29.07.2019

Киберугрозы и уязвимость системы ядерного оружия

Принято считать, что все государства уязвимы для киберугроз. Более того, большинству стран еще предстоит разработать четкие кибер-стратегии или осуществить надлежащие профилактические меры.

Растет число серьезных кибер-инцидентов, направленных на государственные электростанции, компании и военную технику для ядерной отрасли. Несмотря на это, угроза кибер-вмешательства в национальные системы ядерного оружия не решается должным образом.

Есть риск, что международные ядерные системы снабжения и ядерные системы управления и контроля могут быть подвергнуты опасности, поэтому нужно срочно решить эту проблему.

Чем сложнее система, тем уязвимее

Правительства и законодательные органы пытаются не отставать от стремительного развития кибер-возможностей. Поскольку техническая сложность устройств военного назначения повышается, легко предположить, что они более безопасны. На самом деле, всё наоборот. Усиленная автоматика и возможность подключения к сети увеличивают уязвимость к кибератакам. Такие меры, как воздушный зазор в системе (отсоединение от интернета), могут не сработать.

В отчете Счетной Палаты США была дана оценка кибербезопасности систем вооружения Штатов: «обнаружены критически важные кибер-уязвимости почти во всех разрабатываемых боевых комплексах». Хотя в докладе не упоминается какой-либо конкретный тип системы, можно резонно предположить, что именно системы ядерного оружия уязвимы для кибератак.

Разновидности кибератак

Кибератаки могут принимать разные формы:

Кибершпионаж.
Хищение данных.
Несанкционированное проникновение в систему ядерного управления, контроля и связи (УКС).
Сетевые атаки, ведущие к отказу серверов (DoS).
Распределенные атаки типа «отказ в обслуживании» (DDoS).
Ложные сигналы тревоги (создание помех и перехват сигнала).
Выведение объектов из строя и внешние повреждения.

Когда эти действия направлены против систем ядерного оружия, в самом худшем случае это может привести к преднамеренному или непреднамеренному обмену ядерными ударами.

Еще один проблемный аспект – это система снабжения, состоящая из аппаратной части и программного модуля, которые относятся к системе ядерного оружия, в том числе УКС, платформы, средства доставки и боеголовки.

К системе снабжения обычно относится ряд компаний и поставщиков, расположенных в разных странах с различными стандартами кибербезопасности, что открывает возможности для манипуляций и диверсии. Взять, к примеру, компьютерный чип, произведенный в стране А. Если слабое звено было внедрено на этапе производства, позже, когда чип будет интегрирован в военную систему страны B, уязвимость можно удаленно активировать.

Если злоумышленник окажется «инсайдером» с неограниченным доступом к военному комплексу, подвергнуть риску военное оборудование еще проще. Это может быть сделано, например, через USB-накопитель, зараженный вредоносными программами. Когда стандарты безопасности на военном объекте падают, никто даже не догадывается об атаке, пока не станет слишком поздно.

Ограниченная осведомленность о кибер-рисках для ядерных систем

В экспертном сообществе и среди лиц, принимающих решения, слабая информированность о кибер-рисках. Государства не желают внедрять такие меры, как общие стандарты кибербезопасности и обмен информацией об уязвимостях.

Среди государств, обладающих ядерным оружием, только в Соединенных Штатах высокопоставленные официальные лица, такие как генерал Роберт Келер (в отставке) и генерал ВВС Джон Хайтен (Стратегическое командование США), на двух слушаниях Комитета Палаты представителей США по вооружённым силам в 2013 и 2017 годах выразили свои опасения по поводу потенциальной кибератаки, которая может повлиять на ядерное сдерживание США.

Почему же ключевые фигуры и правительства не желают принимать эти меры? Одна из причин – все это кажется слишком нереальными, невероятными угрозами, которые просто относятся к миру научной фантастики и сценариям конца света. Но нет никаких оснований предполагать, что предупреждения Счетной Палаты, Целевой группы США по киберсдерживанию 2017 года или Инициативы по сокращению ядерной угрозы являются преувеличенными.

Конечно, еще не было крупной кибератаки на государственную программу создания ядерного оружия – по крайней мере, об этом не слышали публично. Но есть ряд примеров кибер-помех в ядерных установках или связанных с ними частях системы снабжения. К ним относятся:

Атака вирусом Stuxnet в 2010 году, затронувшая более 15 иранских ядерных объектов, что замедлило развитие заявленной программы ядерного оружия Ирана.
Массовая кибератака на военно-промышленную корпорацию Lockheed Martin в 2009 году, когда хакеры взломали тысячи конфиденциальных файлов на американском самолёте-истребителе F35 Lightning II (они также смогли увидеть такую информацию, как местонахождение военного самолета в полете).
В 2017 году взлом системы противоракетной обороны THAAD в Южной Корее.
В 2009 году атака вредоносной программой Conficker компьютеров военно-морских сил Франции.
Кампания кибершпионажа против французской ядерной компании Areva в 2011 году.
И сильные опасения по поводу вируса WannaCry в 2017 году, который предположительно был нацелен на часть британской ядерной программы Trident.

Что должны делать влиятельные лица и политики?

Правительствам необходимо разобраться, как справиться с быстро развивающимися кибер-возможностями. Первый важный шаг – более глубокое понимание угрозы, в том числе получение ответов на следующие вопросы:

Каковы возможные цели во всей системе снабжения, в самой системе ядерного оружия и в рамках процессов модификации, реконструкции и технического обслуживания? Какие у них уязвимости?
Кто из потенциальных участников может осуществить серьезные кибератаки? Какое государство, негосударственный субъект или спонсируемая государством группа будет иметь интерес, а также ресурсы и возможности?

Все государства, которые размещают ядерное оружие на своей территории или осуществляют гражданскую ядерную программу, должны проводить ежегодные оценки кибер-устойчивости всех рассматриваемых систем.

Не менее важно улучшить обмен информацией о возможных и реальных уязвимостях, а также о выводах, сделанных крупными технологическими компаниями, поставщиками, разработчиками и производителями. И заняться внедрением общих стандартов безопасности.

Обычно эти компании не стремятся раскрывать информацию об уязвимостях, остерегаясь возможного подрыва репутации или из-за боязни раскрыть детали, которые могут использовать потенциальные хакеры или конкуренты.

Правительство и бизнес должны тесно сотрудничать, чтобы преодолеть эти трудности и решить общие проблемы. Также правительства должны щедро инвестировать в исследовательскую деятельность в рамках существующих институтов, таких как:

Центр передового опыта НАТО в области совместной защиты от киберугроз (CCD COE).
Центры передового опыта ЕС по химическому, биологическому, радиологическому и ядерному снижению рисков (EU CBRN CoE).
Европейская служба по внешним делам (EEAS) и Межрегиональный научно-исследовательский институт ООН по вопросам преступности и правосудия (UNICRI).
Национальные учреждения по кибербезопасности.

Правительства и ответственные лица ядерных держав должны также публично признать, что кибербезопасность для систем ядерного оружия является приоритетной мерой защиты и безопасности национальных военных программ.

Если речь идет о надежности ядерного оружия, это не только снижает уровень доверия и сдерживающую ценность, но также создает огромный риск для правопорядка и безопасности. Это риск того, что ни одно правительство, группа людей или компания не могут и не должны управлять в одиночку.

Источники фото: