Hvordan Obama var farligt naiv om STUXNET og cyberkrigsførelse

Hvis New York Times' omfattende beretning om STUXNET-ormens fødsel som bremsede Irans bestræbelser på at berige uran siger os noget, det er, at Obama-administrationen var bemærkelsesværdig naiv med hensyn til potentialet for spredning af de cybervåben, den var ved at udvikle.

Ralph Lagner knækkede koden til Stuxnet-ormen rettet mod Iran. (Foto: Steve Jurvetson )

Faktisk, mens diskussioner om det nye territorium, USA gik ind på, tilsyneladende fandt sted i Det Hvide Hus, i sidste ende, fortalte en medhjælper til Times, at administrationen ikke ønskede at udvikle en storslået teori for et våben, hvis muligheder de stadig opdagede.

Så, i sommeren 2010, skete der en begivenhed, som administrationen burde have forudset: STUXNET-ormen slap løs og begyndte at replikere uden for den iranske berigelsesfabrik, som havde været dens mål. I naturen, på internettet, blev den afsløret for alle at se.

Og det var tilsyneladende, da opportunistiske hackere begyndte at lære af det.

Som skitseret af Erik Gallant på Datacenter Pro , STUXNET lærte hackere, at de industrielle kontrolsystemer, der blev brugt i industriel produktion (tænk højteknologiske fabrikker) og datacentre, var sårbare over for angreb.

[Opdatering: Ryan Ellis , en postdoc ved Stanford, hvis forskning fokuserer på nutidige debatter om infrastruktursikkerhed, påpeger, at SCADA- og ICS-systemernes sårbarhed bestemt var velkendt længe før fremkomsten af ​​STUXNET. DHS, DOE og NIST indsatser rettet mod ICS og SCADA sikkerhed har stået på i årevis. Så det er mere præcist at sige, at Stuxnet introducerede en ny kodebase i, hvad der havde været en igangværende kamp for at sikre disse systemer.]

1. Spredning af STUXNET-kode med ukendte mål.

I september 2011 blev en ny STUXNET-lignende orm ved navn Duqu opdaget. Selvom dets mål er uklart, kan det være designet til at stjæle data om et industrielt kontrolsystem før et egentligt angreb. (Sådan overvågning var en integreret del af den vellykkede deaktivering af Natanz-berigelsesanlægget under STUXNET-angrebet.)

2. Malware til kontrolsystem i industriel kvalitet blev næsten afsløret på en informationssikkerhedskonference i Dallas.

Forskerne hævdede: Vi vil demonstrere, hvordan motiverede angribere kunne trænge ind i selv de mest befæstede faciliteter i verden uden opbakning fra en nationalstat. SCADA-producenten Siemens og det amerikanske Department of Homeland Security anmodede forskerne om ikke at fortsætte med demonstrationen med henvisning til bekymringer om den offentlige sikkerhed.

3. Industrial Control System hacking toolkit frigivet.

I marts 2011 tilbød Gleg, et russisk sikkerhedsfirma, en softwarepakke kendt som The Agora SCADA+ Pack til salg. Softwaren indeholdt 22 moduler, der udnyttede 11 zero-day sårbarheder. Pakken indeholdt data gældende for en lang række af SCADA-systemproducentens enheder og software.

4. STUXNET-koden dukkede op i et uforgængeligt zombie-botnet, der har inficeret millioner af pc'er.

Denne malware, kendt som TDL4, implementerer en række smarte tricks for at garantere sin egen overlevelse, inklusive et lånt direkte fra verdens mest sofistikerede cybervåben, Stuxnet.

Listen over måder, hvorpå STUXNET-kode oprindeligt udviklet af USA og Israel bliver bredt distribueret, lært af og udnyttet, fortsætter, og hele Data Center Pro-indlægget er værd at læse hvis du vil forstå, hvordan disse angreb i sidste ende kan blive udført på de datacentre, som internettet og vores finansielle infrastruktur afhænger af.

Generelt er den såkaldte SCADA-infrastruktur (Supervisory Control and Data Acquisition) i USA blevet beskrevet som Akilleshæl af kritisk infrastruktur , og Richard Clarke, tidligere rådgiver i Det Hvide Hus om cybersikkerhed, har hævdet det Kina undersøger allerede det amerikanske elnet .

Den gode nyhed er, at der er mindst to grunde til ikke at gå i panik. Den første er, at det endnu ikke er klart, hvilken effekt disse former for cyberangreb kan have. Iran, for eksempel, blev bremset i sine bestræbelser, men det er væsentligt forskelligt fra resultaterne af for eksempel en konventionel bombning af deres berigelsesfaciliteter.

Den anden grund til, at vi bør dæmpe vores angst over cyberangreb, er, at der er en sjov form for asymmetri til cyberkrigsførelse. Som det er tilfældet med antivirussoftware, kan blot vide, at der eksisterer en trussel, give os mulighed for hurtigt at inokulere vores systemer mod disse trusler. Om vi ​​gør det eller ej er et helt andet spørgsmål.

Og det er det ene område, hvor Obama-administrationen fremstår som håbløst naiv i sine samtaler om den potentielle indvirkning af STUXNET-ormen: Er det ikke faldet nogen i rummet ind, at denne form for angreb, når de først er blevet sluppet løs, vil betyde, at hver brik af kritisk computerstyret infrastruktur i USA skulle evalueres og for evigt efter opgraderes for at forsvare sig mod et sådant angreb?

Følg @Mims eller tage kontakt

skjule