211service.com
Stel je voor dat de VS net werd getroffen door een cyberaanval. Wat gebeurt er nu?
conceptuele afbeelding van ogen achter pijpen Daniel Zender
Dit moment was 10 maanden in de maak. Maar niemand merkte het tot vorige week.
Een groep goed uitgeruste hackers kamt al bijna een jaar door de netwerken van de gasleidingbeheerder en verzamelt cruciale informatie. Nu kennen de hackers het netwerk beter dan het pijpleidingbedrijf: elk apparaat, het volledige personeelsbestand van het bedrijf, gebruikersnamen en wachtwoorden. Ze hebben de privileges die nodig zijn om toegang te krijgen tot zowel de desktopcomputers van het bedrijf als de machines van de pijplijn zelf. Nu zijn ze klaar om toe te slaan.
Dit verhaal maakte deel uit van ons nummer van november 2019
- Zie de rest van het nummer
- Abonneren
De VS heeft veel cybervijanden. Het deelt dagelijks klappen uit met China, Rusland, Iran en Noord-Korea. Een complete cyberoorlog blijft gelukkig het spul van theorie en oefeningen op tafel. Maar wat gebeurt er als iemand echt uitbreekt?
Om beter te begrijpen hoe het zou uitpakken, spraken we met een aantal experts op het gebied van cybersecurity en nationale veiligheid. We vroegen hen hypothetische scenario's te overwegen, waaronder het scenario op de pagina hiernaast waarin onbekende hackers toegang hebben gekregen tot de computers, netwerken en hardware van gaspijpleidingen in New England.
De mogelijke gevolgen zouden kunnen variëren van spionage en diefstal van intellectuele eigendom tot meer verwoestende aanvallen die Boston zonder stroom zouden kunnen laten of, in het ergste geval, branden en levensbedreigende schade zouden kunnen veroorzaken. Wat er daarna gebeurt - en of het escaleert tot een echte cyberoorlog - hangt af van wie er wordt aangevallen, wat hun doelen zijn en hoe de VS reageren.
Door de variabelen die in het spel zijn, is niet te zeggen hoe dit precies zou gaan. Maar als we ons het ergste voorstellen, kunnen we misschien beter begrijpen hoe conflicten aan het veranderen zijn, en kunnen we plannen hoe we moeten handelen wanneer cyberoorlog voor onze deur komt.
Ons panel bestond uit enkele van de toonaangevende experts van de VS op het gebied van cyberoorlogvoering.
Angus King: wikimedia commons / Sandra Joyce: hoffelijkheid foto / Richard Clarke: wikimedia commons / Michael Daniel: hoffelijkheid foto / Eric Rosenbach: wikimedia commons / John Livingston: hoffelijkheid foto / mike Gallagher: wikimedia commons
sandra Joyce is senior vice-president van global intelligence bij het cyberbeveiligingsbedrijf FireEye, het eerste bedrijf dat openlijk Chinese overheidshackers noemt die tegen Amerikaanse bedrijven werken.
Richard Clarke heeft gewerkt in de regeringen van Bill Clinton, George W. Bush en Barack Obama. Hij was een van de eerste hoge functionarissen van het Witte Huis die zich op cyberbeveiliging richtte.
Michael Daniël was cybersecurity-tsaar onder president Obama. Hij leidt nu de Cyber Threat Alliance, een team van cyberbeveiligingsbedrijven die informatie over bedreigingen delen.
Eric Rosenbach was de stafchef van de voormalige minister van defensie Ash Carter. Hij leidde de cyberactiviteiten van het ministerie van Defensie en ontwikkelde de cyberstrategie van het leger.
John Livingston is de CEO van Verve Industrial Protection, een bedrijf dat zich bezighoudt met het beheer van industriële cyberbeveiliging voor projecten, waaronder aardgaspijpleidingen en andere kritieke infrastructuur.
