Вразливість інфраструктурних об’єктів

Загрози для державної безпеки ми побачили дуже чітко, коли були кібератаки на «Прикарпаттяобленерго». Тоді, щоб подивитися, що теоретична можливість такої атаки реалізована практично, злетівся весь інформаційний світ.

Довідка: У результаті кібератаки на «Прикарпаттяобленерго», що сталась у грудні 2015 року, російським хакерам вдалося вимкнути майже 30 електричних підстанцій. Близько 230 тисяч мешканців Івано-Франківської області залишалися без світла від однієї до шести годин. Ця кібератака стала першою зареєстрованою атакою на енергетичну систему, що вивела її із ладу.

Ще були атаки на аеропорти, медіа, банки, фінансово-транспортну інфраструктуру.

Довідка: У 2017 році сталася масштабна кібератака на кілька важливих інфраструктурних об’єктів у Харківській області — аеропорт, водоканал та облгаз. Найбільше постраждав аеропорт. Пасажирів довелося реєструвати на рейси в ручному режимі. У водоканалу та облгазу спостерігалися збої в роботі сайтів. Витоку даних не було.

Якщо можна віддалено перекрити воду чи відключити хакерськими методами цілий регіон від електроенергії на 5-6 годин, то це важливий виклик. Це не просто хакери, які існують десь там у віртуальному середовищі і щось там зламують. Це стосується величезної кількості людей. Якщо не приділяти уваги питанням кібербезпеки, то це впливатиме навіть на тих людей, які нічого не чули про кібербезпеку.

Є чимало випадків кричущої некомпетентності людей, які мають захищати ці системи. Тобто, це рівень хакера-школяра — настільки легко зламати систему інфраструктурних об’єктів.

У країні-агресорі працюють величезні колективи висококваліфікованих хакерів. Уявіть собі студента першого курсу медуніверситету і професора кардіології, який має роки досвіду та сотні проведених операцій. Приблизно такого рівня спеціалісти є в нашого супротивника, які здатні зламати максимально захищені системи.

Проблема в тому, що в нас на абсолютній більшості державних органів і на практично всіх об’єктах критичної інфраструктури не дотримано мінімальних вимог з безпеки.

У сенсі кібергігієни люди не знають, що потрібно мити руки

Ми людям часто розповідаємо про 10 простих кроків, як підвищити персональну кібербезпеку. І проблема не в тому, що не виділяються кошти, а в тому, що серед людей дуже низький рівень загальних знань. У сенсі кібергігієни люди не знають, що потрібно мити руки.

Ці дуже прості знання значно підвищують рівень персональної відповідальності.

Наприклад, користування месенджерами WhatsApp або Signal — це наскрізне шифрування даних, тобто максимально безпечно. Viber менш безпечний, але теж захищений. Telegram — це російська розробка. Усьому, що розроблено в Росії, довіряти не можна, що б вони не розповідали про безпеку.

Якщо маєте можливість користуватися Mac OS або Windows, то краще обирати Mac OS. Тим паче, що зараз ціни змінюються, і комп’ютери Apple уже не такі дорогі. Windows — досі непрозора система з низкою недокументованих функцій. Вона не стійка. Mac OS теж має проблеми, але значно менше.

Російські поштові сервіси теж одразу відкидаємо. Про них просто варто забути, і тоді все буде добре. Щодо інших, то наприклад Gmail має величезну команду, яка відповідає за безпеку. Ці люди гарно заробляють, мають величезні знання та практику, тому безпека там на максимально високому рівні.

Не користуйтеся відкритими незапароленими мережами Wi-Fi. Це може бути фейкова точка, яка зчитує ваші дані. Зараз стільникова мережа має гарне покриття, і це недорого. Оператори стільникового зв’язку дбають про безпеку користувачів.

Кібербезпека на державному рівні залежить від обізнаності звичайних людей, які працюють у компаніях і держустановах. Проблема в тому, що в держустановах не завжди є навіть системний адміністратор, а тим паче — фахівець із кібербезпеки.

У нас багато сайтів, які мають шифрування http. Однак шифрування https має значно вищий рівень захисту. Для спеціаліста налаштувати це — 10 хвилин роботи.

