#CyberMagazyn: Cyberatak jako narzędzie agresji. „NATO musi działać w imię kolektywnej obrony”

Cyberataki są obecnie jednym z narzędzi agresji. Państwa wykorzystują je do realizacji swoich operacji, aby osiągnąć zakładane cele. Przykładem mogą być działania ze strony Rosji (próba ingerencji w scenę polityczną innych krajów, np. USA), Chin (cyberszpiegostwa) czy Korei Północnej (próba pozyskania funduszy np. na rozwój programu nuklearnego).

Cyberprzestrzeń nieustannie ewoluuje, co przekłada się również na zmiany w zakresie samych cyberataków. Modyfikacjom podlegają m.in. sposób działania hakerów i cyberprzestępców; narzędzia, techniki, metody. Ta dynamika zjawiska sprawia, że rzeczywiste działania ukierunkowane na jego zwalczanie nie nadążają. W związku z tym rodzi się pytanie: na jakie priorytetowe problemy w tym obszarze należy zwrócić uwagę, a jakie nie zostały jeszcze rozwiązane?

Szara strefa

Dr Błażej Sajduk z Katedry Bezpieczeństwa Narodowego Uniwersytetu Jagiellońskiego w rozmowie z naszym portalem zwraca uwagę na rosnącą „szarą strefę”.

Zdaniem eksperta najlepiej zobrazował ją tzw. „hack dekady”, czyli incydent z udziałem oprogramowania „Orion” firmy SolarWinds. Jak wskazały Stany Zjednoczone, którego agencje federalne były jednym z głównych celów ataku, stwierdziły, że jego źródło znajdowało się w Rosji. Hakerom udało się włamać do m.in. sieci Departamentu Stanu, Departamentu Handlu czy Departamentu Bezpieczeństwa Wewnętrznego USA.

Tu rodzi się problem. Wynika on z faktu, że Rosjanie „niczego nie zniszczyli, nie powstawały zakłócenia, opóźnienia w pracy systemów”. „Jednak cyberatak sprawił, że podważyli zaufanie do wykorzystywanej infrastruktury. W związku z czym Waszyngton będzie musiał przeznaczyć ogromne środki finansowe na jej modernizację i wymianę sprzętu” – tłumaczy ekspert. To wiąże się ze sporymi kosztami dla USA, co pociąga za sobą pewne skutki, pomimo braku zniszczeń.

Rosja, choć nie doprowadziła do zniszczenia urządzeń, sprytnie sprawiła, że Amerykanie nie chcą już ich używać z obawy o bezpieczeństwo. Tu rodzi się pytanie: jak zakwalifikować taki czyn?

Ta perspektywa pokazuje, że „szara strefa” między konfliktem kinetycznym a prowadzonym w cyberprzestrzeni jest spora. „Duża i dodatkowo niewystarczająco uregulowana. Państwa próbują się porozumieć w tej sprawie, ale na ten moment jest to bardzo trudne” – stwierdza ekspert w rozmowie z naszym portalem.

Stan równowagi

Według Aleksandra Czarnowskiego, CEO Avetins, musimy pamiętać, że cyberatak może zostać odebrany jako akt agresji i pociągnąć za sobą działania odwetowe, w tym użycie środków wojny konwencjonalnej.

Jak zaznacza w rozmowie z naszym portalem - podobnie jak po II wojnie światowej - świat musi wypracować stan równowagi.

„Ten stan równowagi wtedy – paradoksalnie – udało się wypracować za pomocą broni jądrowej a nie ustaw, regulacji, traktatów czy ONZ. Skoro wszyscy główni adwersarze posiedli broń atomową i każdy z nich miał moc unicestwienia przeciwnika a przy okazji i siebie, nikt nie zdecydował się na ostateczne rozwiązanie” – wyjaśnia ekspert.

W późniejszym czasie miał miejsce wyścig zbrojeń, w tym program "gwiezdnych wojen" USA, który przyczynił się do szybszego rozpadu ZSRR na skutek akceleracji problemów ekonomicznych w gospodarce komunistycznej i przetasowania listy mocarstw.

