Zagrożenia cybernetyczne stają się jednym z podstawowych wyzwań w polityce bezpieczeństwa państw. Ostatnie incydenty w Stanach Zjednoczonych powinny dawać nam do myślenia.

Podsumowanie:

• cyberwojna jest jednym z podstawowych pól rywalizacji pomiędzy mocarstwami
• narzędzia hakerskie stają się powszechnie dostępne, ataki na infrastrukturę teleinformatyczną stanowią poważne zagrożenie
• konieczne jest wypracowanie szerokich, autonomicznych zdolności w zakresie budowy własnego oprogramowania

---

13-05-2021

---

Ponad tydzień trwał powodowany cyberatakiem paraliż paliwowego systemu przesyłowego w ramach infrastruktury Colonial Pipeline, która zaspokaja 45% potrzeb rynkowych całego wschodniego wybrzeża USA (przepustowość ok 2.5 mln baryłek dziennie). Zamiast rurociągiem, surowiec transportowano z teksańskich rafinerii cysternami, ale dużo mniejszy wolumen nie był w stanie zaspokoić potrzeb rynku.

Informacja ta wzbudziła panikę, skłaniając zmotoryzowanych obywateli do wzmożonych zakupów, przez co na stacjach benzynowych zaczęło brakować paliwa.

Do cyberataku miało dojść w czwartek 6 maja 2021 r. Sprawcy włamali się do systemu informatycznego operatora CP, kradnąc z niego przeszło 100 GB danych. Hakerzy zażądali okupu, w przeciwnym razie grozili ich upublicznieniem. Firma prawdopodobnie odmówiła, odłączając system od sieci. To standardowe postępowanie mające uniemożliwić włamywaczom bieżący dostęp do zainfekowanej struktury i jej dalszą penetrację.

W efekcie cały rurociąg natychmiast wstrzymał pracę. Co prawda w ciągu kilku dni uruchomiono pomniejsze, boczne odnogi przesyłowe, ale cztery główne, ciągnące się przez 8850 km pozostawały wyłączone. Tego typu sprawy nigdy nie są proste. Skradzione dane są zaszyfrowane, mogą też zostać skasowane, a to często oznacza konieczność odtworzenia całego dedykowanego infrastrukturze oprogramowania sterującego, co może zająć długie tygodnie. Na szczęście, rynkową praktyką jest wykonywanie kopii zapasowych, pozwalających na skrócenie czasu restartu systemu, ale nawet wtedy przywrócenie pełnej operacyjności musi potrwać. To dlatego pojawiły się informacje o zamówieniu minimum sześć tankowców, które miałyby dowieźć potrzebny surowiec z Europy do niektórych z dotkniętych awarią stanów. Od momentu uruchomienia, ropociąg potrzebować będzie ok. dwóch tygodni by osiągnąć pierwotną przepustowość.

Po zimowej awarii, to kolejny duży cios w amerykański rynek naftowy i po raz kolejny oberwał Teksas, chociaż nie tylko. Rurociąg przechodzi przez terytorium kilkunastu stanów, od Zatoki Meksykańskiej po Nowy Jork. Posiada kilka pobocznych odnóg, które rozprowadzają surowiec w głąb danego stanu. Bezpośrednim następstwem ataku jest wzrost cen paliw dla konsumentów. Ich deficyt negatywnie wpłynie na gospodarkę, odmrażaną właśnie po pandemii. Znowu przekonujemy się jak ważne są przepływy, tym razem surowców. Dopiero niedawno ustąpiły negatywne efekty zatkania Kanału Sueskiego, a już kolejna, tym razem wirtualna przeszkoda sparaliżowała infrastrukturę przesyłową niemalże połowy kraju i to nie byle jakiego.

