложный механизм, для которого существует множество угроз. В зависимости от критичности объектов можно применять только те или иные программные и аппаратные средства. В случае с вирусом Stuxnet удивляет разрешение на использование USB-flash накопителей на критически важных объектах. Использование чужой аппаратной базы само по себе ставит под угрозу все объекты, несмотря на самые сложные проверки. Этот риск применим и для России.
М. Э.: У нас хотя и используются относительно древние методы защиты — такие как отключение сети объекта от Интернета, отключение портов ввода-вывода и прочих старых как мир способов, — можно сказать, что уровень защиты достаточно адекватный, если, конечно, эти меры внедрены должным образом.
— Возможно ли построение действительно надежной системы ИБ на критически важных объектах или спор «брони и снаряда» вечен, в том числе в Интернете?
А. М.: При построении любой системы, которая обеспечивает автоматизацию производства, будут присутствовать определенные риски ИБ, полностью избавиться от которых невозможно. Именно это обстоятельство и побуждает применять риск-ориентированный подход для обеспечения безопасности. Бытует мнение, что защищенность промышленных систем управления (АСУТП) является высокой в силу их специфичности и узкой направленности, поэтому зачастую организационно-технические процессы безопасности в этих областях не выстроены должным образом.
Понятие надежности задается требованиями к системам. Например, системы на атомных электростанциях можно считать надежными, так как они соответствуют всем требованиям надежности, заложенным для такого рода систем. Все действительно критически важные объекты по понятным причинам не имеют доступа в Интернет.
Для критически важных объектов важна их автономность и простота. Основой успеха является нацеливание на решение конкретных узких задач в своей области. Это не продвинутые пользовательские системы, которые, как комбайны, могут все. Чем проще система, тем меньше в ней возможных проблем и уязвимостей.
Если же говорить о тенденциях в целом, то всегда будут обнаруживаться новые уязвимости и предлагаться новые средства защиты.
М. Э.: Спор между «броней и снарядом», к сожалению, вечен, и, что хуже, «броня» была и всегда будет дороже снаряда, поэтому высоких затрат на обеспечение безопасности объектов нам не избежать. Но даже они не гарантируют абсолютного спокойствия и отсутствия инцидентов.
— Есть ли примеры успешных кибератак на критически важные объекты в России и в мире?
А. М.: Можно, наверное, назвать нашумевшие атаки на Пентагон (периодически), Иран (2010), Эстонию (2007), Грузию (2008).
М. Э: В России такого рода примеры мне неизвестны, и даже если бы они были, информация об этом, скорее всего, засекречена. Наиболее успешной атакой за все время стоит признать прошлогоднюю атаку с использованием Stuxnet на фабрику по обогащению урана в Натанзе (Иран), в результате которой Голамреза Агазаде, глава IAEO или Иранской организации по атомной энергии, ушел в отставку при загадочных обстоятельствах.