Obecnie jednak międzynarodowa rzeczywistość wygląda inaczej. Stany Zjednoczone są uznawane za bogate mocarstwo, z kolei Rosja jak zawsze pokazuje swoje zapędy imperialistyczne – choć być może to kolos na glinianych nogach, nadal silnie oparty o surowce naturalne, skutecznie potrafi wpływać na sytuację na całym świecie.

W kwestii Chin – zdaniem Aleksandra Czarnowskiego – zrozumiałe jest, że komunistyczna gospodarka planowa nie prowadzi do niczego dobrego, więc zmieniono ją na wydajniejszy model i tym samym Chiny "wysuwają się na prowadzenie".

„W Azji najszybciej przyjął się protokół IPv6, bo na skutek przeludnienia skończyły się adresy IPv4. To Chiny także na początku lat 2000 zaczęły produkować jedne z najbardziej zaawansowanych exploitów, zwłaszcza dla systemów Microsoft Windows” – wskazuje CEO Avetins.

Za takim stanem rzeczy stoi język, a zwłaszcza kodowanie znaków.  „W Azji standard Unicode był używany dużo wcześniej i powszechniej niż w innych rejonach. Efektem ubocznym było to, że żaden exploit z zachodniej cywilizacji nie działał w przypadku azjatyckich wersji, które używały Unicode. Takich złożonych przypadków jest oczywiście więcej” – tłumaczy Aleksander Czarnowski.

W tym kontekście warto zadać pytanie: jak w świecie, który utracił stabilność wprowadzić regulacje? „Lokalne regulacje niewiele zmienią, bo problem jest globalny i na koniec dnia będzie rozgrywany przez globalnych a nie lokalnych graczy” – twierdzi ekspert. W jego opinii w takiej sytuacji należy zawsze wybierać mądrych i doświadczonych ludzi, którzy będą odpowiadać za cyberbezpieczeństwo i dyplomację. W przeciwnym wypadku „może zdarzyć się tragedia o bardzo poważnych konsekwencjach”.

Zleć i „umyj ręce”

Równie ważną kwestią jest możliwość współpracy między poszczególnymi podmiotami. Wyobraźmy sobie następującą sytuację: jedno z amerykańskich przedsiębiorstw zostaje zaatakowane przez aktora z Rosji. W odpowiedzi postanawia wynająć inną firmę, która przeprowadzi operację odwetową. Finalnie okazuje się, że w ramach przeprowadzonej reakcji ucierpi spółka powiązana np. ze specsłużbami Kremla. I tutaj pojawia się „zagwozdka”: jakie są konsekwencje sytuacji, w której podmiot prywatny zaatakuje, np. w odwecie, inny podmiot powiązany z państwem?

„Trzecim wyzwaniem niezmiennie pozostaje kwestia atrybucji” – wskazuje dr Błażej Sajduk.

„Państwo musi kontrolować infrastrukturę i oprogramowanie”

Na inny wątek zwraca uwagę Aleksander Czarnowski. CEO Avetins odniósł się do istotnej roli infrastruktury, która ma w sobie coraz więcej wątków cyber. „W dobie chmury przyjęło się, że nie jest ona problemem i nie musi wymagać ochrony, bo jest tania. W wielu przypadkach faktycznie tak jest. Należy jednak odróżnić sferę komercyjną od sfery militarnej czy administracji państwowej” – mówi na łamach naszego portalu.

Jest to szczególnie ważny problem, gdy popatrzymy na cyberbezpieczeństwo nie tylko podmiotów prywatnych, ale i instytucji państwowych, w tym tych, mających kluczowe znaczenie dla funkcjonowania kraju. „Atak na system finansowy danego państwa czy regionu może odbić się dużo bardziej dotkliwie na społeczeństwie i gospodarce niż atak na urząd centralny” – twierdzi. Według przedstawiciela biznesu, sfera komercyjna i administracji państwowej oraz militarna muszą się rządzić odmiennymi prawami.

Infrastruktura krytyczna opiera się na dwóch filarach: infrastrukturze i oprogramowaniu, które ją tworzy. To oznacza, że państwo musi kontrolować oba elementy jednocześnie. Testowanie zarówno sprzętu jak i oprogramowania pod kątem podatności, bocznych furtek i ukrytych wad jest niezwykle trudnym i kosztownym zajęciem. Oczywiście wytworzenie niezawodnych rozwiązań także, więc trzeba znaleźć rozsądny kompromis. Na pewno jednak nie wolno oddawać żadnego z tych obszarów w 100 proc. zagranicznym dostawcom.

