Украина стала полигоном для кибервойны

В рамках кибератаки, которая недавно была осуществлена на сайты госучреждений Украины, произошло уничтожение данных в ряде госорганов. Это сообщение на сайте Госспецсвязи означает, что необъявленная кибервойна против нашего государства продолжается. И хотя есть периоды относительного затишья, всеобщей картины это не меняет. Мы видим постоянный рост количества кибератак на 10–12% за квартал.

"Атака-13": следует из страны-агрессора

Очередной мощный киберудар был нанесен в ночь с 13 на 14 января 2022 (в соцсетях ей предоставили тег #attack13). Ничего подобного по результатам не было уже много лет. Пострадали 70 сайтов (в том числе и вебресурсы Министерств), а 10 даже подверглись непосредственному вмешательству в базу данных.

Злоумышленники (скорее всего, из страны-агрессора) воспользовались известными уязвимостями в системах администрирования веб-сайтов (CMS), а также несанкционированным доступом к ИТ компании, разрабатывающей, поддерживающей и администрирующей большинство сайтов государственных органов. Атаковали по давно отработанной схеме – получили несанкционированный доступ к поставщику услуги CMS (supply chain attack). Собственно, все как в 2014 году с "визиткой Яроша", как в 2015 году - в ситуации с "Прикарпатьеоблэнерго" и в 2017 году - в ситуации с вирусом NotPetya (тогда "взломали" компанию Медок). Итак, тактика страны-агрессора остается неизменной: кибервойна как составляющая всеобщей агрессивной войны против Украины. Так что с внешним фактором вроде бы более-менее понятно и ожидаемо. По крайней мере, в экспертной среде.

Почему не защищаемся

И все же иногда создается впечатление, что отдельные государственные органы живут в другой реальности. Ибо о кибербезопасности говорят одно, а делают другое.

Во-первых, при недавней атаке произошло слишком длительное обновление сайта "Судебная власть". В Государственной судебной администрации Украины тратят достаточно средств и на защиту системы, и на администрирование Реестров. Но почти два дня нельзя было не только просмотреть соответствующие файлы в Реестре судебных решений, но и зайти на отдельные субдомены соответствующих судов. Смех сквозь слезы, но знакомым адвокатам звонили по телефону клиенты и удивленно говорили о том, что "суды сломались". На мой взгляд, нет ничего хуже для государства, чем эти слова простых граждан.

Во-вторых, нельзя было не обратить внимание на обновленный сайт Уполномоченного по правам человека. На разработку этого вебресурса было потрачено ориентировочно 3,5 млн грн (точную цифру узнаем после соответствующего депутатского запроса, который уже направлен по назначению). Возможно, оно бы и стоило израсходованных средств, если бы (как это и предполагалось в Техническом задании к тендеру) действительно реализовался максимальный уровень защиты от кибератак. Только этого не было сделано. Оказалось, что сайт построен на CMS October, из-за уязвимости системы которого, собственно, и была проведена атака 13 января. И это мое мнение подтверждается заключением команды из Центра разведки угроз Microsoft (MSTIC), работающей вместе с Госспецсвязи, СБУ и Минцифры в рамках заключённого еще в 2014 году соглашения о сотрудничестве Government Security Program. Возникает логичный вопрос, о какой защите персональных данных можно говорить, если Омбудсмен (в ведении которого пока находится эта сфера) не может защитить даже собственный сайт.

Впрочем, будем объективны – это проблема не только Офиса Уполномоченного, но и многих других государственных органов. Поэтому Украина не имеет права просто ждать следующих атак, не задумываясь об обороне.

Когда заработает цифровой архив?

Кибератака – это не только потеря или повреждение, но часто и банальное похищение важных государственных данных или чувствительной информации простых граждан. В этом аспекте наиболее актуальным вопросом станет работа Национального центра резервирования государственных информационных ресурсов (НЦРГИР).

Центр должен был заработать еще 1 ноября 2021 (соответствующее постановление КМУ было принято еще 8 февраля прошлого года). Но, несмотря на наличие политической воли, разработанной нормативной базы и относительно небольшой суммы расходов (называются цифры от 100 до 318 млн грн), так называемый цифровой архив государства до сих пор не заработал. Впрочем, главная его функция была бы очень кстати во время "атаки-13", поскольку из резервного хранилища всех данных государственного значения, можно было бы восстановить все поврежденные данные за считанные часы. А так мы до сих пор не знаем, что именно из данных потеряно в Моторно-транспортном бюро (единственный сайт, который до сих пор восстанавливается, по крайней мере, на время написания статьи). И уже были бы совершенно катастрофические последствия, если бы была повреждена, скажем, та же "ДИЯ". Большое значение будет иметь наличие защищенных дата-серверов и в случае дальнейшего развития электронного судопроизводства. Ведь разгул хакеров в судебных решениях может привести к непоправимому.

