Forestil dig, at USA lige blev ramt af et cyberangreb. Hvad sker der nu?

konceptuel illustration af øjne bag rør Daniel Zender

Dette øjeblik havde været 10 måneder undervejs. Men ingen bemærkede det før i sidste uge.

En gruppe hackere med gode ressourcer har i næsten et år søgt gennem gasrørledningsoperatørens netværk og høstet afgørende information. Nu kender hackerne netværket bedre end pipeline-virksomheden gør: hvert stykke udstyr, hele virksomhedens arbejdsstyrke, brugernavne og adgangskoder. De har de nødvendige privilegier for at få adgang til både firmaets stationære computere og selve rørledningens maskineri. Nu er de klar til at slå til.

Denne historie var en del af vores november 2019-udgave

• Se resten af ​​problemet
• Abonner

USA har mange cyberfjender. Det handler slag med Kina, Rusland, Iran og Nordkorea på daglig basis. En komplet cyberkrig forbliver heldigvis noget af teori og bordøvelser. Men hvad sker der, når man bryder ud for alvor?

For bedre at forstå, hvordan det ville udspille sig, talte vi med en række eksperter i cybersikkerhed og national sikkerhed. Vi bad dem overveje hypotetiske scenarier, inklusive det på den modsatte side, hvor ukendte hackere har fået adgang til computere, netværk og hardware i gasrørledninger i New England.

De potentielle konsekvenser vil spænde fra spionage og tyveri af intellektuel ejendom til mere ødelæggende angreb, der kan efterlade Boston uden strøm eller i værste fald forårsage brande og livstruende skader. Hvad der derefter sker – og om det eskalerer til en rigtig cyberkrig – afhænger af, hvem der er på angrebet, hvad deres mål er, og hvordan USA reagerer.

Variablerne på spil betyder, at der ikke er noget at sige præcist, hvordan dette ville gå. Men at forestille os det værste kan hjælpe os til bedre at forstå, hvordan konflikten ændrer sig, og lad os planlægge, hvordan vi skal handle, når cyberkrig lander lige uden for døren.

Vores panel bestod af nogle af USA’s førende eksperter i cyberkrigsførelse.

---

Angus King: wikimedia commons / Sandra Joyce: høflighedsfoto / Richard Clarke: wikimedia commons / Michael Daniel: høflighedsfoto / Eric Rosenbach: wikimedia commons / John Livingston: høflighedsfoto / mike Gallagher: wikimedia commons

sandra Joyce er senior vicepræsident for global efterretning hos cybersikkerhedsfirmaet FireEye, det første firma, der åbent navngiver kinesiske regeringshackere, der arbejder mod amerikanske virksomheder.

Richard Clarke har arbejdet i Bill Clintons, George W. Bushs og Barack Obamas administrationer. Han var blandt de første højtstående embedsmænd i Det Hvide Hus, der fokuserede på cybersikkerhed.

Michael Daniel var cybersikkerhedszar under præsident Obama. Han leder nu Cyber ​​Threat Alliance, et team af cybersikkerhedsvirksomheder, der deler information om trusler.

Erik Rosenbach var stabschef for tidligere forsvarsminister Ash Carter. Han ledede forsvarsministeriets cyberaktivitet og udformede militærets cyberstrategi.

John Livingston er administrerende direktør for Verve Industrial Protection, en virksomhed, der håndterer styring af industriel cybersikkerhed for projekter, herunder naturgasrørledninger og anden kritisk infrastruktur.

Repræsentant Mike Gallagher er tidligere kontraefterretningsofficer i US Marine Corps og nu cochair for Cyberspace Solarium Commission, et panel af eksperter, der har til opgave at formulere en amerikansk cybersikkerhedsdoktrin.

Senator Angus Konge er medlem af Senatets udvalgte efterretningskomité og cochair for Cyberspace Solarium Commission.

Vi talte med alle vores paneldeltagere individuelt, og deres svar er blevet redigeret for længde og klarhed.

---

Rosenbach: Det første, der ville ske, er, at NSA [National Security Agency] indsamler efterretninger i udlandet. Når dette først kommer igennem, er der bare et lidt sløret gråt billede af, at nogen opererer i naturgasinfrastruktur. Og du ved ikke nødvendigvis, om de har tænkt sig straks at trække aftrækkeren på angrebet.

Konge: Det første problem er tilskrivning [dvs. hvem der står bag angrebet]. Det er en af ​​de vigtigste udfordringer på dette felt, fordi modstanderne hele tiden bliver klogere på deres spor.

Jeg foreslår til Cyberspace Solarium Commission, at den amerikanske regering skal have et tilskrivningscenter, der vil kombinere ressourcer fra NSA, FBI, CIA og andre efterretningstjenester, så der er ét centralt sted at tage hen.

