Článek pochází z kommersant.ru
V roce 2017, deset zemí, včetně USA, Německa, Francie a Norska, obvinilo z kybernetických útoků a vměšování do svých vnitřních politik hackery, kteří údajně pracovali pro ruské úřady. Nedostatek tvrdé důkazy o zapojení do útoků z proruské zločinci jsou nejen umožňuje odmítnout všechna obvinění, ale také vytváří mnoho skepse v mezinárodní IT společnosti. Odborníci se shodují, že úroveň technologického vývoje je nyní v zásadě neumožňuje určit s dostatečnou jistotou, že útočník dokonce speciální služby.
Konverzace o možných kybernetický útok ruské provládní hackerů v serverech US demokratických stran, které proběhly mezi prezidentem Vladimirem Putinem a US novinář Megyn Kelly na začátku června na SPIEF, okamžitě se stal předmětem vtipů v sociálních sítích. Všech 17 amerických zpravodajských agentur k závěru, že Rusko zasáhla v USA prezidentské volby, řekl novinář. „Přečetl jsem si tyto zprávy. Neexistuje nic konkrétního, jen odhad, „- odsekl prezidenta.
V průběhu posledních šesti měsíců bájných ruských hackerů údajně pracují pro Kreml, obviněných z kybernetických útoků nejen americké zpravodajské služby, ale také německé kontrašpionáž, rumunská informační služba, Ministerstvo obrany Dánska, norské bezpečnostní služby, francouzské politiky v posledních prezidentských volbách a zdroje The Guardian v italské vlády , Ale takové vážné obvinění způsobit větší skepsi nejen z ruských úřadů, ale také v mezinárodní IT komunity, kde termín „ruský hacker“ se stal meme a hashtag #RussiansDidIt (# EtoSdelaliRusskie) se stal dokonce přidat k obrázkům s kolapsem „Titanic“ a sněžení v Sýrii. Zdá se, že americké zpravodajské služby, podle WikiLeaks má obrovský arzenál nástrojů pro kybernetické špionáže, teoreticky by neměl být snaží prezentovat nezvratný důkaz o zdroji útoků. Ale v praxi je mnohem obtížnější. Určení zdroje kybernetických útoků již dávno stala skutečnou bolest hlavy pro donucovací orgány a podniky podílející se na vyšetřování počítačové trestné činnosti.
Co je přisuzování
Mluvit o přiznání, tedy určení zdrojem kybernetických útoků začala kolem poloviny 2000s, i když nebezpečný člověk strach odborníků dříve, řekl náměstek ředitele centra kompetence Pozitivní Technologies Alexei Novikov. Velkou pozornost na útočníky začala platit po prvních cílených útoků (APT). Klíčem byl objev v roce 2010 o viru Stuxnet, který je schopen fyzicky zničit infrastrukturu průmyslových podniků. Odborníci ho našli v Íránu na řídících jednotkách s plynovými odstředivkami určených k výrobě obohaceného uranu. Mnozí se dohodli, že Stuxnet byla zaměřena na zastavení íránského jaderného programu. Pak se ukázalo, že kybernetický útok není jen žert nebo zisk metoda pro útočníky, ale také politická zbraň, a to pobídl, aby se aktivně vyhledávat autory virů.
„Attribution zahrnuje postoupení počítačového útoku libovolné zemi, organizaci nebo skupinu osob. To není důkaz ve smyslu, v jakém je tento termín chápán v trestním zákoníku Ruské federace. Když mluvíme o přidělení v oblasti informační bezpečnosti, to znamená najít různé technické aspekty útocích, které lze připsat na určitou zemi nebo skupině,“- řekl pan Novikov. Tyto aspekty mohou být registrační místo IP-adresy a domény zapojené do útoku, analýza kód dohledat zdroj útoku a časových parametrů.
Principy přiznání lze rozdělit do tří částí. «Za prvé - najít původní útočníka stopy, jako je IP adres, pověření zařízení. Jedná se o jednu z nejtěžších cest, vyžadující sbírku originálních skladeb na všech místech práce útočníka a velmi závažné interakce s vymáhání práva. Nicméně, v případě úspěšného vyšetřování, že je jedním z nejvíce relevantní, „- uvedl šéf Solární bezpečnostní Solar JSOC odboru Vladimír Dryukov.
Druhá část pokračuje, tento výzkumný nástroj útočníka, jako zdroj škodlivého softwaru, utility, data nebo střední řídící centrum servery útoku a porovnávání informací získaných od jiných, dřívějších kybernetických útoků, které již úspěšně přičítání uskutečnily. V závislosti na možném útočník nedbalosti, tyto informace mohou poskytnout obrovské množství silné nepřímé důkazy pro přičtení.
A konečně třetí část přiznání - přijímání pomocné znaky, například v době útoku, použití softwaru vyvinutého v určité zemi, přítomnost útočných komentářů v určitém jazyce. Tak, jeden z důvodů, proč se společnost Crowdstrike, která vydala zprávu o vztazích s ruskými hackerské skupiny Fancy Bear a Cozy Bear, napadli servery Demokratické strany USA, to byla skutečnost, že harmonogram činnost hackera kryje s pracovní den moskevského času.