Якби люди були ознайомлені з елементарними правилами кібербезпеки, то загальний рівень кібербезпеки значно зріс би.

Наскільки багато людей, які працюють у держустановах, користуються російськими сервісами, я не можу сказати, бо не маю такої статистики. Але, спілкуючись із колегами, можу сказати, що після 2014 року їх кількість суттєво скоротилася. І якщо такі випадки є, то вони поодинокі, а не системні, як було раніше. Я думаю, що хіба райцентри чи сільради в певних регіонах можуть їх використовувати.

Зараз органи контролю та правоохоронні органи стежать за тим, щоб принаймні публічні ресурси держструктур були на українських або міжнародних доменах.

Хакерські атаки — потужна зброя масового впливу

Кібероперації проти України — це лише складова загальних операцій з боку Росії. Це такий додатковий вектор атаки, щоби вплинути на громадську думку і змінити її на більш проросійську.

Яким чином такі кібератаки впливають? Їхня кінцева мета — це розум українців. «Якщо на 6 годин відключили електроенергію, значить влада не може забезпечити мою безпеку», — думають люди.

Деякі кібератаки проводилися з тактичними цілями — випробувати нові методи, перевірити ефективність нової зброї, показати замовнику свої можливості.

І якщо в попередні роки було чимало різноманітних атак, то цього року нічого суттєвого не відбувалося.

Я думаю, якби після першого туру стало зрозуміло, що перемагає Порошенко, то були б кібератаки. Але з огляду на те, що в Росії визначили, що Зеленський може бути проросійським президентом, то навіщо витрачати ресурси. Вони керувалися логікою «навіщо стріляти по своїх».

У нас настільки слабкі системи захисту, що ще задовго до 2014 року російські боти сиділи в усіх ключових системах. І жоден антивірус їх не виявить, допоки вони самі себе не проявлять. Вони здатні виконувати дуже потужні завдання, але сидять і чекають свого часу.

Я абсолютно певен, що більшість державних установ містять таких ботів, адже навряд чи вони повністю оновлювали всі ПК та ПЗ. Ці боти можуть робити DDoS-атаки, знищувати інформацію, унеможливлювати доступ до, скажімо, сайту Верховної Ради.

Як держава протидіє кіберзагрозам

Що робить держава? Щось робить. Але велике питання, наскільки ефективно. У мене найменше питань до роботи правоохоронних органів — кіберполіції та контррозвідки СБУ. Вони виконують точкові завдання. Це дуже вузька галузь — знаходити злочинців та попереджувати кіберзлочини, але вони не можуть займатися просвітою.

Держава цим не займається. У нас є координаційний центр РНБО і шість відомств, які працюють для власних потреб, як-от розвідка, Міноборони чи Нацбанк.

Державна служба спеціального зв'язку та захисту інформації України, яка начебто має відповідати за інформаційну безпеку країни, — некваліфікована. У багатьох нормативних актах вони значаться як відповідальні за все, що відбувається як у державних, так і приватних компаніях, що стосується кібербезпеки. Але вони мають застарілі технології та підходи ще з 90-х років.

Держспецзв’язку виконує функцію регулятора. На мій погляд, дуже неефективно. Наприклад, вони вимагають створення КСЗІ (комплексна система захисту інформації, —ред.). Але ця система застаріла. А вони штрафують, тиснуть і пропонують фірми, які все це зроблять за великі гроші. Я їх публічно критикую і наголошую, що це відомство потрібно або ліквідувати, або значно скоротити.

Кіберполіція вже після скоєння злочину займається розслідуванням. Нацбанк опікується лише фінансовим сектором. Так само вузький профіль має Міноборони та контррозвідка СБУ.

Вихід — масова просвіта. Системи найбільш вразливі через елементарну неуважність та необізнаність людей, через яких хакери отримують доступ до інформаційних систем. Я переконаний, що масова просвіта — це правильна стратегія. Вона не дасть швидких результатів. Вона потребує величезних зусиль, ресурсів, але якщо закласти на це два роки, то буде видно результат.