211service.com
Tenk deg at USA nettopp ble rammet av et nettangrep. Hva skjer etterpå?
konseptuell illustrasjon av øyne bak rør Daniel Zender
Dette øyeblikket hadde vært 10 måneder underveis. Men ingen la merke til det før forrige uke.
En gruppe hackere med gode ressurser har gått gjennom nettverkene til gassrørledningsoperatøren i nesten ett år, og høstet viktig informasjon. Nå kjenner hackerne nettverket bedre enn rørselskapet gjør: hvert utstyr, hele selskapets arbeidsstyrke, brukernavn og passord. De har rettighetene som trengs for å få tilgang til både firmaets stasjonære datamaskiner og maskineriet i selve rørledningen. Nå er de klare til å slå til.
Denne historien var en del av november 2019-utgaven vår
- Se resten av saken
- Abonnere
USA har mange cyberfiender. Det handler slag med Kina, Russland, Iran og Nord-Korea på daglig basis. En fullverdig cyberkrig er heldigvis gjenstand for teori og bordøvelser. Men hva skjer når man bryter ut på ordentlig?
For bedre å forstå hvordan det ville utspille seg, snakket vi med en rekke eksperter på nettsikkerhet og nasjonal sikkerhet. Vi ba dem vurdere hypotetiske scenarier, inkludert det på motsatt side der ukjente hackere har fått tilgang til datamaskinene, nettverkene og maskinvaren til gassrørledninger i New England.
De potensielle konsekvensene vil variere fra spionasje og tyveri av intellektuell eiendom til mer ødeleggende angrep som kan gjøre Boston uten strøm eller i verste fall forårsake branner og livstruende skader. Hva som skjer videre – og om det eskalerer til en ekte cyberkrig – avhenger av hvem som er på angrepet, hva målene deres er og hvordan USA reagerer.
Variablene som spiller betyr at det ikke er noe å si nøyaktig hvordan dette vil gå. Men å forestille seg det verste kan hjelpe oss å bedre forstå hvordan konflikten endrer seg, og la oss planlegge hvordan vi skal handle når nettkrig lander på dørstokken vår.
Panelet vårt bestod av noen av USAs ledende eksperter på nettkrigføring.
Angus King: wikimedia commons / Sandra Joyce: courtesy photo / Richard Clarke: wikimedia commons / Michael Daniel: courtesy photo / Eric Rosenbach: wikimedia commons / John Livingston: courtesy photo / mike Gallagher: wikimedia commons
sandra Joyce er senior visepresident for global etterretning i cybersikkerhetsfirmaet FireEye, det første selskapet som åpent navngir kinesiske regjeringshackere som jobber mot amerikanske selskaper.
Richard Clarke har jobbet i administrasjonene til Bill Clinton, George W. Bush og Barack Obama. Han var blant de første høytstående tjenestemenn i Det hvite hus som fokuserte på nettsikkerhet.
Michael Daniel var cybersikkerhetssar under president Obama. Han leder nå Cyber Threat Alliance, et team av cybersikkerhetsselskaper som deler informasjon om trusler.
Erik Rosenbach var stabssjef for tidligere forsvarsminister Ash Carter. Han ledet forsvarsdepartementets cyberaktivitet og laget militærets cyberstrategi.
John Livingston er administrerende direktør i Verve Industrial Protection, et selskap som håndterer styring av industriell cybersikkerhet for prosjekter inkludert naturgassrørledninger og annen kritisk infrastruktur.
Representant Mike Gallagher er en tidligere kontraetterretningsoffiser i US Marine Corps og nå cochair for Cyberspace Solarium Commission, et panel av eksperter som har til opgave å formulere en amerikansk cybersikkerhetsdoktrine.
Senator Angus Konge er medlem av Senatets utvalgte komité for etterretning og leder av Cyberspace Solarium Commission.
Vi snakket med alle paneldeltakerne individuelt, og svarene deres er redigert for lengde og klarhet.
Rosenbach: Det første som ville skje er NSA [National Security Agency] som samler etterretning i utlandet. Når dette først kommer gjennom, er det bare et slags uklart grått bilde av at noen opererer i naturgassinfrastruktur. Og du vet ikke nødvendigvis om de har til hensikt å umiddelbart trekke avtrekkeren på angrepet.
Konge: Det første problemet er attribusjon [dvs. hvem som står bak angrepet]. Det er en av hovedutfordringene på dette feltet, fordi motstanderne blir smartere hele tiden på sine spor.
Jeg foreslår for Cyberspace Solarium Commission at den amerikanske regjeringen bør ha et attribusjonssenter som vil kombinere ressurser fra NSA, FBI, CIA og andre etterretningsbyråer slik at det er ett sentralt sted å gå.