Speciální služby stráže
Většina zemí v posledních šesti měsících, obvinil Moskvu z kybernetických útoků, omezený na prohlášení v tisku, ale donucovací orgány v USA a Dánsko vydali prohlášení objasňující poplatků. Zprávy Ministerstva vnitřní bezpečnosti Spojených států a Národní zpravodajské rady hlavními technickými parametry, spojující útok s „ruskými hackery,“ - je použití útočící IP-adresy ruský operátor Yota a „Rostelecom“ a programy X-agentů a PAS Tool PHP Web Kit které jsou inzerovány na rusky mluvící fór a obvykle úzce spojena s ruskými hackery, vysvětluje poradce na zabezpečení informací společnosti Cisco Aleksey Lukatsky. V tomto případě, jak software, podle něj, k dispozici pro každého v každé zemi, a Yota a „Rostelecom“ vlastní pouze 49 IP-adresy 876 uvedených ve zprávě.
„Americké zpravodajské služby v důsledku hypotézy ruskou verzi trati, a několik nonverifiable a důkazy, které byly zveřejněny, jako je podpora této verze. Vezmeme-li opačný hypotézu, tedy že útok nebyl Rusko, že důkazy předložené a dokonale zapadají do toho,“- říká pan Lukatckiy. Poznamenává, že neotřesitelná důvěra USA v ruské trati může být rovněž na základě provozních zdrojů, ale v dohledné době nebudou prezentovány veřejnosti.
Jedním z „Y“ partnery o některých IT trhu, že „v případě, že Američané měli co nabídnout, by to udělal, stejně jako v případě útoku na Yahoo!». Řeč je o nominaci v březnu 2017 dva zaměstnanci informační bezpečnosti centra FSB Dmitriyu Dokuchaevu a Igor Suschinu, stejně jako práce pro ně hackeři Alekseyu Belanu a Karim Baratova obvinění z nabourávání do Yahoo! a krádež dat ve výši 500 milionů e-mailových účtů. „V případě, že úřady mají skutečný důkaz o zapojení dalších státní bezpečnostní služby na kybernetický útok, nesou vyšetřování před zahájením konkrétních jedinců, ale nejsou omezeny na prohlášení jako“ my popraskané GRU „“ - věří.
Zároveň je dánská počítačové bezpečnosti centrum, pro-ruští hackeři obviněn z nabourávání do e-mailové dánské námořnictvo v období 2015-2016, ve své zprávě nevedlo technických podrobnostech útoku v zásadě. Pan Lukatckiy konstatuje, že žádný důkaz, ani kontroverzní, jak ve státních orgánech USA, Dánové nepředložila, pouze s odkazem na skutečnost, že“útok na dánského ministerstva obrany, že je pravděpodobné, že tam byla skupina APT28» a «hodnocení je založeno na celé řadě faktorů, z nichž ne všechny jsou popsány v této zprávě. " „Ve skutečnosti, musíme věřit autory zprávy, které mohou být v provozu během několika mezistátních nebo vnitrostátní public relations, ale nemůže být použit pro stíhání jakéhokoli státu vměšovat se do vnitřních záležitostí přes kybernetický prostor“, - řekl.
Vše lze padělat
Neexistuje žádná relevantní indikace, které umožňují určit s naprostou útočníkem pojištění, říká generální ředitel Digital Security Ilya Medvedovsky a souhlasí s tím Vladimir Dryukov. „Vzhledem k tomu, informace existují v digitální podobě, takže je možné nějak speciálně připravené speciálně upraven pro jakýkoliv účel. Tak, všechny znaky jsou v platební neschopnosti, včetně definice serveru IP-adresy, doby montáže programu, jazykové řetězce v kódu, apod. „- říká pan Medvedovsky. Například, některé z těch malých pokročilé uživatele můžete přidat do svého programového řádku kódu v určitém jazyce. „CIA má urazit projekt, s nímž je možné upravovat soubory způsobem, který má jasnou autorství některých skupin nebo patřící k určité zemi,“ - pokračuje.
falšování důkazů techniky ve virtuálním světě je velmi propracovaný. Například útočníci mohli konkrétně zanechat komentář v kódu v cílovém jazyce, nebo koupit kus nástroje hackerů požadovaných občanství na černém trhu. IP-adresa, ze které útok se provádí, může patřit do zcela legálně zdroj, který byl již dříve napaden za účelem útoku. Zločinci mají také možnost odvolat se na kompromisu vašeho notebooku, telefonu nebo e-mailem, a občas vloupání do bytu, aby získali přístup k počítači.
„Útočníci nejsou statické: učí výzkum, publikovaný bezpečnostních expertů, a přicházejí s novými způsoby, jak zajistit jejich anonymitu. To je obvyklý opozice, která byla a vždy bude. V průběhu doby, zkušenost na obou stranách plotu stává „- vysvětluje spoluzakladatel a ředitel hrozba rozvědka kiberrazvedki společnosti Group-IB Dmitrij Volkov. Například definice škodlivého software času kompilace - by rozhodně být použita velmi užitečným nástrojem, a to, říká pan Volkov, ale o něm oba výzkumníci a útočníci, které mohou specificky uvést časové údaje specifické pro konkrétní zemi. „Hodně záleží na zkušenostech útočí. Pokud se například, mluví o útoku na internetových stránkách vlády, která měla některé nezkušené hacktivists, je již na základě analýzy lze konstatovat, síťové infrastruktury, který je za tímto útokem. Budeme-li se na pro-stavové skupiny s dobrou zkušeností, tam je mnohem složitější, „- přiznává.
Jediná přesná metoda přičítání - použitý donucovacích orgánů a zvláštních služeb složitých provozních a technických opatření, kde je největší úspěch dát mu provozních metod, kategorické Mr. Medvedovsky. „Účinnost čistě technického způsobu přesně určit, že útočník je k dispozici každému, je kontraproduktivní útočník hacking. Ale to je zřídka používán v praxi, protože šetření se obvykle provádí po faktu“, - dodal.