Уверен, что запуск центра после событий 13 января значительно ускорится.

Косвенно об этом свидетельствует и скорость, с которой ко второму чтению был подготовлен законопроект №4378 от 13.11.2020. Уже после обеда 14 января на сайте Верховной Рады был согласован текст, согласно которому предполагается внести изменения в законы Украины "О Государственной службе специальной связи и защиты информации Украины" (статья 1) и "Об основных принципах обеспечения кибербезопасности Украины" (статьи 1 и 6). Согласно проекту органы государственной власти, органы прокуратуры, Нацполиции, СБУ, НАБУ, ДБР и другие органы, осуществляющие правоприменительные или правоохранительные функции, государственные предприятия, учреждения и организации создают резервные копии государственных электронных информационных ресурсов (отражены в электронном виде государственные информационные ресурсы ), которые находятся в их владении или распоряжении и оказывают непосредственное влияние на их постоянное функционирование, и передают их на хранение в Государственную службу специальной связи и защиты информации Украины".

Очевидно, что система резервирования данных будет существовать, а Центр – работать. Вопрос только в том, как именно будут передаваться данные для архивирования и будут ли сотрудники Центра иметь доступ к базам данных. Следует четко прописать, что данные (тех же реестров) будут передаваться в архивы в зашифрованном виде, и Центр будет выполнять роль эталонного депозитария цифровых данных – не больше, но и не меньше. И если в случае повреждения или потери данных государственный орган запросит их восстановление – Центр сможет оперативно решить этот вопрос относительно любого реестра данных. Поэтому в законопроекте 4378, как минимум, не хватает одного нюанса: определить, на какое время будут передаваться персональные данные в архив, кто будет иметь к ним доступ и как часто они будут обновляться.

Другими словами, если НЦРСИР будет исповедовать принципы защиты персональных данных – никаких замечаний не будет. В конце концов, время на доработку проекта никак не влияет на сроки приведения в порядок помещения по адресу г. Киев, ул. Дорогожицкая, 10, где будет находиться Единый центр обработки данных № 1 Центра и закупки соответствующего оборудования (серверов). Тем более, что, по словам представителей спецслужб, и это место выбрано не очень удачно, потому что не отвечает техническим и функциональным требованиям по сооружению такого центра, а также требованиям к серверному помещению. В частности, один из моих собеседников указывал на следующие недостатки: "Помещение не может пройти экспертизу на TIER3 (время остановки 1,6 часа в год, коэффициент отказоустойчивости 99,982), не говоря уже о TIER4 (работа ЦОД без остановки, коэффициент отказоустойчивости 99,995).

Кибербезопасности – самый высокий приоритет

Еще на встрече в Брюсселе в 2016 году министры обороны государств Североатлантического Альянса признали киберпространство оперативной зоной военных действий на уровне с сушей, морем, воздухом. Отныне должны понимать, что реформа кибербезопасности и защита персональных данных – вещи неотъемлемые.

А напоследок процитирую слова одного из специалистов по вопросам кибербезопасности, который по моей просьбе сделал важное обобщение на тему, почему Украина вновь оказалась неготова к вполне прогнозируемым кибератакам страны-агрессора: “Почему предыдущий опыт не был учтен? И о каких внутренних проблемах это свидетельствует? А свидетельствует это об отсутствии национальной системы кибербезопасности – именно как системы. В стране примерно девять дежурных центров по киберзащите, отвечающих за кибербезопасность, каждый в своем направлении. Создается впечатление, что для некоторых стран Украина выступает как полигон, из событий на котором они могут тестировать новые технологии кибервойны, кибероружие и практики их применения. Ничего не имею против боевой практики для кибервойск в аспекте киберобороны и возможностей кибернападения, но почему исключительно на мощностях Украины? И так ли случайно буквально три недели назад США и Британия прислали в Украину своих экспертов, якобы "помочь Украине защититься от кибератак". Только не было никаких заявлений, информации и прогнозов этих экспертов.

И еще один момент. Сколько средств из Госбюджета предусмотрено на развитие национальной киберзащиты согласно Стратегии кибербезопасности Украины на 2021-2025 годы? Вопрос риторический. А вот Великобритания, например, под реализацию своей первой Стратегии кибербезопасности (на 2013-2015 годы) заложила 1 миллиард фунтов, а под имплементацию второй (на 2016-2021) – почти 2 миллиарда фунтов и создала полноценный Центр кибербезопасности с соответствующим бюджетом на его развитие и содержание".

Выводы очевидны, учитывая внутренний ИТ потенциал украинских специалистов – главное достойно организовать их работу и привлекать к работе лучших из лучших.

Поэтому вместе с коллегами из МДО "Люди" будем осуществлять парламентский контроль над надлежащим развитием электронных ресурсов и кибербезопасностью в Украине, особенно в судебной ветви власти.