FSB v slovaških obrambnih omrežjih

Usmerjevalniki, prehodi VPN in druga neopazna omrežna oprema so danes vhodna vrata sodobne infrastrukture. Prek njih podjetja omogočajo delo na daljavo, ministrstva povezujejo notranje sisteme, energetski operaterji pa upravljajo dostop do občutljivih omrežij. Na Slovaškem naj bi ruski državno povezani hekerji preverjali prav ta vrata pri sistemih, povezanih z energetiko, proizvodnjo orožja in državnimi organi.

Slovaško zunanje ministrstvo je potrdilo, da je bila država tarča kibernetskih operacij, povezanih z rusko obveščevalno službo FSB (Topky/TASR). Ministrstvo za investicije je navedlo, da so bile dejavnosti usmerjene v kritično infrastrukturo, orožarsko industrijo in energetski sektor (TA3). Elektrarne niso obstale, vlaki niso nehali voziti. Prav razlika med tihim vdorom in vidno sabotažo je pri tem primeru ključna.

Vlomilec, ki ga televizor ne zanima

Operacija, znana kot Turla, ni delo izsiljevalske skupine, ki išče hiter zaslužek. Po navedbah ameriške agencije CISA jo vodi enota Center 16 znotraj FSB, njen namen pa je neopazno vstopiti v omrežja, tam ostati skrita in več mesecev ali let zbirati obveščevalne podatke (CISA). To je podobno vlomilcu, ki pusti televizor pri miru, fotografira pa omarico z varovalkami, si zapiše položaj kamer in naredi odtise ključev.

Vstopne točke so običajne. Skupno opozorilo CISA in FBI opisuje, da akterji Centra 16 izkoriščajo slabo nastavljene usmerjevalnike, šibke nastavitve za upravljanje omrežij in zastarele prehode VPN, torej naprave na meji med organizacijo in internetom (CISA AA26-194A, FBI/IC3). Prehod VPN lahko razkrije, kdo se povezuje, od kod prihaja in do katerih notranjih sistemov dostopa. Konfiguracijske datoteke lahko pokažejo zaupanja vredne povezave in poti globlje v omrežje (AttackIQ).

Za ministrstvo ali energetsko podjetje to pomeni, da napadalec spozna šibke točke, ne da bi nujno sprožil alarm. Glede na javno dostopne dokaze je šlo za izvidovanje, ki ustvarja vzvod za poznejši pritisk, ne za dokaz neposredne sabotaže.

Zakaj so pozorne tudi sosede

Evropska infrastruktura ne deluje kot vrsta ločenih hiš, temveč prej kot stanovanjski blok s skupno napeljavo. Slovaška in Avstrija sta povezani prek plinovodnega omrežja in prometnega železniškega koridorja Dunaj–Bratislava (Gas Connect Austria, ÖBB). Češka ima s Slovaško kanale za izmenjavo obrambnih podatkov in sisteme v obmejnih regijah (Novinky). To ne pomeni, da so bili ti sistemi kompromitirani. Pojasnjuje pa, zakaj vlade slovaški vdor obravnavajo kot skupno ranljivost.

Nobena sosednja država ni poročala o potrjenem vdoru, povezanem s tem incidentom. Skrb je drugje: ukradene konfiguracije, dobaviteljske poverilnice ali poznavanje šibkih točk lahko napadalcem pomagajo pri načrtovanju prihodnjih potez proti povezanim sistemom. Avstrija je zaradi sorodnih kibernetskih napadov poklicala na pogovor ruskega veleposlanika. Evropska unija in Združeno kraljestvo sta sprejela prve skupne sankcije proti Centru 16 in operaciji Turla (Sabr Cyber & Tech News, formiche.net). Odziv kaže, da vlade grožnjo razumejo kot skupno, tudi če čezmejna škoda ni dokazana.

Gradbeni predpis ne posodobi usmerjevalnika

Takšnim primerom je namenjena direktiva NIS2. Gre za evropski okvir za kibernetsko varnost ključnih digitalnih storitev, ki od upravljavcev kritične infrastrukture zahteva obvladovanje kibernetskih tveganj, hitro poročanje o incidentih in nadzor nad dobavnimi verigami (EUR-Lex). Slovaški primer je preizkusil prav to logiko. Mediji so poročali, da je vlada napade potrdila šele po novinarskih vprašanjih (TA3), opozicijski predstavniki pa so ji očitali nevarno pasivnost (Aktuality).

Gradbeni predpis lahko zahteva požarne izhode in detektorje dima. Ne more preprečiti, da nekdo vrata podstavi s klinom. NIS2 lahko določi roke za poročanje in obvezne ocene tveganj. Ne more sama posodobiti starega usmerjevalnika ali zamenjati razkritega ključa VPN.

Glede na javno dostopne dokaze dogajanje na Slovaškem ne pomeni, da lahko Rusija ohromi evropsko infrastrukturo. Pomeni, da so rusko povezani akterji iskali dostop do sistemov, s katerimi bi lahko razumeli, kartirali in pripravljali pritisk na kritične storitve. Tak dostop je tih, potrpežljiv in dolgoročen. Preizkus za Evropo je, ali bo neopazno prisotnost v omrežjih obravnavala enako resno kot vidno motnjo.