Опасности наступательной кибербезопасности

Правительства и корпорации осознали, что пассивный оборонительный подход к кибербезопасности имеет ограниченный успех. Вместо этого растет признание необходимости постоянного взаимодействия, которое проникает в системы и инфраструктуру злоумышленника и ухудшает их функционирование. Наступательные операции по кибербезопасности, также известные как взлом, относятся к упреждающим атакам на хакеров с целью нанести ущерб или нарушить их работу и предотвратить будущие атаки. Преимущество наступательной кибербезопасности заключается в остановке или упреждении кибератак до того, как они нанесут ущерб целевым системам или проникнут в систему киберзащиты. Операции также могут ввести злоумышленника в неуверенность в дополнение к влиянию на его поведение.

Несмотря на свои достоинства, наступательная кибербезопасность не лишена значительных рисков. Прежде чем разрабатывать и реализовывать наступательную стратегию кибербезопасности, важно, чтобы вы понимали, что все может пойти не так.

1. Цикл эскалации

Хотя наступательные операции могут показаться многообещающими в сдерживании киберпреступников, существует реальный риск эскалации киберконфликта в долгосрочной перспективе. По мере того, как ответные и упреждающие кибероперации становятся нормой, все большее число участников будут использовать эту линию атаки. Чем больше участников делают это, тем выше риск непреднамеренного ущерба, хаоса и эскалации.

Превентивный киберудар сам по себе может считаться неспровоцированной кибератакой, что запускает цикл ответных и эскалационных ударов «око за око».

2. Мониторинг и копирование злоумышленниками

Взлом не происходит на пустом месте. Хотя наступательные операции могут быть направлены против конкретного субъекта, это не означает, что натиск остается скрытым от глаз третьих лиц. Могут быть и другие стороны, которые ищут способы прорваться через ту же цель. Не исключено, что в ходе наступательных киберопераций эти стороны наблюдают за попытками взлома. Таким образом, они могут получить информацию, советы и инструменты для входа в целевую сеть.

Риск кражи или повторного использования наступательных инструментов кибербезопасности злоумышленниками не является чем-то новым и беспрецедентным. Изнурительные атаки программ-вымогателей NotPetya и WannaCry в 2017 году были основаны на вредоносных программах, украденных из Агентства национальной безопасности.

3. Неопределенность в атрибуции

Когда происходит физическое нападение, есть несколько способов идентифицировать агрессора. От свидетельств очевидцев до записей с камер наблюдения, будут веские доказательства, которые облегчат точное определение того, кто был агрессором. Однако в кибермире атрибуция более сложна.

Существуют технические средства определения источника атаки. Хотя с годами они улучшились, это не точная наука, результат которой гарантирует 100-процентную точность. Операции под ложным флагом могут направить наступательный киберответ не на того участника. Подумайте о DDoS-атаке, которая захватывает устройства сторонней организации. В этом случае право собственности на устройства не является синонимом злоумышленника.

Атака не того актера может привести к тому, что они начнут свои собственные ответные действия. Это только усугубляет ситуацию. Это излишне делает ваши системы и данные целью нового противника.

4. Юридические препятствия

В Соединенных Штатах и большей части мира наступательные кибероперации приравниваются к криминальному взлому и считаются незаконными. Наступательные кибератаки, например, будут нарушать Закон о компьютерном мошенничестве и злоупотреблениях (CFAA).

В 2019 году в Конгресс США был внесен законопроект, призванный узаконить организации наступательных киберопераций против злоумышленников своей сети. Известный как Закон об активной киберзащите или ACDC, он ограничивает судебное преследование за компьютерные злоупотребления и мошенничество, когда поведение стороны является защитой от кибервторжения или реакцией на него. Он все еще находится в Палате представителей, но, если он будет принят, он предоставит наступательным операциям по кибербезопасности в США правовую защиту, которой им в настоящее время не хватает.

5. Отсутствие надзора

В то время как Закон ACDC будет иметь важное значение для предоставления организациям правовой базы для наступательных кибератак, кто будет определять, что операции действительно являются актом самообороны? Поскольку атрибуция уже является проблемой, некоторые организации могут использовать прикрытие кибернаступательных операций, чтобы начать атаку на конкурента или организацию, с которой у них есть деловые разногласия. Кибернаступление может создать кибер-линчевателей, которые сами для себя являются законом и используют Закон ACDC в качестве прикрытия для своих незаслуженных атак.

Хуже того, нет основы для определения того, что сторона, инициирующая кибернаступление, обладает необходимой технической компетенцией. Как убедиться, что они атакуют правильную цель и могут сделать это, не подвергая опасности невиновные стороны, такие как другие объекты, использующие один и тот же облачный сервер? Нет никаких гарантий, что реагирующая организация понимает инфраструктуру информационных технологий другой стороны.

6. Международная юрисдикция

Законопроекты, подобные Закону о ACDC, могут разрешить компаниям взламывать системы. Это, однако, может создать проблемы, когда наступление в области кибербезопасности носит международный характер. Сам предлагаемый закон ACDC применяется только к кибератакам, исходящим из Соединенных Штатов. Если атака происходит из-за пределов страны, то законных оснований для взлома у жертвы нет.

Но даже если бы предлагаемый закон разрешал наступление за границу, возник бы вопрос о законности действий в собственной стране цели. Не исключено, что организация может столкнуться с юридическими проблемами, потому что ее действия считаются незаконными в другой стране. Злоумышленник может затруднить ваши действия, действуя из стран, где ваш ответ будет считаться незаконным.

7. Сопутствующий ущерб

Вы можете правильно приписать кибератаку конкретному субъекту. Иногда эта сторона является преступной организацией. Однако в других случаях его может спонсировать законное правительство или компания. Теперь подумайте об атаке, исходящей от таких акторов. Тотальное кибернаступление может привести к широкомасштабному сопутствующему ущербу. Например, граждане страны или клиенты компании будут невиновными сторонами в киберконфликте. Наступление должно быть направлено на то, чтобы не причинить им никакого вреда. Атака на компанию, которая является частью критической инфраструктуры страны (например, электроэнергетическая компания или водоснабжение), должна быть чрезмерной или тщательно продуманной.

Последствия беспрепятственного наступления могут привести к смерти, травмам, разглашению конфиденциальной информации и другим результатам, которые наносят ущерб людям, которые не знают и не поддерживают первоначальную атаку.

Наступательная кибербезопасность требует осторожности

Традиционно защитная кибербезопасность была единственным подходом, который использовали организации и правительства. Но по мере того, как изощренные киберугрозы стали нормой, концепция наступательных киберопераций получила распространение. Организованные киберпреступники и спонсируемые государством хакерские атаки требуют иного ответа.

Несмотря на свои преимущества, наступательные операции по кибербезопасности могут быть незаконными или непредсказуемыми. Действия и реакции могут быстро выйти из-под контроля, что сделает плохую ситуацию намного хуже.