Przyszłość upłynie pod znakiem…

Cyberszpiegostwo niezmiennie będzie realnym zagrożeniem. Z czasem jednak – zdaniem dr Błażeja Sajduka – skala kradzieży danych stanie się coraz większa. „Wynika to z faktu rosnącej świadomości, że podejmowane działania niosą nie tylko korzyść dla nas jako atakujących, ale także straty dla drugiej strony, wynikające m.in. z konieczności wymiany naruszonej infrastruktury” – tłumaczy dla naszego portalu. Warto również podkreślić, że akty szpiegostwa nie są zabronione przez prawo międzynarodowe, a państwa nigdy z tego powody nie poszły na wojnę.

Jak wskazuje Aleksander Czarnowski, znaczenie operacji cyberszpiegowskich zacznie spadać dopiero, gdy strefa cyber zostanie zastąpiona przez inne wynalazki. „W międzyczasie czynnik ludzki także będzie spychany na boczny tor” – dodaje, odnosząc się do wykorzystania np. sztucznej inteligencji.

Ważnym punktem jest także zbiorowa atrybucja cyberataków. Jako przykład można wskazać przypisanie przez USA, NATO i ich sojuszników wrogich działań z udziałem Microsoft Exchange Chinom, a także oficjalne stanowisko UE potępiające rosyjską operację Ghostwriter wymierzoną w m.in. Polskę.

Miejmy na uwadze, że jak dotąd zbiorowa atrybucja, to jedno, a zbiorowa odpowiedź – drugie. Jednak jak skutecznie połączyć te kwestie? „Uważam, że takie podmioty jak NATO czy UE powinny posiadać odpowiednie komórki, posiadające ofensywne zdolności w cyberprzestrzeni, aby móc je używać w imię kolektywnej obrony” – wskazuje dr Błażej Sajduk.

Jego zdaniem, gdy państwo członkowskie zgłasza, że ucierpiało w wyniku wrogiej cyberoperacji, wspólnota, za pomocą takiej jednostki, ma przeprowadzić stosowne działania w imieniu całej społeczności, realizując np. art. 5 NATO. „Musimy pokazać, że nasze zobowiązania w ramach sojuszy mają również swoje przełożenie w cyberprzestrzeni” – zaznacza.

W pracach nad nową koncepcją strategiczną NATO pojawiły się postulaty, aby za cyberatak, mogący uruchomić art. 5, traktować również serię mniejszych wrogich cyberdziałań. Uregulowanie tego będzie niezwykle trudne, a pole do interpretacji ogromne.

Inny punkt widzenia prezentuje przedstawiciel biznesu. Zdaniem Aleksandra Czarnowskiego trendy w zakresie cyberzagrożeń nie zmieniają się od lat – one przyspieszają. „Edukacja nie działa, tak jak nie działała do tej pory – wszyscy o niej mówią, a na koniec trzeba było wprowadzić obowiązek np. w postaci Art. 25 i 32 RODO” – twierdzi CEO Avetins. „Niewątpliwie stale podnoszona jest poprzeczka w zakresie minimalnej wiedzy o cyberbezpieczeństwie, co jest wynikiem dramatycznego wzrostu skomplikowania systemów, technologii i powiązań między nimi a człowiekiem” – komentuje nasz rozmówca.

Tekst powstał w ramach cyklu #CyberPaździernik. Cyberbezpieczeństwo dotyczy nas wszystkich – niezależnie od wykonywanego zawodu i wykształcenia czy miejsca zamieszkania. Nie zapominajmy o tym – nie tylko w październiku, który jest „Europejskim Miesiącem Cyberbezpieczeństwa”.

Chcemy być także bliżej Państwa – czytelników. Dlatego, jeśli są sprawy, które Was nurtują; pytania, na które nie znacie odpowiedzi; tematy, o których trzeba napisać – zapraszamy do kontaktu. Piszcie do nas na: [email protected]. Przyszłość przynosi zmiany. Wprowadzamy je pod hasłem #CyberIsFuture.