Clarke: Tilskrivningsproblemet er ikke så slemt, som folk tror, ​​det er. Med hensyn til cyber, hvis du er i fjendens systemer, så vil du vide, hvem der gjorde det, fordi du vil se dem gøre det. Hvis du kan se det live, har du en meget god chance for at finde ud af tilskrivning. Hvis det er en post hoc-analyse eller retsmedicinsk analyse, så kan tilskrivning være sværere, især da vi nu ved, at mange nationer, muligvis inklusive USA, bruger angrebsværktøjer skabt af andre lande. Hvad hvis de brugte en computer med en bestemt slags tastatur eller brugte andre teknikker, som fingeraftryk til et andet land? Det skaber et problem.

Rosenbach: Dernæst ville du se, om der kunne være et samarbejdsforhold mellem [forskellige amerikanske regeringsorganer] for at forsøge at finde ud af, hvor angrebet kan forekomme, se efter visse typer malware, som modstandere kan have brugt tidligere.

Du kan se, om du kan få mere detaljeret intelligens om det. Hele tiden, hvor du arbejder på alle den slags problemer i hjemmet, kan du prøve at tænke på, hvad der ville ske i tilfælde af, at angrebet lykkes, og hvad du gør. Hvad er hændelsesreaktion om vinteren, hvis der er hundredtusindvis af mennesker, eller millioner af mennesker, uden varme?

Du tænker over, hvad du ville sige om det. Samtidig tænker du på, om du ville konfrontere den modstander nation med denne information. Går du til dem og siger: Vi ved, at du har malware i naturgasinfrastrukturen og nettet? Truer du dem rent faktisk? Og så, ligesom i tilfældet med valget i 2016, og også for første gang under [2014] cyberangrebet på Sony [Pictures], ville præsidenten skulle tale med alle seniorrådgivere og personale om, hvorvidt han går offentligt ud med denne information. Er det rimeligt over for offentligheden, hvis du ved, at der er et angreb ved at finde sted, at du holder det for dig selv? Hvad er fordele og ulemper ved at tilskrive offentligt?

Gallagher: Et problem, vi skal forholde os til inden for cyber, er, om sværhedsgraden ved tilskrivning skaber afskrækkelsesproblemer og afskrækkelsesfejl. Hvis du forsøger at afskrække en modstander fra at udføre et cyberangreb, skal du være i stand til at fastslå, hvem modstanderen er og også tydeligt signalere, hvad dit svar vil være. Der er en åben debat om, hvorvidt vi skal have en sådan deklaratorisk politik inden for cyber, eller om det vil tilskynde til, at adfærd lige under den tærskel, vi finder, er acceptabel eller uacceptabel.

Clarke: For omkring fire år siden ønskede efterretningssamfundet at vide, hvem disse [hackere] var. Da [justitsministeriet] indså, at viden var tilgængelig, spurgte de efterretningssamfundet, om den kunne være uklassificeret. Noget bemærkelsesværdigt vandt justitsministeriet det og overtalte efterretningssamfundet til at afklassificere. Jeg var overrasket. Noget af det er en del af en navn-og-skam-strategi. Nogle mennesker siger, at værdien er lav, fordi hackerne aldrig vil blive arresteret, men faktisk er et par blevet det. De skal være meget forsigtige med, hvor de rejser hen.

Rosenbach: Derefter begynder du at bevæge dig ind i en fase, hvor du forsøger at indsamle mere intelligens. Du forsøger at finde på muligheder for præsidenten eller, hvis du er i en bestemt afdeling eller agentur, for sekretæren, for at finde ud af, hvordan du kan mindske risikoen og virkningen af ​​et angreb som det. Det er, når det begynder at blive rigtig kompliceret.

Clarke: Cyber ​​kan fremskynde krig. Jeg tror, ​​det giver en angriber evnen til at gøre betydelig skade på fjendens hjemland. Og det giver mulighed for at gøre skade med fart. Det er sandt i cyber sammen med andre ting, der sker i krigsførelse, såsom hypersoniske missiler og AI-drevne våben, der kan resultere i, at en krig kommer til en ret hurtig afslutning - eller i det mindste den første fase af en krig, der kommer til en ret hurtig konklusion.

Dette er en del af det, jeg tror, ​​at mange mennesker i Pentagon er bekymrede over. De taler meget derovre om beslutningsløjfen og at komme ind i den anden fyrs beslutningsløjfe. De indser, at cybervåben betyder, at der måske ikke er meget tid til at beslutte, hvordan de skal reagere. Det skaber mulighed for større ustabilitet. Det kan måske give dig et incitament til at angribe først. Du skal muligvis træffe beslutninger om at reagere, før du virkelig har en god intelligens om, hvad fanden der foregår. Hurtige krige er noget, vi ikke rigtig har forstået endnu.

