Конгресс — это федерация феодалов, объект превратностей бесконечного фандрайзинга и лоббирования тех, кто предоставил фонды. Отсюда вытекает два вредных последствия относительно участия конгресса в контроле над кибервойной. Во-первых, каждый хочет сохранить свою сферу влияния. Конгресс отвергает любые предложения, подобные тому, что внес сенатор Боб Беннэт (республиканец из Юты) о создании отдельного комитета, уполномоченного проводить проверки по кибербезопасности. В итоге данной проблемой занимается около 30 комитетов и подкомитетов, и ни один из них не имеет возможности подойти к проблеме целостно. Во-вторых, конгресс «воздерживается от регулирования» и этого не стесняется. Влиятельные доноры из сферы информационных технологий, энергетического и телекоммуникационного бизнеса сделали идею серьезного регламента в области кибербезопасности столь же отдаленной, сколь и идеи общественного финансирования кампаний по выборам в конгресс или значительных ограничений взносов в пользу избирательных кампаний.
Для ведения нужного нам диалога необходимы серьезные академические исследования и обучающие программы, полки новых книг, доскональные журналистские расследования и серьезное рассмотрение в конгрессе.
2. Оборонительная триада
Следующий пункт программы предупреждения кибервойны — это оборонительная триада. Как рассматривалось выше, оборонительная триада блокирует вредоносные программы на участках главных интернет-провайдеров, защищает элементы управления электросетей, укрепляет безопасность сетей Министерства обороны и целостность его оружия. В Министерстве обороны работа в этом направлении началась по решению президента Буша в последний год его пребывания в должности. Оборонительная триада — это не попытка защитить все в отличие от моей Национальной стратегии по кибербезопасности. Однако она должна защитить все необходимое, чтобы заставить другую страну дважды подумать, прежде чем начать кибервойну против нас. Потенциальный нападающий должен знать, что его атака по большей части провалится и что главным ее последствием станет разного рода воздаяние. Без оборонительной триады Соединенным Штатам лучше воздерживаться от любых действий (не только в киберпространстве), которые могут спровоцировать кибератаку на Америку. Сейчас мы настолько уязвимы перед масштабной кибератакой, что нашим лидерам лучше соблюдать осторожность.
Мы не сумеем построить два из трех зубьев оборонительной триады (обеспечить защиту магистральных интернет-провайдеров и электросетей) без дополнительного регулирования. Раньше, говоря о национальной безопасности в целом, я приводил такое сравнение: обеспечить безопасность без дополнительного регулирования со стороны федерального правительства—это все равно что защищаться с завязанными за спиной руками. Было время, когда федеральное регулирование было чересчур навязчивым и неэффективным, но этого можно избежать, если правительство попросит некоторые отрасли промышленности воздерживаться от определенных вещей и очертит желаемые цели. На конференции Black Hat (о которой уже речь) эксперт по кибербезопасности и автор многих книг Брюс Шнейер сказал то же самое, заявив, что разумное регулирование, которое определяет цель и не диктует средства ее достижения, необходимо для улучшения кибербезопасности.
В программу по кибербезопасности должно входить правило, которое требует от магистральных интернет-провайдеров проводить глубокое инспектирование пакетов на предмет обнаружения вредоносных программ, не нарушая при этом принципа неприкосновенности частной жизни и не допуская оплошностей. Интернет-провайдерам необходимо предоставить правовую защиту, чтобы они не опасались исков — по сути, за то, что блокируют вирусы, «черви», DDoS-атаки, фишинги и прочие формы вредоносного ПО. Напротив, по новым правилам их следует обязать делать это.