Tego typu ataki określa się mianem 'ransomware’ (od ang. wymuszenia). Należą one do coraz częstszych praktyk cyberprzestępców. W tym konkretnym przypadku, włamanie ułatwiła pandemia – wielu inżynierów pracowało zdalnie, a ich nieostrożność pozwoliła hakerom na znalezienie „wejścia” do systemu. Za incydent odpowiedzialna jest grupa działająca pod nazwą DarkSide. Relatywnie młoda, ponieważ ujawniła się ledwie w połowie zeszłego roku. Wiemy o niej tyle, że jest rosyjskojęzyczna i działa z terytorium jednego z państw WNP. Z tego powodu jej członkowie mają unikać atakowania podmiotów na tym obszarze. Co ciekawe, na tle innych wyróżniają ją zaskakujące metody działania i profesjonalizacja. DarkSide stworzyła zestaw narzędzi, z których skorzystać może każdy chętny w ramach subskrypcji (tzw. RaaS – Ransomware as a Service). Ta quasi firma posiada infolinię, specjalną stronę do logowania, publikuje oświadczenia prasowe i ma jak widać gotowy model biznesowy. Z pomocą usługi RaaS, hakowaniem mogą zajmować się ludzie nawet o niewielkim pojęciu o kodowaniu, co do niedawna było warunkiem wręcz koniecznym do parania się tego typu działalnością przestępczą. A najważniejsze, że DarkSide dzieli się środkami uzyskanymi ze swojej działalności, oferując nawet 80% wartości uzyskanego okupu odpowiedzialnemu za jego uzyskanie „abonentowi”. Co ciekawe, część zysków przeznacza na działalność charytatywną. Wiadomo na przykład o wpłacie 10 000 USD na konto organizacji The Water Project oraz Children International. DarkSide twierdzi, że nie pozwala na atakowanie szpitali, szkół i innych obiektów użyteczności publicznej (także rządowych), wybierając za cel głównie bogate korporacje. Wyraźnie więc buduje wizerunek na wzór legendy Robin Hooda, łupiącego bogatych po to by rozdawać biednym.

Kreowanie pozytywnego image’u jest tutaj marketingowo uzasadnione – im lepszy odbiór społeczny, tym większa szansa na większą ilość „współpracowników”, co automatycznie przełoży się na jeszcze większą ilość podobnych ataków. To trochę jak z zamachami terrorystycznymi. Grupy łatwiej śledzić, mają swoje powiązania, kontakty, dostawców i kryjówki. Natomiast działający samotnie terroryści zależni są jedynie od siebie, dlatego bardzo trudno jest ich powstrzymać.

Cyber wojna

Proliferacja cyberprzestępczości doprowadzi do zmętnienia i tak dość mrocznych wód darknetu. A przecież największym zagrożeniem dla bezpieczeństwa nie są korzystający z gotowych rozwiązań amatorzy, a wyspecjalizowani fachowcy, którzy się za nimi kryją. Nierzadko posiadający etaty w służbach specjalnych.

Można bez ogródek powiedzieć, że wspomniane Stany Zjednoczone od kilku dobrych lat poddawane są nieustannym atakom cybernetycznym przez swoich geopolitycznych konkurentów, co zresztą skłoniło Waszyngton do wpisania w Strategii Bezpieczeństwa Narodowego tego typu działań w katalog priorytetowych zagrożeń dla bezpieczeństwa państwa jeszcze w grudniu 2017 roku. Naturalnie, sama domena cyfrowa była już wzmiankowana we wcześniejszych wersjach (choćby za Baracka Obamy), ale dopiero za prezydentury Donalda Trumpa USA zakomunikowały wolę proporcjonalnej odpowiedzi, tj. przeprowadzania własnych ataków lub wyciągania daleko idących konsekwencji wobec ich autorów. Te same założenia potwierdzono także w marcu 2021 r. w roboczej wersji strategii zakomunikowanej przez administrację Joego Bidena.

Do największego tego typu zdarzenia doszło w ubiegłym roku, gdy hakerom udało się podpiąć pod aplikację aktualizacyjną Orion, amerykańskiej firmy SolarWinds Inc. Dzięki takiemu zabiegowi (nazywanemu „supply-chain attack”), zainfekowane oprogramowanie zostało pobrane przez ok 18.000 użytkowników, z których część stanowili pracownicy agencji rządowych USA. Był to element rozbudowanego ataku, w którym wykorzystano także zainfekowaną korespondencję e-mail, skradziono certyfikaty pozwalające na przejęcie tożsamości świadczycieli usług (providerów), a w rezultacie uzyskano dostęp do danych ściśle wybranej grupy użytkowników. Specjaliści ocenili, że operację rozpoczęto na początku 2020 r. i trwała ona przez kilka miesięcy zanim została wykryta. Mogło brać w niej udział nawet 1000 informatyków.

W efekcie naruszone zostało bezpieczeństwo danych nie tylko ok. 100 korporacji (m.in. Boeinga i Microsoftu) ale też Departamentu Zdrowia, Handlu, Sprawiedliwości, Skarbu, Pracy, Stanu, a nawet Departamentu Obrony, Homeland Security (w tym bezpośrednio p.o. sekretarza Chada Wolfa) oraz Agencji Bezpieczeństwa Narodowego. Przypuszczano także, że do infiltracji mogło dojść w agencjach Kanady, Wielkiej Brytanii, NATO, a także Komisji Europejskiej (wszystkie korzystały z oprogramowania SolarWinds). W zeznaniach przed Kongresem na początku 2021 r., przedstawiciele firmy Microsoft, FireEye (specjalizującej się w cyberbezpieczeństwie) oraz urzędnicy rządowi, winą za atak obarczyli grupy hakerskie działające pod kierownictwem rosyjskiej Służby Wywiadu Zagranicznego oraz Federalnej Służby Bezpieczeństwa.

W ramach odpowiedzi, w połowie kwietnia prezydent Joe Biden wprowadził sankcję na kilkadziesiąt rosyjskich podmiotów (osób prywatnych i firm), wydalił dziesięciu dyplomatów, a także zabronił amerykańskim instytucjom finansowym kupowania rosyjskich obligacji skarbowych. W oficjalnym oświadczeniu Waszyngtonu, za przyczynę tak szerokiej odpowiedzi podano także m.in. mieszanie się Federacji Rosyjskiej w amerykański system wyborczy. Moskwa uznała wprowadzone sankcje za bezzasadne, natomiast nie brak głosów, że uderzenie w Colonial Pipeline mogło być formą retorsyjnej odpowiedzi Kremla.

Nie brak przykładów na podobne zdarzenia w innych państwach, a nawet w naszym kraju na przestrzeni kilku ostatnich lat. Nowością staje się rosnąca skala zagrożenia oraz częstotliwość występowania incydentów. Dzięki inicjatywom takim jak DarkSide grozi nam masowy wręcz wysyp naruszeń bezpieczeństwa sieci. W kontekście prowadzonej między różnorakimi państwami cyberwojny można śmiało założyć, że tak duży, skomplikowany i niebezpieczny cyberatak prędzej czy później dotyczyć będzie także Polski.

Zmiana zasad gry

Cybersfera staje się jedną z najważniejszych płaszczyzn prowadzenia konfliktu. Nic dziwnego, w skomputeryzowanym świecie atak na infrastrukturę cyfrową potrafi czynić ogromne spustoszenia, podobne a być może nawet większe niż nalot bombowy. Może wyłączyć systemy bankowe odcinając społeczeństwo od gotówki. Może doprowadzić do kradzieży środków finansowych, albo równie cennych danych. Może stać się przyczyną fizycznego uszkodzenia urządzeń: nie tylko komputerów ale też silników, transformatorów i pojazdów. Katalog potencjalnych zagrożeń jest naprawdę bardzo szeroki. Są tym groźniejsze w skutkach im mocniej polegamy na cyfryzacji jako elementarnym składniku naszego życia.

W przeciwieństwie do eksplozji, atak hakerski jest znaczniej mniej widowiskowy, wymyka się więc przeciętnemu ludzkiemu postrzeganiu, które nie traktuje zagrożeń niewidocznych gołym okiem jako bezpośrednio niebezpiecznych. Nie budzi podobnego oburzenia opinii publicznej oraz znakomicie, z samej swojej natury, nadaje się do prowadzenia działań w szarej strefie zmagań poniżej progu otwartego konfliktu zbrojnego. W przypadku udanego ataku prowadzonego zza granicy, rzadko kiedy udaje się przypisać sprawstwo konkretnej osobie. Tym trudniej jest to zrobić wobec innego państwa, którego władze zawsze mogą się od takiej jednostki odciąć. W końcu narzędzia informatyczne są relatywnie tanie, dostępne każdemu kto posiada odpowiednią wiedzę i żadna służba na świecie nie jest w stanie powstrzymać wszystkich anonimowych cyberprzestępców a priori.

