ЦИФРОВОЙ ТЕРРОРИЗМ И ЕГО ПРОЯВЛЕНИЯ В ВИДЕ КИБЕРАТАК НА КРИТИЧЕСКИ ВАЖНУЮ ЭНЕРГЕТИЧЕСКУЮ ИНФРАСТРУКТУРУ

Введение.

Терроризм перестал быть только физическим проявлением. Экстремисты всё чаще стали использовать цифровые технологии для достижения целей. Но есть и определённая проблематик с тем, что же такое, собственно говоря, «цифровой терроризм». Об этом упоминает в своей работе Далгалы Т.А.: «Отсутствие единообразного определения понятия «кибертерроризм» влечёт определённые трудности не только в доктринальном смысле, но и на законодательном уровне и уровне правоприменения» [6, с.126]. Об этой же проблематике указывает и Перина А.С.: «… даже на международном уровне попытки классифицировать цифровые преступления сводятся к отражению специфики использования современных технологий при совершении той или иной узкой группы преступлений, не отражая общие признаки сущности современных технологий в составе преступления» [9, с. 110]. Поэтому предлагается придерживаться более простого, но вполне актуального понятия данному феномену. «Кибертерроризм – это запланированная кибератака на информационные системы, программы и данные, приводящая к насильственным действиям, которая направлена на достижение политических или идеологических мотивов преступников» [10], – даётся определение на одном из электронных ресурсов. И здесь необходимо понимать, что в этом контексте энергетические объекты в этом контексте – особенно привлекательная цель. Удар по ней мгновенно способен парализовать целые регионы.

Актуальность проблемы закреплена законодательно. Федеральный закон №187-ФЗ прямо относит энергетические объекты к критической инфраструктуре страны, нарушение работы которой чревато тяжёлыми последствиями [2]. Число инцидентов при этом никак не снижается, оно постоянно растёт. А методы злоумышленников становятся более сложными и коварными.

Цель работы – разобраться в цифровом терроризме, который проявляется к энергетике. Какие методы атак используются, чем они заканчиваются и почему обычные защитные меры, которые используются для защиты от террористических атак, часто оказываются недостаточными для защиты.

При подготовке статьи анализировались научные публикации и задокументированные инциденты в области кибербезопасности критической инфраструктуры. Для понимания связи между уязвимостями промышленных либо государственных или же бытовых систем и реальными последствиями их эксплуатации применялся системный подход [7, 8].

Обсуждение и результаты.

Чёткого и общепризнанного определения кибертерроризма, как мы упоминали уже выше, в научном сообществе до сих пор нет. И.Р. Бегишев и З.И. Хисамова понимают под ним: «… общественно опасные деяния с использованием компьютерных средств, направленные против общественной безопасности» [5, с. 87]. Х.А. Аккаева акцентирует другое: «Кибератаки совершаются с целью воровства, шпионажа, запугивания и обострения конфликтов, вплоть до военного мятежа» [3, с. 348]. Принципиальное отличие кибертеррориста от обычного хакера – в мотиве. Не только деньги, но и дестабилизация, и страх.

Энергетическими объектами управляют АСУ ТП – автоматизированные системы управления технологическими процессами. Их ядро составляют SCADA-системы и программируемые логические контроллеры. В своей работе об этом ведут речь К.Алкарас и Ш.Зидалли: «… появились новые стандарты на коммуникационные протоколы SCADA, такие как Modbus-TCP, Distributed Network Protocol (DNP3), IEC-60870-5-104 и InterControl Center Protocol (ICCP, IEC60870-6), регулирующие автоматизацию и управление, а также порядок соединения систем SCADA друг с другом» [4]. Но здесь нужно понимать, что на сегодняшний момент большинство протоколов промышленной проектировались для сугубо изолированных сетей и попросту не предусматривают сколь-нибудь серьёзной аутентификации и шифрования. Это встроенная уязвимость, которую, на наш взгляд, никак не исправить без полной замены оборудования.

К этому добавляется постепенное слияние промышленных и корпоративных IT-сетей. Операционные технологии, прежде полностью изолированные, теперь доступны через корпоративные сети и каналы удалённого доступа. Удобство ценой безопасности.

Реальные атаки на энергетику редко бывают лобовыми. Как правило, всё начинается с фишинга: сотрудник открывает вредоносное вложение – и злоумышленники оказываются внутри корпоративной сети. Дальше следует долгий, незаметный путь к промышленным системам. Порой это занимает месяцы.

Хрестоматийный пример – «червь» Stuxnet, обнаруженный в 2010 году. Его особенность была в том, что он не просто ломал системы. Он незаметно корректировал параметры работы промышленных контроллеров – так, чтобы оборудование разрушалось физически, пока мониторы операторов показывали полную норму [11].

Ещё один задокументированный случай – декабрь 2015 года, Украина. Атакующие одновременно обесточили сразу несколько региональных энергокомпаний. Без света остались больше 200 тысяч абонентов. Вдобавок злоумышленники намеренно уничтожили программное обеспечение диспетчерских рабочих станций - чтобы восстановить электроснабжение было как можно сложнее [12].