Clarke: Attribusjonsproblemet er ikke så ille som folk tror det er. Med hensyn til cyber, hvis du er i fiendens systemer, vil du vite hvem som gjorde det fordi du vil se dem gjøre det. Hvis du kan se det live, har du en veldig god sjanse til å finne ut attribusjon. Hvis det er en post hoc-analyse eller rettsmedisinsk analyse, kan attribusjon være vanskeligere, spesielt siden vi nå vet at mange nasjoner, muligens inkludert USA, bruker angrepsverktøy laget av andre land. Hva om de brukte en datamaskin med en bestemt type tastatur, eller brukte andre teknikker som fingeravtrykk til et annet land? Det skaper et problem.
Rosenbach: Deretter vil du se om det kan være et samarbeidsforhold mellom [ulike amerikanske offentlige etater] for å prøve å finne ut hvor angrepet kan skje, se etter visse typer skadelig programvare som motstandere kan ha brukt tidligere.
Du ser om du kan få mer detaljert intelligens om det. Hele tiden du jobber med alle den slags innenlandske avbøtende problemer, kan du prøve å tenke på hva som ville skje i tilfelle angrepet lykkes og hva du gjør. Hva er hendelsesrespons om vinteren hvis det er hundretusenvis av mennesker, eller millioner av mennesker, uten varme?
Du tenker på hva du vil si om det. Samtidig tenker du på om du vil konfrontere motstandernasjonen med denne informasjonen. Går du til dem og sier: Vi vet at du har skadelig programvare i naturgassinfrastrukturen og nettet? Truer du dem egentlig? Og da, akkurat som i tilfellet med valget i 2016, og også for første gang under [2014] cyberangrepet på Sony [Pictures], ville presidenten måtte snakke med alle seniorrådgivere og ansatte om hvorvidt han går offentlig med denne informasjonen. Er det rettferdig for publikum, hvis du vet at det er et angrep i ferd med å skje, at du holder det for deg selv? Hva er fordelene og ulempene ved å tilskrive offentlig?
Gallagher: Et problem vi må forholde oss til i cyber er om vanskeligheten med attribusjon skaper avskrekkingsproblemer og avskrekkingssvikt. Hvis du prøver å avskrekke en motstander fra å utføre et nettangrep, må du være i stand til å fastslå hvem motstanderen er og også tydelig signalisere hva svaret ditt vil være. Det er en åpen debatt om hvorvidt vi bør ha en slik deklaratorisk politikk innen cyber, eller om det vil stimulere til at oppførsel rett under den terskelen vi bestemmer er akseptabel eller uakseptabel.
Clarke: For rundt fire år siden ønsket etterretningsmiljøet å vite hvem disse [hackere] var. Når [Justisdepartementet] innså at kunnskap var tilgjengelig, spurte de etterretningsmiljøet om det kunne være uklassifisert. Noe bemerkelsesverdig vant justisdepartementet det og overtalte etterretningsmiljøet til å avklassifisere. Jeg ble overrasket. Noe av det er en del av en navn-og-skam-strategi. Noen sier at verdien er lav fordi hackerne aldri vil bli arrestert, men faktisk har et par blitt det. De må være veldig forsiktige med hvor de reiser.
Rosenbach: Etter det begynner du å gå inn i en fase hvor du prøver å samle mer intelligens. Du prøver å komme opp med alternativer for presidenten eller, hvis du er i en bestemt avdeling eller byrå, for sekretæren, for å finne ut hvordan du kan redusere risikoen og virkningen av et angrep som dette. Det er da det begynner å bli veldig komplisert.
Clarke: Cyber kan fremskynde krig. Jeg tror det gir en angriper muligheten til å gjøre betydelig skade på fiendens hjemland. Og det gir muligheten til å gjøre skade med fart. Det er sant i cyber sammen med andre ting som skjer i krigføring, som hypersoniske missiler og AI-drevne våpen, som kan føre til at en krig kommer til en ganske rask konklusjon – eller i det minste den første fasen av en krig som kommer til en ganske raskt konklusjon.
Dette er en del av det jeg tror mange mennesker i Pentagon er bekymret for. De snakker mye der borte om beslutningsløkken og å komme inn i den andre fyrens beslutningsløkke. De innser at cybervåpen betyr at det kanskje ikke er mye tid til å bestemme seg for hvordan de skal reagere. Det skaper muligheten for større ustabilitet. Det kan gi deg et insentiv til å angripe først. Du må kanskje ta beslutninger om å reagere før du virkelig har god intelligens om hva i helvete som skjer. Raske kriger er noe vi egentlig ikke har forstått ennå.
