Олег Демидов - Глобальное управление Интернетом и безопасность в сфере использования ИКТ - Ключевые вызовы для мирового сообщества

Создание и применение. Разрабатывался с 2005–2007 г. в рамках программы Олимпийские игры как средство замедления иранской атомной программы тайными невоенными средствами. В 2008–2010 гг. поразил АСУ ТП на комбинате по обогащению урана в иранском городе Натанз. Первая версия червя могла поразить иранские объекты в 2007 г.; обновленные версии появлялись в июне 2009 г., а также весной 2010 г., также попав в сети объекта в Натанзе. Выявлен лишь 17 июня 2010 г. после многих месяцев скрытой деятельности. Активность червя привела к физическому износу и выведению из строя более 1000 центрифуг и торможению ядерной программы Ирана на срок от шести месяцев до двух лет. Эти события спровоцировали широкую дискуссию о потенциале использования кибероружия и необходимости его ограничения.

Функционал. Крайне передовая и сложная вредоносная программа объемом более 500 Кб, 15 000 строк кода. Осуществлял перехват и модификацию информационного потока между программируемыми логическими контроллерами (ПЛК) Siemens марки Simatic S7 и рабочими станциями системы Simatic WinCC. Использовал четыре уязвимости нулевого дня ОС Microsoft Windows и два действительных цифровых сертификата. Возможно, распространялся через USB-накопители, после попадания во внутреннюю сеть скрытно распространялся, находил нужные ПЛК, перехватывал контроль над ними и (в случае с Натанзом) изменял скорость вращения роторов центрифуг, вызывая их ускоренный физический износ. В то же время на рабочие станции АСУ ТП отсылалась заранее сохраненная червем информация о штатной работе всех центрифуг, что позволяло Stuxnet в течение долгого времени действовать скрытно.

Учитывая опыт Stuxnet, необходимо понимать, что инцидент в Натанзе не стал единичным примером использования ИКТ для нарушения работы объектов КИИ, а спектр ИКТ-угроз таким объектам не исчерпывается операциями государственных игроков с мотивами стратегического саботажа. За последние годы в открытом доступе неоднократно появлялись сообщения об инцидентах, связанных с вмешательством в работу объектов КИИ в различных секторах национального хозяйства, включая атомную отрасль:

• В США в 2003 г. червь Slammer проник на АЭС Дэвис Бесс (Davis-Besse) и вызвал сбой в цифровой системе мониторинга параметров безопасности, проникнув из внешней сети на АСУ ТП станции. Дублирование функций мониторинга аналоговой системой позволило персоналу объекта получать необходимые данные о состоянии на протяжении почти пяти часов сбоя и избежать серьезных последствий.

• К кампаниям и образцам ПО на рисунке 5 достаточно близок троян , известный как Shamoon и использовавшийся для атак на инфраструктуру нефтяных компаний Саудовской Аравии и, предположительно, Катара. В августе 2012 г. червь мог заразить до 30 000 рабочих устройств арабской нефтяной компании Saudi Aramco; в сентябре 2012 г. похожая атака имела место в отношении катарской компании по производству СНГ RasGas. Несмотря на «родство» с Flame и похожего модульного дизайна, Shamoon, согласно отчету «Лаборатории Касперского», предназначен не для сбора информации, а для уничтожения файлов на зараженных системах. Для ликвидации последствий заражения червем предприятие Saudi Aramci было вынуждено приостановить работу внутренней корпоративной сети на десять дней и понесло определенные убытки. Хотя Shamoon не может быть назван инструментом саботажа КИИ (червь не проник в АСУ ТП), такой инцидент все же затрагивает работу критических объектов.

Ключевые выводы, которые позволяет сделать сегодняшняя картина инцидентов безопасности КИИ в части ИКТ-угроз, неутешительны:

• Нарушение работы стратегических объектов, включая техногенноопасные объекты, средствами ИКТ технически реально и в определенных обстоятельствах политически приемлемо для ряда ключевых игроков, включая государства.

• Даже при наличии большого количества косвенных технических данных, указывающих на заказчика кибератаки на критический объект, и подтверждения такой информации независимыми источниками (Эдвард Сноуден, Дэвид Сангер) оперативное трансграничное расследование инцидента малореально, так как возможности и механизмы достоверной атрибуции атак на международном уровне крайне ограничены. Это обеспечивает безнаказанность государств и субъектов-посредников, причастных к таким атакам.

• Несмотря на соображения национальной безопасности, государствам, осуществляющим эксплуатацию техногенноопасных объектов КИ, по мере роста роли ИКТ в эксплуатации таких объектов все более остро нужен будет доступ к лучшим мировым практикам и экспертизе в сфере обеспечения безопасности КИИ. Прежде всего речь идет о развивающихся странах, активно воплощающих программы строительства техногенноопасных объектов, включая объекты атомной отрасли (Индия, Вьетнам, Иран, Турция, Бангладеш, Пакистан), либо планирующих их развитие (Алжир, Египет, Индонезия и проч.). Собственных компетенций в случае атак, аналогичных либо превосходящих по уровню сложности Stuxnet, специалистам таких стран может не хватить, как показывает иранский опыт. В ситуации, когда выработка форм конструктивного международного взаимодействия может оказаться затруднительной в нынешних условиях, более вероятными могут оказаться двусторонние или региональные форматы такого сотрудничества.