Wyłączenie Colonial Pipeline i przejściowe braki na stacjach benzynowych z pewnością utrudnią przeciętnym Amerykanom życie i doprowadzą do realnych, mniejszych lub większych, strat finansowych. Jednakże dużo większym zagrożeniem są ataki takie jak ten za pośrednictwem SolarWinds, gdzie doszło do infiltracji wewnętrznych struktur informatycznych najważniejszych instytucji państwa o skali trudnej do precyzyjnej oceny. Skutki tego ataku mogą ciągnąć się latami i nigdy nie ma pewności, iż zagrożenie minęło, ponieważ nie wiemy ile tzw. „backdoorów” (ukrytych w oprogramowaniu bramek pozwalających na zdalne wejście do systemu) hakerzy zdołali ukryć nim wykryto ich obecność.

Stąd tak ważne jest właściwe zabezpieczenie infrastruktury teleinformatycznej i bezwzględne przestrzeganie procedur przez użytkowników i personel ją obsługujący. Ta ostrożność powinna zresztą dotyczyć nas wszystkich. Zwłaszcza, że nieustannie nosimy przy sobie największe z narzędzi inwigilacji i cyberprzestępczości – smartfony. Zagrożenia cybernetyczne i przeciwdziałanie im musi stanowić priorytetowy punkt na mapie bezpieczeństwa teleinformatycznego kraju.

Jednakże sama prewencja to jeszcze nie wszystko. Przypadek SolarWinds udowadnia, że uniwersalność stosowanego oprogramowania, poczynając od systemu operacyjnego po środowisko sieciowe czy biurowe, choć ułatwia pracę wewnątrz danej struktury, to jednocześnie stanowi dla niej istotne zagrożenie. Jeśli to samo oprogramowanie stosowane jest przez większą ilość podmiotów, to atak na jeden z nich stanowi niebezpieczeństwo dla wszystkich pozostałych. W ten sposób ubiegłoroczne włamanie w USA, stało się zagrożeniem także dla Wielkiej Brytanii, Kanady i kilku innych państw. A to oznacza, że pora zmienić zasady gry.

Jak się dostosować?

To otwarte pytanie.

Jednym z podstawowych obowiązków państwa jest zaadresowanie rozwoju cyfryzacji i właściwe zabezpieczenie się przed zagrożeniami cybernetycznym.

Pozytywnie oceniam działanie jakie już jakiś czas temu podjęło Ministerstwo Obrony Narodowej w ramach utworzenia Wojsk Obrony Cyberprzestrzeni, jednakże choć obejmują one po części bezpieczeństwo administracji państwowej, to uważam, że powinniśmy iść dużo dalej. Rzeczypospolita powinna posiadać szerokie, autonomiczne zdolności do opracowania rozwiązań teleinformatycznych, w tym szczególnie z zakresu tworzenia dedykowanego oprogramowania administracyjnego. Nie chodzi o wymyślanie na nowo koła (na pewno nie o inicjatywy takie jak Albicla), ponieważ czasem wystarczy np. odpowiednio skrojona licencja, która da nam pewną dozę samodzielności, a ta z biegiem czasu stawać się będzie przecież coraz istotniejsza.

Najpierw jednak musimy wytworzyć do tego zadania odpowiednie kompetencje. W przeszłości liczba specjalistów z tej dziedziny była bardzo ograniczona. Brakowało im doświadczenia, a same instytucje państwowe nie znały swoich rzeczywistych potrzeb informatycznych. Nie wiedziały więc jak zaprojektować system, który spełniałby ich oczekiwania. Mimo to, podejmowano szereg prób odejścia od papierologii na rzecz informatyzacji. Jedną z najbardziej spektakularnych była cyfryzacja Zakładu Ubezpieczeń Społecznych odbywająca się pod egidą programu Płatnik. Jego rozwój stanowił bolesną (użytkowo i finansowo) lekcję pokory i informatycznego rzemiosła, ale wreszcie oczekiwany efekt został osiągnięty. Dzisiaj, satysfakcjonujące nas rozwiązania możemy opracować dużo mniejszym kosztem, w dużo krótszym czasie, a efekt końcowy będzie znakomicie lepszy. Ostatnie lata pokazały, że jesteśmy w stanie sprostać wyzwaniu z poziomu tak administracyjnego jak i kadrowego. Jakiegoś rodzaju pozytywnym sygnałem jest tu wprowadzenie i rozwój aplikacji mObywatel, CEPiK, ProteGO itp., choć każda z nich wymagała mozolnego testowania i kontroli bezpieczeństwa w poszukiwaniu luk, co nie zawsze szło zgodnie z intencjami. Daleko nam jeszcze do najwyższego poziomu, ale przynajmniej idziemy we właściwym kierunku.