Daniel: Akkurat som hvordan luftmakt endret karakteren av hvordan militære brukte makt og åpnet for alternativer, tror jeg cyberspace gjør det samme ved at det tilbyr nye kanaler for konflikt. Noe av den nye fysikken og matematikken i cyberspace betyr at for eksempel avstand ikke betyr det samme. Du kan forårsake en fysisk effekt hele veien på den andre siden av planeten uten nesten den typen investering du må gjøre for å gjøre det i et fysisk domene.
Joyce: Når du tenker på hvilken type konflikt som er militær mot militær, har USA en klar fordel. Vi har nære jevnaldrende, men i hovedsak bruker USA mer enn alle. Når land ønsker å utfordre USA, kan de ikke gjøre det på de måtene USA er sterkt. Så de vil velge andre veier.
Rosenbach: Nasjoner som er motstandere av USA har innsett at asymmetrien i cyber- og informasjonsoperasjoner er en stor fordel for dem. Det største og tydeligste eksemplet vil være Nord-Korea. Tenk på hvor dyktige de er som en cyberoperativ enhet. Tenk på noen av angrepene de har gjort tidligere. Tenk på noen av tingene de gjør nå når det gjelder å bruke løsepengevare for å skaffe penger gjennom kryptovalutaer for å omgå økonomiske sanksjoner.
Det faktum at de har svært lite telekom- og IT-infrastruktur, og derfor ikke er sårbare, [gjør cyber] til et enda bedre verktøy for dem. Det betyr at hvis USA eller andre land prøvde å finne ut hvordan de kan redusere virkningen av nordkoreanske cyberoperasjoner, ville de måtte gå til enten økonomiske sanksjoner, der det ikke er mange alternativer igjen, eller direkte. militære operasjoner, hvor man risikerer for mye opptrapping.
Så har russerne selvfølgelig perfeksjonert dette ved å bruke ganske aggressive cyber- og infooperasjoner og hybrid krigføring. Ukraina er et godt eksempel. Der angriper de både nettet og valg. Selvfølgelig angriper de amerikanske valg også.
Et nyere eksempel er hva US Cyber Command gjorde mot Irans islamske revolusjonsgarde for å prøve å ha en innvirkning på dem, begrense effektiviteten til den iranske militærorganisasjonen, og samtidig kontrollere eskaleringen slik at den kanskje ikke vokser til en bredere konflikt .
Konge: Jeg er veldig bekymret for gassrørledninger. Gassrørsystemet vårt har ikke samme typer kontroller og krav som det elektriske nettet, selv om så vidt jeg er bekymret, er gassrørsystemet en del av det elektriske nettet fordi så mye av kraften vår kommer fra naturgass.
Gallagher: Rundt 85 % av kritisk infrastruktur [i USA] eies av privat sektor. Det er en veldig vanskelig utfordring. Det er unikt for cyber, i mange tilfeller, og krever at forsvarsdepartementet og etterretningssamfunnet opererer litt annerledes. Kanskje være litt mer imøtekommende når det gjelder informasjonen de er villige til å dele med privat sektor.
Livingston: Når man historisk har tenkt på nasjonalt forsvar, har det vært et myndighetsansvar. Du bygger en marine, du bygger en hær, du forsvarer grensene. Den private sektorens rolle i det har i stor grad vært å forsyne den hæren eller marinen med det den trenger. Den har ikke forsvart seg. Men hvis vi går 20, 30, 50 år fremover, har du plutselig en verden der nasjonens sikkerhet avhenger av privat sektor og ikke regjeringen. Hva er myndighetenes rolle i en verden der sikkerheten min er avhengig av hva verktøyet mitt bestemmer seg for å bruke penger på? Eller hva den for-profit gassrørledningen bestemmer seg for å bruke penger på? Eller hva det kjemiske anlegget som er 50 miles unna meg bestemmer seg for å bruke penger på? Det er et veldig vanskelig offentlig politisk spørsmål, og vi kommer ikke dit, tror jeg ikke, før – dessverre – det er en stor hendelse.
Konge: Det har blitt tydelig for meg at vi ikke har noen doktrine, vi har ingen strategi, og vi har ingen politikk som på noen måte vil avskrekke motstandere fra å komme etter oss. Vi er en billig date. Hvorfor ville du ikke angripe oss i cyberriket hvis du kan gjøre det relativt ustraffet? Inntil vi utvikler en avskrekkende evne og også bedre motstandskraft, vil dette fortsette å skje.
Den gode nyheten er at vi er det mest kablede landet i verden. Den dårlige nyheten er at vi er det mest kablede landet i verden. Det gjør oss mest sårbare.
• En tidligere versjon av denne artikkelen sa at Sandra Joyce er visepresident for global etterretning i FireEye. Hun er senior visepresident.