Шесть смешных имен

На протяжении первых лет моей работы над вопросами кибербезопасности произошло семь крупных происшествий, которые убедили меня в серьезности данной проблемы. Во-первых, в 1997 году, когда мы совместно с АНБ проверяли систему кибербезопасности Пентагона в рамках учений приемлемый получатель (Eligible Receiver), наша команда за два дня проникла в секретную сеть командования и была готова отдавать ложные приказы. Я поспешил свернуть учения. Помощник министра обороны был шокирован уязвимостью Пентагона и приказал всем подразделениям приобрети и установить системы обнаружения несанкционированного вмешательства. Вскоре выяснилось, что каждый день совершались тысячи попыток проникнуть в сети Министерства обороны. И это только выявленные случаи. В 1998 году, во время кризиса в Ираке, кто-то взломал несекретные компьютеры Министерства обороны. В ФБР атаку назвали «Восход солнца» (многим тогда пришлось проснуться). После нескольких дней паники выяснилось, что нападали не иракцы, а израильтяне. Точнее, один подросток из Израиля и два из Калифорнии. Они и показали, как плохо защищена сеть военной логистики.

В 1999 году ВВС заметили что-то странное в работе своей компьютерной сети. Они обратились в ФБР, те позвонили в АНБ. Выяснилось, что из исследовательских файлов авиабазы было похищено огромное количество данных. Гигантские объемы информации извлекались из компьютеров Министерства обороны и баз данных национальных ядерных лабораторий Министерства энергетики. Этот случай в ФБР получил название «Лунный лабиринт», и он тоже оказался показательным. Никто не мог разобраться в происходившем, ясно было только, что данные пересылались через множество стран, прежде чем попасть куда-то. Два особенно тревожных аспекта заключались в том, что специалисты по компьютерной безопасности не смогли воспрепятствовать похищению данных, даже когда узнали о проблеме, и никто не мог с уверенностью сказать, откуда действовали хакеры (хотя позднее некоторые публично возложили ответственность за атаку на русских). Каждый раз, когда устанавливалась новая защита, ее взламывали. Затем в один день атака прекратилась. Или, скорее всего, они стали действовать так, что мы этого уже не могли видеть.

В начале 2000 года, когда мы все еще сияли от счастья, что удалось избежать «ошибки 2000», ряд новых интернет-магазинов (AOL, Yahoo, Amazon, E-Trade) подверглись мощной DDoS-атаке (для большинства людей этот термин был тогда в новинку). Это был первый «большой взрыв», который затронул множество компаний и едва не разорил их. Мотивы понять было сложно. Никто не выдвигал никаких требований, не делал политических заявлений. Казалось, кто-то проверял идею тайного захвата множества компьютеров и использования их для атаки. (Этим кем-то, как позднее выяснилось, оказался помощник официанта из Монреаля). Я отнесся к этой DDoS-атаке как к возможности заставить правительство напомнить частному сектору о необходимости серьезно относиться к кибератакам. Президент Клинтон согласился принять руководителей компаний, пострадавших от атаки, а также директоров инфраструктурных предприятий и IT-компаний. Это была первая встреча президента в Белом доме с руководителями частных компаний по проблеме кибератак И по сей день последняя. Впрочем, разговор оказался весьма откровенным, он открыл глаза многим и привел к тому, что все согласились с необходимостью серьезнее работать над проблемой.

В 2001 году новая администрация Буша прочувствовала эту проблему на собственной шкуре, когда «червь» Code Red заразил более 300 тысяч компьютеров за несколько часов, а затем превратил их в зомби, запрограммированных на проведение DDoS-атаки на веб-сайт Белого дома. Мне удалось рассредоточить сайт Белого дома на 20 тысячах серверах с помощью компании Akamai, благодаря чему мы избежали тяжких последствий (а также убедили нескольких поставщиков интернет-услуг отвести атакующий трафик). Вылечить зараженные компьютеры оказалось сложнее. Многие компании и индивидуальные пользователи не стремились удалять «червя», несмотря на то что он заражал другие компьютеры. Да и мы не имели возможности заблокировать этим мапщнам доступ в сеть, хотя они и регулярно рассылали вредоносное ПО. В дни, последовавшие за террористической атакой 29 сентября, быстро распространился еще более серьезный «червь» — NIMDA (Admin наоборот). Он был нацелен на компьютеры самой защищенной сферы — финансовой. Несмотря на изощренную защиту, многие банки и компании с Уоллстрит были выкинуты в офлайн.