Vertegenwoordiger Mike Gallagher is een voormalige contraspionageofficier bij het US Marine Corps en nu covoorzitter van de Cyberspace Solarium Commission, een panel van experts dat is belast met het formuleren van een Amerikaanse cyberbeveiligingsdoctrine.
Senator Angus koning is lid van de Senaat Select Committee on Intelligence en covoorzitter van de Cyberspace Solarium Commission.
We hebben met al onze panelleden individueel gesproken en hun antwoorden zijn bewerkt voor lengte en duidelijkheid.
Rosenbach: Het eerste dat zou gebeuren, is dat de NSA [National Security Agency] inlichtingen verzamelt in het buitenland. Wanneer dit voor het eerst doorkomt, is er een soort vaag grijs beeld dat iemand in aardgasinfrastructuur opereert. En je weet niet per se of ze van plan zijn om onmiddellijk de trekker over te halen voor de aanval.
Koning: Het eerste probleem is attributie [d.w.z. wie er achter de aanval zit]. Dat is een van de belangrijkste uitdagingen op dit gebied, omdat de tegenstanders steeds slimmer worden over hun sporen.
Ik stel de Cyberspace Solarium Commission voor dat de Amerikaanse regering een attributiecentrum zou hebben dat middelen van de NSA, FBI, CIA en andere inlichtingendiensten zou combineren, zodat er één centrale plaats zou zijn om naartoe te gaan.
Clarke: Het attributieprobleem is niet zo erg als mensen denken. Met betrekking tot cyber, als je je in de vijandelijke systemen bevindt, weet je wie het heeft gedaan, omdat je ze het zult zien doen. Als je het live kunt zien, heb je een goede kans om de toeschrijving te achterhalen. Als het een post-hocanalyse of forensische analyse is, kan toeschrijving moeilijker zijn, vooral omdat we nu weten dat veel landen, mogelijk inclusief de VS, aanvalstools gebruiken die door andere landen zijn gemaakt. Wat als ze een computer met een bepaald soort toetsenbord zouden gebruiken, of andere technieken zouden gebruiken die vingerafdrukken naar een ander land maken? Dat schept een probleem.
Rosenbach: Vervolgens zou je kijken of er een samenwerkingsrelatie zou kunnen zijn tussen [verschillende Amerikaanse overheidsinstanties] om te proberen te achterhalen waar de aanval zou kunnen plaatsvinden, op zoek naar bepaalde soorten malware die kwaadwillenden in het verleden mogelijk hebben gebruikt.
Je kijkt of je daar meer gedetailleerde informatie over kunt krijgen. De hele tijd dat je bezig bent met al dat soort huiselijke mitigatiekwesties, kun je proberen na te denken over wat er zou gebeuren als de aanval zou slagen en wat je doet. Wat is reactie op incidenten in de winter als honderdduizenden mensen, of miljoenen mensen, zonder verwarming zitten?
Je bedenkt wat je daarover zou zeggen. Tegelijkertijd denk je erover na of je de vijandige natie al dan niet met deze informatie zou confronteren. Ga je naar hen toe en zeg je: we weten dat je malware hebt in de aardgasinfrastructuur en het aardgasnet? Bedreig je ze echt? En dan, net als bij de verkiezingen van 2016, en ook voor het eerst tijdens de [2014] cyberaanval op Sony [Pictures], zou de president met alle senior adviseurs en medewerkers moeten praten over de vraag of hij met deze informatie. Is het eerlijk voor het publiek, als je weet dat er een aanval gaat plaatsvinden, dat je het voor jezelf houdt? Wat zijn de voor- en nadelen van openbaar toeschrijven?
Gallagher: Een probleem waarmee we in cyber te maken hebben, is of de moeilijkheid van attributie leidt tot afschrikkingsproblemen en falende afschrikking. Als u probeert een tegenstander ervan te weerhouden een cyberaanval uit te voeren, moet u kunnen vaststellen wie de tegenstander is en ook duidelijk aangeven wat uw reactie zal zijn. Er is een open discussie gaande over de vraag of we zo'n declaratoir beleid op het gebied van cyber moeten hebben of dat dat gedrag zou stimuleren net onder de drempel die we acceptabel of onaanvaardbaar vinden.
