Rusija seka NATO ginklus per kameras

Pigi apsaugos kamera ant sandėlio sienos Europoje, vis dar veikianti su gamykliniu slaptažodžiu, tapo Rusijos valstybinių įsilaužėlių įrankiu. Ji buvo įtraukta į stebėjimo tinklą, sekusį ginklų siuntas Ukrainai. Kameros savininkas apie tai galėjo taip ir nesužinoti. Nyderlandų žvalgybos tarnybos šį mėnesį paskelbė, kad NATO šalyse palei karinės logistikos maršrutus buvo perimtos IP kameros (AIVD, DW). Šis epizodas tiksliai parodo tai, ką Europos vyriausybės vis dažniau sako tiesiai: Rusijos kibernetinės operacijos prieš civilinę infrastruktūrą — ne pavieniai incidentai, o nuolatinė veikla.

Suomijos institucijos tai vadina „arkipäivää“ — kasdienybe, nuolatiniu fonu (Yle). NATO, liepos 13 d. pasmerkusi Rusijos „nuolatinę kenkėjišką kibernetinę veiklą“, vartojo panašią logiką atspindinčią kalbą (NATO). Tai ne vienas įsilaužimas, kurį galima ištirti ir uždaryti bylą. Tai ilgalaikė operacija, su kuria valstybės turi gyventi ir kurią turi nuolat atlaikyti.

Nukopijuoti visus pastato raktus

Įprastas kibernetinės atakos vaizdinys ilgai buvo vagystė: kažkas įsilaužia, pasiima duomenis ir išeina. Tai, ką dabar aprašo kelios Europos tarnybos, labiau primena visų pastato raktų kopijavimą, apsaugos grafiko mokymąsi, tiekimo maršrutų braižymą ir retkarčiais paleidžiamą gaisro signalą, kad būtų pamatuota reakcija.

Įėjimo taškas dažnai visai neįspūdingas: senas maršrutizatorius, silpnas slaptažodis, metų metus neatnaujintas įrenginys. Suomijos saugumo žvalgybos tarnyba „Supo“ teigia, kad Rusijos FSB 16-asis centras būtent tokias spragas naudoja energetikos ir gynybos įmonių šnipinėjimui (Supo). Tam nereikia egzotiškų įrankių.

Strategiškai pavojinga tai, kas vyksta patekus į vidų. Užpuolikai vagia prisijungimo duomenis — kitaip tariant, kopijuoja raktus — ir jais juda iš vienos sistemos į kitą: iš vestibiulio į sandėlį, vėliau į valdymo patalpą. Jie stebi vidaus komunikaciją, aiškinasi, kaip veikia organizacija, ir išlaiko prieigą mėnesius ar metus. Šnipinėjimas nubraižo teritoriją. Šiukšlinio srauto bangos, paralyžiuojančios svetaines, sukuria triukšmą. Destruktyvi kenkimo programinė įranga gali likti neaktyvi, kol jos prireiks eskalacijai (ENISA).

Skirtingos šalys, ta pati kampanija

Kiekviena valstybė grėsmę mato per savo pažeidžiamumą. Suomijai tai tinklo perimetro istorija: energetikos ir kitų kritinių sektorių įmonės tampa ilgalaikio šnipinėjimo taikiniais. Užsienio reikalų ministrė Elina Valtonen pasmerkė šią veiklą ir iškvietė Rusijos ambasadorių (MTV Uutiset). Lenkijai tai logistikos koridoriaus istorija: kaip vienas svarbiausių paramos Ukrainai tranzito kelių ji susiduria ir su kibernetinėmis operacijomis, ir su fiziniu sabotažu. Užsienio reikalų ministras Radosławas Sikorskis įspėjo turįs patikimos žvalgybinės informacijos, kad Rusija planuoja tolesnius veiksmus; padegimus, geležinkelių atakas ir infrastruktūros žvalgybą jis minėjo kartu su skaitmeniniais įsilaužimais (RMF24, Rzeczpospolita).

Šie vertinimai vienas kitam neprieštarauja. Tai skirtingi tos pačios kampanijos paviršiai: pavogti prieigą, stebėti tinklus, žemėlapiuoti priklausomybes, trikdyti pasirinktinai ir didinti kainą valstybėms, remiančioms Ukrainą.

Svarbi išlyga: dalis perspėjimų remiasi įslaptinta žvalgybine informacija, kurios vyriausybės negali viešinti. Priskyrimas Rusijai — oficialus institucinis vertinimas, o ne viešai patikrinami teismo įrodymai. Lenkijos užsienio reikalų ministerija rėmėsi ES pozicija, destruktyvias operacijas siejančia su FSB 16-uoju centru (WP). Vertinimas pagrįstas ir instituciškai paremtas, bet ne iki galo audituojamas viešai.

Įstatymai parengti, maršrutizatoriai — ne

Europos teisinis atsakas pajudėjo greitai. Dviejų pagrindinių priemonių — NIS2 direktyvos ir Kibernetinio atsparumo akto — esmė ta pati: atsakomybę kelti aukščiau, nuo perkrauto IT skyriaus link įmonių vadovybių ir įrenginių gamintojų (NIS2 Directive). NIS2 nustato teisinę aukščiausios vadovybės atsakomybę už kibernetinį saugumą ir griežtina incidentų pranešimą platesniame sektorių rate. Kibernetinio atsparumo aktas taikosi tiesiai į kamerų ir maršrutizatorių problemos šaltinį: gamintojai turės tiekti produktus su tinkamais saugumo nustatymais, o ne gamykliniais slaptažodžiais (EUR-Lex CRA).

Spraga — įgyvendinimas. Direktyva negali per naktį atnaujinti kiekvieno seno maršrutizatoriaus ar pakeisti kiekvieno numatytojo slaptažodžio. NIS2 perkėlimas į nacionalinę teisę valstybėse narėse vyksta nevienodai. Architektūra teisinga, bet laidai dar nesujungti.

Europos piliečiams šis pokytis ne mažiau konceptualus nei techninis. Kibernetinis saugumas nebėra avarinis valymas po ryškaus įsilaužimo. Tai infrastruktūros priežiūra: nuolatinis aptikimas, atnaujinimai, tiekėjų kontrolė, incidentų valdymas. Mažiau dramatiška nei viena didelė ataka, bet sunkiau išlaikoma. Kitas testas bus ne tai, ar Europa popieriuje turi tinkamus teisės aktus. Jis parodys, ar senos kameros, neatnaujinti maršrutizatoriai ir nepakankamai parengtos įmonių valdybos iš tiesų pasikeitė anksčiau, nei Rusija panaudos jau susikurtą prieigą.