Отдельного внимания заслуживают атаки типа «человек посередине». В промышленных сетях с незащищёнными протоколами перехватить и подменить управляющую команду, по нашему мнению, задача вполне выполнимая. Оператор видит на экране одно, а в реальности происходит совершенно другое. На крупном энергообъекте последствия таких манипуляций могут быть катастрофическими.

Последствия успешных атак разворачиваются сразу на нескольких уровнях:

- Непосредственный – отключение электричества, особенно опасное зимой;

- Производственный – аварийные остановки с риском экологических катастроф;

- Экономический – прямые убытки от простоя и затраты на восстановление.

Есть и социально-психологическое измерение. Терроризм в любой форме работает на страх и ощущение беззащитности. Когда свет гаснет из-за хакеров, это не просто бытовое неудобство. Это подрыв доверия к государству, к системе. Именно этого кибертеррористы и добиваются.

Цифровой терроризм в части атак на энергетическую инфраструктуру – не гипотетический сценарий. Это задокументированная реальность. Энергетические объекты уязвимы по трём причинам сразу: они системообразующие, их промышленные протоколы устарели, а сами они оказываются всё теснее связаны с внешними сетями.

Арсенал атакующих широк: от целевого фишинга и многоэтапного проникновения до специализированного вредоносного ПО, способного нанести физический ущерб оборудованию. Противостоять этому в одном направлении не получится. Нужна одновременная работа сразу по нескольким фронтам: техническая модернизация промышленных систем, сегментация сетей, обучение персонала и развитие правовой базы для международного расследования атак на критическую инфраструктуру.

Правовая база в сфере защиты критической инфраструктуры формировалась в России постепенно. Ключевым шагом стало принятие Федерального закона № 187-ФЗ в 2017 году [2]. Он закрепил само понятие критической информационной инфраструктуры, установил обязательные требования к её безопасности и ввёл систему категории объектов по степени значимости.

Также вместе с ним в Уголовный кодекс была введена статья 274.1, устанавливающая ответственность за неправомерное воздействие на критическую информационную инфраструктуру [1].

Злоумышленники могут действовать с территории одной страны, используя инфраструктуру другой, против целей в третьей. Механизмы международного сотрудничества в расследовании таких инцидентов пока развиты слабо. Интерпол, и отдельные двусторонние соглашения существуют, но реальная оперативная координация в большинстве случаев затруднена политическими противоречиями. Террористы об этом осведомлены и умело этим пользуются.

Отдельную проблему представляет атрибуция атак. Доказать, кто именно стоит за конкретным инцидентом, технически крайне сложно. Используются анонимизирующие сети, подставные серверы, методы имитации почерка других группировок. В результате даже при наличии политической воли привлечь виновных к ответственности удаётся редко. Это создаёт ощущение безнаказанности у атакующих.

В техническом отношении защита промышленных систем строится на нескольких принципах, каждый из которых важен сам по себе, но по-настоящему работает только в комплексе.

Сетевая сегментация. Промышленная сеть должна быть физически или логически отделена от корпоративной IT-инфраструктуры. Звучит очевидно. На деле - во многих организациях этого до сих пор нет: слияние сетей происходило постепенно, незаметно, под давлением требований оперативного управления. Теперь разделить их обратно - задача дорогостоящая и технически нетривиальная.

Мониторинг промышленного трафика. В отличие от корпоративных сетей, трафик АСУ ТП крайне предсказуем: одни и те же команды, одни и те же адреса. Современные системы обнаружения аномалий, заточенные под промышленные протоколы, позволяют выявлять угрозы на ранних стадиях, до того, как атакующие добрались до критических узлов.

Управление привилегированным доступом. Значительная часть успешных атак начинается с компрометации учётных записей с широкими правами. Принцип минимальных привилегий, многофакторная аутентификация, контроль удалённого доступа.

Заключение.

Исходя из всего вышесказанного, нужно понимать, что за персоналом необходимо следить, обучать его, чтобы он не совершал ошибок, которые открывают террористам доступ. Человек по-прежнему остаётся самым уязвимым звеном в цепочке защиты. Необходимы регулярные тренинги, учебные фишинговые рассылки, отработка сценариев инцидентов.

Цифровые террористы постоянно адаптируются, находят новые слабости и уязвимости. Защищающиеся вынуждены вследствие этого постоянно двигаться следом, находясь где-то позади. И, на наш взгляд, единственный способ сократить отставание – системный подход, в котором технические меры, правовые инструменты и подготовка людей работают не по отдельности, а как единое целое.

Таким образом, защита энергетической инфраструктуры от цифрового терроризма требует системного и многоуровневого подхода. Угрозы продолжают эволюционировать, и меры противодействия должны развиваться опережающими темпами. Только сочетание технологических решений, подготовки специалистов и эффективного регулирования способно обеспечить устойчивость критически важных объектов в условиях нарастающих киберрисков.