Clarke: Ongeveer vier jaar geleden wilde de inlichtingengemeenschap weten wie deze [hackers] waren. Toen [Justitie] eenmaal besefte dat kennis beschikbaar was, vroegen ze de inlichtingengemeenschap of deze niet-geclassificeerd kon worden. Enigszins opmerkelijk won het ministerie van Justitie dat en haalde het de inlichtingengemeenschap over om vrij te geven. Ik was verrast. Een deel ervan maakt deel uit van een naam-en-schaamtestrategie. Sommige mensen zeggen dat de waarde laag is omdat de hackers nooit zullen worden gearresteerd, maar in feite zijn er een paar geweest. Ze moeten heel voorzichtig zijn met waar ze naartoe reizen.
Rosenbach: Daarna ga je naar een fase waarin je meer intelligentie probeert te verzamelen. Je probeert opties te bedenken voor de president of, als je in een specifieke afdeling of instantie zit, voor de secretaris, om erachter te komen hoe je het risico en de impact van een dergelijke aanval kunt verkleinen. Dat is wanneer het echt ingewikkeld begint te worden.
Clarke: Cyber kan oorlog versnellen. Ik denk dat het een aanvaller de mogelijkheid biedt om aanzienlijke schade aan te richten aan het thuisland van de vijand. En het biedt de mogelijkheid om snel schade aan te richten. Dat is waar in cyber, samen met andere dingen die gebeuren in oorlogsvoering, zoals hypersonische raketten en AI-aangedreven wapens, die ertoe kunnen leiden dat een oorlog vrij snel tot een einde komt - of in ieder geval de eerste fase van een oorlog die vrij snel tot een einde komt gevolgtrekking.
Dit maakt deel uit van waar ik denk dat veel mensen in het Pentagon zich zorgen over maken. Ze praten daar veel over de beslissingslus en om in de beslissingslus van de andere man te komen. Ze beseffen dat cyberwapens betekenen dat er misschien niet veel tijd is om te beslissen hoe te reageren. Dat schept de mogelijkheid van grotere instabiliteit. Het kan je een stimulans geven om eerst aan te vallen. Je moet misschien beslissingen nemen over reageren voordat je echt goed geïnformeerd bent over wat er in godsnaam aan de hand is. Snelle oorlogen zijn iets dat we nog niet echt hebben begrepen.
Daniël: Net zoals hoe luchtmacht de aard veranderde van hoe legers geweld gebruikten en opties openden, denk ik dat cyberspace hetzelfde doet omdat het nieuwe kanalen voor conflicten biedt. Sommige van de nieuwe natuurkunde en wiskunde van cyberspace betekenen dat bijvoorbeeld afstand niet hetzelfde betekent. Je kunt een fysiek effect helemaal aan de andere kant van de planeet veroorzaken zonder bijna het soort investering dat je moet doen om dat in een fysiek domein te doen.
Joyce: Als je nadenkt over het soort conflict dat militair tegen militair is, hebben de Verenigde Staten een duidelijk voordeel. We hebben bijna gelijken, maar in wezen overtreffen de VS iedereen. Wanneer landen de VS willen uitdagen, kunnen ze dat niet doen op de manier waarop de VS sterk is. Ze zullen dus voor andere wegen kiezen.
Rosenbach: Naties die tegenstanders zijn van de Verenigde Staten hebben zich gerealiseerd dat de asymmetrie van cyber- en informatieoperaties voor hen een enorm voordeel is. Het grootste en duidelijkste voorbeeld zou Noord-Korea zijn. Bedenk hoe bekwaam ze zijn als cyber-operationele eenheid. Denk aan enkele van de aanvallen die ze in het verleden hebben gedaan. Denk aan een aantal dingen die ze nu doen in termen van het gebruik van ransomware om geld in te zamelen via cryptocurrencies om economische sancties te omzeilen.
