FSB ielaužas Slovākijas aizsardzības tīklos

Maršrutētājs birojā vai VPN pieslēgums, ko uzņēmums izmanto attālinātam darbam, parasti neizskatās pēc stratēģiskas infrastruktūras. Taču tieši šādas ierīces ir mūsdienu sistēmu priekšdurvis. Slovākijā ar Krievijas valsts struktūrām saistīti hakeri, kā liecina publiski pieejamā informācija, mēģinājuši pārbaudīt piekļuvi tīkliem, kas saistīti ar enerģētiku, ieroču ražošanu un valdības iestādēm.

Slovākijas Ārlietu ministrija apstiprināja, ka valsts bijusi Krievijas FSB izlūkdienestam piesaistītu kiberoperāciju mērķis (Topky/TASR). Investīciju ministrija precizēja, ka aktivitātes bijušas vērstas pret kritisko infrastruktūru, ieroču rūpniecību un enerģētikas sektoru (TA3). Elektrostacijas netika apturētas. Vilcieni neapstājās. Tieši šī atšķirība ir svarīga.

Zaglis, kurš neņem televizoru

Aiz šīs operācijas stāvošā grupa, kas pazīstama kā Turla, nav izspiedējvīrusu banda, kas meklē ātru peļņu. ASV Kiberdrošības un infrastruktūras drošības aģentūra CISA to saista ar FSB 16. centru — struktūru, kuras uzdevums ir klusi iekļūt tīklos, palikt nepamanītai un mēnešiem vai gadiem vākt izlūkošanas informāciju (CISA). Tas vairāk līdzinās zaglim, kurš nepaņem televizoru, bet nofotografē drošinātāju skapi, pieraksta kameru izvietojumu un nokopē atslēgas.

Ieejas punkti ir ikdienišķi. CISA un FIB kopīgā brīdinājumā aprakstīts, kā 16. centra aktori izmanto vāji konfigurētus maršrutētājus, nepietiekami drošus tīkla pārvaldības iestatījumus un novecojušas VPN vārtejas — ierīces, kas atrodas uz robežas starp organizācijas iekšējo tīklu un internetu (CISA AA26-194A, FBI/IC3). VPN vārteja var vienlaikus kalpot kā apmeklētāju žurnāls un karte: tā rāda, kas pieslēdzas, no kurienes un kurām iekšējām sistēmām tiek klāt. Konfigurācijas faili var atklāt uzticamos savienojumus un ceļus dziļāk tīklā (AttackIQ).

Ministrijai vai enerģētikas uzņēmumam tas nozīmē, ka uzbrucējs var noskaidrot vājās vietas, neizraisot acīmredzamu trauksmi. Pēc publiski zināmā spriežot, Slovākijas gadījumā runa bija par izlūkošanu un nākotnes ietekmes iespēju sagatavošanu, nevis par pierādītu tūlītējas sabotāžas mēģinājumu.

Kāpēc tas skar kaimiņus

Eiropas infrastruktūra arvien mazāk atgādina atsevišķu māju rindu un arvien vairāk — daudzdzīvokļu namu ar kopīgu elektroinstalāciju. Slovākijai un Austrijai ir savienoti gāzes pārvades tīkli un noslogots Vīnes–Bratislavas dzelzceļa koridors (Gas Connect Austria, ÖBB). Čehijai ar Slovākiju ir aizsardzības datu apmaiņas kanāli un pierobežas sistēmas (Novinky). Tas nenozīmē, ka šīs sistēmas būtu uzlauztas. Tas izskaidro, kāpēc valdības Slovākijas incidentu uztver kā kopīgu ievainojamību.

Neviena kaimiņvalsts nav ziņojusi par apstiprinātu kompromitāciju šajā incidentā. Bažas rada kas cits: nozagtas konfigurācijas, piegādātāju piekļuves dati vai zināšanas par vājajiem punktiem var palīdzēt plānot nākamos soļus pret savstarpēji saistītām sistēmām. Austrija saistībā ar līdzīgiem kiberuzbrukumiem izsauca Krievijas vēstnieku. ES un Apvienotā Karaliste noteica pirmās kopīgās sankcijas pret 16. centru un Turla operāciju (Sabr Cyber & Tech News, formiche.net). Šāda reakcija rāda, ka valdības apdraudējumu uzskata par kopīgu arī tad, ja nav pierādītu pārrobežu postījumu.

Būvnormatīvs, kas pats nesalabo maršrutētāju

Tieši šādiem gadījumiem paredzēta NIS2 direktīva. Tā būtībā ir digitālo pamatpakalpojumu būvnormatīvs: kritiskās infrastruktūras operatoriem jāvada kiberriski, ātri jāziņo par incidentiem un jānodrošina piegādes ķēžu drošība (EUR-Lex). Slovākijas reakcija pārbaudīja šo loģiku praksē. Mediji ziņoja, ka valdība uzbrukumus apstiprinājusi tikai pēc žurnālistu jautājumiem (TA3), bet opozīcijas politiķi valdību apsūdzēja bīstamā pasivitātē (Aktuality).

Būvnormatīvs var prasīt ugunsdzēsības izejas un dūmu detektorus. Tas nevar liegt kādam atstāt durvis vaļā. NIS2 var noteikt ziņošanas termiņus un riska novērtējumus. Tā pati nesalabo vecu maršrutētāju un nenomaina noplūdušu VPN atslēgu.

Pēc publiski pieejamajiem pierādījumiem Slovākijā nenotika pierādījums tam, ka Krievija spēj paralizēt Eiropas infrastruktūru. Notika kas šaurāks, bet drošības ziņā nopietns: ar Krieviju saistīti aktori mērķēja uz sistēmām, kas palīdz saprast, kartēt un sagatavot spiedienu pret kritiskajiem pakalpojumiem. Šāda piekļuve ir klusa, pacietīga un vērsta uz ilgāku laiku. Eiropai jāspēj to uztvert tikpat nopietni kā redzamu traucējumu.