Daniel: Ligesom hvordan luftmagten ændrede karakteren af, hvordan militære anvendte magt og åbnede muligheder, tror jeg, at cyberspace gør det samme, idet det tilbyder nye kanaler til konflikt. Noget af den nye fysik og matematik i cyberspace betyder, at for eksempel afstand ikke betyder det samme. Du kan forårsage en fysisk effekt hele vejen på den anden side af planeten uden næsten den form for investering, du skal foretage for at gøre det i et fysisk domæne.

Joyce: Når man tænker på, hvilken type konflikt der er militær mod militær, har USA en klar fordel. Vi har næsten ligestillede, men i det væsentlige bruger USA mere end alle. Når lande ønsker at udfordre USA, kan de ikke gøre det på de måder, USA er stærkt. Så de vil vælge andre veje.

Rosenbach: Nationer, der er modstandere af USA, har indset, at asymmetrien i cyber- og informationsoperationer er en stor fordel for dem. Det største og klareste eksempel ville være Nordkorea. Tænk på, hvor dygtige de er som en cyberoperativ enhed. Tænk på nogle af de angreb, de har lavet tidligere. Tænk på nogle af de ting, de gør nu i forhold til at bruge ransomware til at rejse penge gennem kryptovalutaer for at omgå økonomiske sanktioner.

Det faktum, at de har meget lidt tele- og it-infrastruktur, og derfor ikke er sårbare, [gør cyber] til et endnu bedre værktøj for dem. Det betyder, at hvis USA eller andre lande forsøgte at finde ud af, hvordan de kunne afbøde virkningen af ​​nordkoreanske cyberoperationer, ville de skulle gå til enten økonomiske sanktioner, hvor der ikke er mange muligheder tilbage, eller direkte militære operationer, hvor man risikerer for meget eskalering.

Så har russerne selvfølgelig perfektioneret dette totalt ved at bruge temmelig aggressive cyber- og infooperationer og hybrid krigsførelse. Ukraine er et godt eksempel. Der angriber de både nettet og valg. Selvfølgelig angriber de også amerikanske valg.

Et nyere eksempel er, hvad den amerikanske cyberkommando gjorde mod Irans islamiske revolutionsgarde for at forsøge at få indflydelse på dem, begrænse effektiviteten af ​​den iranske militærorganisation og samtidig kontrollere eskalering, så den måske ikke vokser til en bredere konflikt .

Konge: Jeg er meget bekymret for gasrørledninger. Vores gasrørledningssystem har ikke de samme former for kontroller og krav som elnettet, selvom gasrørledningssystemet for mig er en del af elnettet, fordi så meget af vores strøm kommer fra naturgas.

Gallagher: Omkring 85 % af kritisk infrastruktur [i USA] ejes af den private sektor. Det er en meget svær udfordring. Det er unikt for cyber i mange tilfælde og kræver, at forsvarsministeriet og efterretningssamfundet opererer en lille smule anderledes. Måske være en smule mere fremtrædende med hensyn til den information, de er villige til at dele med den private sektor.

Livingston: Når man historisk har tænkt på det nationale forsvar, har det været et regeringsansvar. Du bygger en flåde, du bygger en hær, du forsvarer grænserne. Den private sektors rolle i det har stort set været at forsyne hæren eller flåden med, hvad den har brug for. Den har ikke forsvaret sig selv. Men hvis vi går 20, 30, 50 år frem, har du pludselig en verden, hvor nationens sikkerhed afhænger af den private sektor og ikke regeringen. Hvad er regeringens rolle i en verden, hvor min sikkerhed er afhængig af, hvad mit værk beslutter at bruge penge på? Eller hvad den for-profit gasledning beslutter sig for at bruge penge på? Eller hvad beslutter det kemiske anlæg, der er 50 miles væk fra mig, at bruge penge på? Det er et meget vanskeligt offentligt politisk spørgsmål, og vi kommer ikke dertil, tror jeg ikke, før - desværre - der er en større hændelse.

Konge: Det er blevet tydeligt for mig, at vi ikke har nogen doktrin, vi har ingen strategi, og vi har ingen politik, der på nogen måde vil afholde modstandere fra at komme efter os. Vi er en billig date. Hvorfor ville du ikke angribe os i cyberriget, hvis du kan gøre det relativt ustraffet? Indtil vi udvikler en afskrækkende evne og også bedre modstandsdygtighed, vil dette blive ved med at ske.

Den gode nyhed er, at vi er det mest kablede land i verden. Den dårlige nyhed er, at vi er det mest kablede land i verden. Det gør os til de mest sårbare.

• En tidligere version af denne artikel sagde, at Sandra Joyce er vicepræsident for global efterretning hos FireEye. Hun er senior vicepræsident.

skjule