Het feit dat ze heel weinig telecom- en IT-infrastructuur hebben, en dus niet kwetsbaar zijn, [maakt cyber] een nog betere tool voor hen. Dat betekent [dat] als de VS of andere landen zouden proberen uit te vinden hoe ze de impact van Noord-Koreaanse cyberoperaties kunnen verminderen, ze ofwel economische sancties zouden moeten nemen, waar niet veel opties meer over zijn, ofwel regelrechte militaire operaties, waarbij je te veel escalatie riskeert.
Dan hebben de Russen dit natuurlijk volledig geperfectioneerd door behoorlijk agressieve cyber- en info-ops en hybride oorlogsvoering te gebruiken. Oekraïne is een goed voorbeeld. Daar vallen ze zowel de grid als de verkiezingen aan. Natuurlijk vallen ze ook de Amerikaanse verkiezingen aan.
Een recenter voorbeeld is wat het Amerikaanse cybercommando deed tegen de Islamitische Revolutionaire Garde van Iran om te proberen een impact op hen te hebben, de effectiviteit van die Iraanse militaire organisatie te beperken en tegelijkertijd de escalatie te beheersen, zodat het niet uitgroeit tot een breder conflict .
Koning: Ik maak me grote zorgen over gasleidingen. Ons gasleidingsysteem heeft niet dezelfde soort controles en vereisten als het elektriciteitsnet, hoewel het gasleidingsysteem wat mij betreft onderdeel is van het elektriciteitsnet omdat zoveel van onze stroom afkomstig is van aardgas.
Gallagher: Ongeveer 85% van de kritieke infrastructuur [in de VS] is eigendom van de particuliere sector. Dat is een heel moeilijke uitdaging. Dat is in veel gevallen uniek voor cyber en vereist dat het ministerie van Defensie en de inlichtingengemeenschap een beetje anders werken. Misschien wat meer openhartig zijn in termen van de informatie die ze bereid zijn te delen met de particuliere sector.
Livingston: Als je historisch over nationale defensie hebt nagedacht, was dat een verantwoordelijkheid van de overheid. Je bouwt een marine, je bouwt een leger, je verdedigt de grenzen. De rol van de particuliere sector daarbij is grotendeels geweest om dat leger of die marine te voorzien van alles wat het nodig heeft. Het heeft zichzelf niet verdedigd. Maar als we 20, 30, 50 jaar vooruit gaan, heb je plotseling een wereld waarin de veiligheid van de natie afhangt van de particuliere sector en niet van de overheid. Wat is de rol van de overheid in een wereld waar mijn veiligheid afhankelijk is van waar mijn nutsbedrijf besluit geld aan uit te geven? Of waar die winstgevende gaspijpleiding geld aan uitgeeft? Of waar die chemische fabriek die 80 kilometer van mij vandaan is, besluit geld aan uit te geven? Dat is een zeer moeilijke kwestie van openbaar beleid en we zullen er niet komen, denk ik, niet totdat er - helaas - een groot incident is.
Koning: Het is me duidelijk geworden dat we geen doctrine hebben, geen strategie en geen beleid dat tegenstanders op enigerlei wijze zal afschrikken om achter ons aan te komen. We zijn een goedkope date. Waarom zou je ons niet aanvallen in het cyberrijk als je dat relatief straffeloos kunt doen? Totdat we een afschrikkend vermogen en ook een betere veerkracht ontwikkelen, zal dit blijven gebeuren.
Het goede nieuws is dat we het meest bedrade land ter wereld zijn. Het slechte nieuws is dat we het meest bedrade land ter wereld zijn. Dat maakt ons het meest kwetsbaar.
• In een eerdere versie van dit artikel stond dat Sandra Joyce vice-president van global intelligence is bij FireEye. Ze is senior vice-president.