Росії не обов'язково щоразу вдаватися до масштабних кібератак, щоб послаблювати оборонні можливості НАТО. Достатньо створити такий потік інцидентів, щоб змусити західні держави залучати найкращих фахівців до перевірки тисяч і навіть мільйонів сигналів, більшість із яких виявляться звичайною кіберзлочинністю. Поки команди реагування витрачають ресурси на аналіз цих випадків, справжня загроза може непомітно проникати в критичну інфраструктуру через ланцюги постачання. Про цю зміну характеру загроз говорить Крістофер Портер, керівник напряму міжнародного співробітництва у сфері безпеки Google Cloud.
«Ми здатні зупиняти найскладніші російські кібервторгнення та витісняти зловмисників із систем. Однак це надзвичайно дорого і має високу альтернативну вартість: наші ресурси обмежені, тому ми можемо ефективно протидіяти лише невеликій кількості таких операцій. Тим часом противник буквально засипає нас величезною кількістю атак, достатньо ефективних для досягнення своїх цілей», — зазначає Крістофер Портер.
Він порівнює цю ситуацію з протиракетною обороною. Якщо противник запускає велику кількість ракет, захисник змушений витрачати дорогі засоби перехоплення, навіть коли далеко не кожна ціль становить однакову небезпеку. У кіберпросторі ситуація подібна: кожен сигнал потрібно проаналізувати, а кожне потенційне проникнення — перевірити. Однак кібероборона не може нескінченно працювати в режимі реагування на кожен інцидент із залученням найдорожчих фахівців.
«Так не може тривати вічно: рано чи пізно якась атака прорветься крізь захист або вичерпаються ресурси оборони», — попереджає експерт.
Втім, перевантаження систем реагування — лише одна частина проблеми. Крістофер Портер пропонує розглядати активізацію російських кібероперацій у ширшому контексті: разом із фізичними диверсіями в європейських країнах, залученням організованих злочинних мереж і діяльністю російських спецслужб. На його думку, сукупність цих явищ свідчить про зміну готовності Кремля ризикувати під час операцій проти західних держав.
«У Кремлі хтось ухвалив рішення підвищити рівень ризику в широкому спектрі операцій. Там, очевидно, вважають, що такі дії принесуть Росії більше користі, ніж шкоди, або ж розраховують, що НАТО не наважиться відповісти на ці загрози, а отже, Росія фактично нічим не ризикує», — каже Крістофер Портер.
Він припускає, що наступним етапом може стати розширення переліку цілей російських кібероперацій. Серед потенційних об'єктів він називає залізничну інфраструктуру, енергетику та цивільні системи, від яких залежить повсякденне функціонування держав.
«Росія діє з двох напрямків одночасно. З одного боку, проводить приховані довгострокові операції проти ланцюгів постачання. Їх надзвичайно складно виявити. З іншого, перевантажує системи моніторингу та команди реагування незліченною кількістю інцидентів — тисячами, мільйонами повідомлень, більшість із яких зрештою не виявляються реальними загрозами», — пояснює експерт.
У цій моделі є очевидна логіка. Масовий потік інцидентів відволікає увагу та ресурси, тоді як приховане проникнення може тривалий час залишатися непоміченим. Коли захисники змушені одночасно перевіряти величезну кількість сигналів, ризик пропустити справді небезпечну операцію зростає.
Аудіоверсія матеріалу — у прикріпленому файлі.
Вікторія Машталер