Biorąc pod uwagę postęp technologiczny, a także specyfikę rynku informatycznego, moim zdaniem zasadnym jest tworzenie kompetencji do opracowywania własnych rozwiązań na użytek administracji. USA wykorzystuje do tego celu amerykańskie korporacje, ale już na przykład Unia Europejska bardzo narzeka na brak własnych gigantów technologicznych. Waszyngton może bezpośrednio wpływać na szefów z Doliny Krzemowej, ale wpływ Brukseli jest dużo mniejszy. A chodzi właśnie o możliwość kontroli. Idealną sytuacją byłby rozwój oprogramowania wyłącznie w ramach struktur państwowych lub poprzez kooperatywę ze sprawdzonym i dozorowanym podwykonawcą zewnętrznym. Do tego jednak daleka droga. Na razie bardziej osiągalna jest weryfikacja zabezpieczeń przez specjalistów. W ciągu ostatnich kilku lat powstało wiele inicjatyw idących w tym kierunku, także na poziomie rządowym. Regularnie organizowane są „hackathony”. W Polsce zajmowało się tym do niedawna Ministerstwo Cyfryzacji, które jednakże zlikwidowano. Na świecie takie same wydarzenia organizuje np. NATO.

Oczywiście, łatwiej powiedzieć niż zrobić. Stworzenie od podstaw systemu operacyjnego jest ogromnym wyzwaniem, a nawet budowanie go w oparciu o istniejące elementy (tak jak odbywa się to w ramach kompilacji tzw. kernela w systemach uniksowych) nie czyni tego zadania dużo łatwiejszym, czego dowodzą dystrybucje systemów BSD niewolne od wielu błędów. Nie musimy jednak iść tak daleko, wystarczą nam prostsze narzędzia do określonych zadań. Mamy rzeszę, bardzo zdolnych i pomysłowych informatyków, a kształcimy ich jeszcze więcej. Możemy skorzystać z tego rezerwuary nowej siły, pamiętając przy tym by czerpać z doświadczeń weteranów branży, których także u nas nie brakuje. Być może pomysł na tego rodzaju autonomiczność informatyczną można by wpiąć w szersze struktury europejskie?

Nim zabierzemy się do dzieła, przydałaby się otwarta, szeroka debata na temat przyszłości informatyki w ogóle, ponieważ użytkowanie komputerów (szerzej – systemów informatycznych) jakie znamy dzisiaj, będzie inne od tego jakie zastaniemy w niedalekiej przyszłości, zwłaszcza od strony integracji narzędzi sieciowych (w tym służących do pracy) z systemem komunikacyjnym i operacyjnym. Dobrym przykładem takiej unifikacji płaszczyzn naszej cyfrowej interakcji jest rozwijany od kilku lat (także przy udziale Polaków) system FriendOS.

Miejmy świadomość, że zdolność do autonomicznego tworzenia potrzebnego oprogramowania, czy to na poziomie krajowym, czy w ujęciu szerszych struktur jak Unia Europejska, stała się równie ważna co niezależność energetyczna, produkcja medykamentów czy własny przemysł obronny. Nie tylko zwiększy ona nasz potencjał, ale też zapewni bezpieczeństwo państwa i jego obywateli.

---

Niniejsza strona jest utrzymywana z wpłat darczyńców i dzięki wsparciu Patronów.

Wsparcie łączy się z szeregiem przywilejów (zależnych od wysokości wpłaty), m.in. wieczystym dostępem do zamkniętej grupy dyskusyjnej, wglądem do sekcji premium i upominkami. Chcesz wiedzieć więcej? Sprawdź TUTAJ.

https://patronite.pl/globalnagra

---

Materiały:

https://www.eia.gov/todayinenergy/detail.php?id=47917

https://us-cert.cisa.gov/sites/default/files/2021-05/AA21-131A_DarkSide_Ransomware.pdf

https://www.cyber.mil.pl/