Чтобы Министерство национальной безопасности исполнило свою роль в оборонной триаде, нам нужно создать заслуживающий доверия и высокопрофессиональный орган, возможно, Управление по киберобороне. Управление по киберобороне должна контролировать системы глубокого инспектирования пакетов, которыми будут управлять интернет-провайдеры. Кроме того, она должна мониторить состояние Интернета в режиме реального времени; взять на себя ответственность за регулирование кибербезопасности энергетического сектора, которая сейчас возложена на Федеральную комиссию по управлению энергетикой; предоставлять точку фокуса для правоприменительных акций, связанных с киберпреступностью. Но самая важная роль управления должна заключаться в обороне как домена. gov, так и доменов критической инфраструктуры в случае кибератаки. Она может в режиме реального времени предоставлять интернет-провайдерам известные сигнатуры вредоносного ПО и координировать взаимный обмен сигнатурами, которые обнаружили сами интернет-провайдеры. Существующая уже сорок лет национальная система связи, задачей которой было обеспечивать телефонную связь в случае аварий и которая недавно была переименована в Национальный интеграционный центр кибербезопасности и коммуникаций, могла бы предоставлять интернет-провайдерам внеполосную систему связи для передачи сигнатур вредоносного ПО. Управление по киберобороне может использовать экспертные оценки Пентагона и служб разведки, но не следует вверять миссию защиты отечественных компьютерных сетей Агентству национальной безопасности. Специалисты из АНБ обладают огромным опытом, но при этом пользуются недоверием общества, которое особенно обострили незаконные перехваты сообщений по заказу Буша и Чейни.
Помимо регулирования интернет-провайдеров необходимо также ввести регулирование сети электропередач.
Единственный способ обезопасить сеть — это получить доступ к кодам команд, которые отдаются устройствам, управляющим системой, аутентификации отправителей, а также ряду абсолютно внеполосных каналов, не связанных с интрасетями компаний и публичным Интернетом. Федеральная регулятивная комиссия этого не запрашивала, хотя в конце концов установила некоторые регламенты в 2008 году, однако до сих пор не начала приводить их в исполнение. И даже если начнет, не ожидайте многого. У комиссии нет ни опыта, ни персонала, чтобы убедиться в том, что электроэнергетические компании отсоединили элементы управления от магистралей, которые может использовать хакер. Задача наблюдения за выполнением этих правил также должна быть возложена на Управление по киберобороне, которое должно предоставлять экспертные оценки и тесные связи которой с промышленностью не станут помехой для безопасности, как это было в случае Федеральной регулятивной комиссии.
Управление по киберобороне должно также взять на себя ответственность за мириады гражданских федеральных ведомств и агентств, которые сейчас пытаются организовать киберобзащиту собственными силами. Кроме того, консолидация в предложенном управлении всего, что сделано в сфере безопасности административно-бюджетным управлением и управлении общими службами, увеличит наши шансы на достижение лучших результатов в управлении безопасностью гражданских (невоенных) государственных сетей.
3. Киберпреступность
Поскольку киберпреступники — это потенциальные наемные кибервоины, мы должны в качестве третьего пункта нашей программы сократить уровень киберпреступности в Интернете. Киберпреступники начали проникать в сети поставок производителей как аппаратного, так и программного обеспечения для того, чтобы внедрить вредоносный код. Вместо того чтобы просто использовать широко распространенные хакерские инструменты, киберпреступники теперь начинают писать собственный, специально разработанный код для взлома систем безопасности, как было в случае с кражей миллионов номеров кредитных карт из Т. J. Махх в 2003 году. Эта тенденция указывает на растущую изощренность киберпреступников и, пожалуй, свидетельствует о том, что угроза может расшириться до уровня национальной. А это позволяет предположить, что нам нужно прилагать больше усилий к борьбе с киберпреступностью. Сегодня киберпреступления расследует ФБР, Секретная служба (теперь она называется Immigration and Customs Enforcement) и Федеральная комиссия по торговле. И все-таки раздаются жалобы компаний и частных лиц на то, что их заявления о киберпреступлениях остаются без ответа. Девяносто независимых прокуроров Министерства юстиции, работающие по всей стране, чаще игнорируют киберпрестпления, поскольку отдельные хищения превышают сумму в 100 тысяч долларов, необходимый для заведения федерального дела. Адвокаты часто не разбираются в компьютерных вопросах и не хотят расследовать преступления, жертвы которых находятся в другом городе или, еще хуже, в другой стране.
