Pieci iemesli, kāpēc uzlaušana ir kiberdrošības haosa recepte

Konceptuāla ilustrācija, kas parāda uzlaušanu atpakaļ Sallija Tērere

Dažreiz, kad tehnoloģiju politikas veidotāji mēģina atrisināt problēmu, viņu ierosinātā ārstēšana tikai pasliktina situāciju. Tas noteikti attiecas uz ASV tiesību aktu projektiem, kas dotu kiberuzbrukumu upuriem iespēju nomedīt savus aizdomās turamos uzbrucējus.

Likumprojekts, kas pazīstams kā Aktīvās kiberaizsardzības noteiktības likums vai saīsināti ACDC, paredz ļaut upuriem mēģināt izsekot uzbrucējiem, ievadot to organizāciju sistēmas, par kurām, viņuprāt, hakeri ir izmantojuši uzbrukumus. Bieži vien šīs organizācijas var būt citi uzņēmumi, kas nezina, ka viņu datori ir apdraudēti. Spēkā esošais ASV likums aizliedz šāda veida vajāšanu, kas ir pazīstama kā uzlaušana. Tikai dažām valsts aģentūrām, piemēram, FIB, ir tiesības šādā veidā medīt aizdomās turētos hakerus.

Nesen ASV Kongresā iesniegtā likumprojekta atbalstītāji apgalvo, ka FIB un citas valdības aģentūras jau ir pārņemtas ar kiberuzbrukumiem, tostarp izpirkuma programmatūru, kas ir paralizējusi datorsistēmas tādās pilsētās kā Atlanta un Baltimora, kā arī masveida datu zādzības lielos uzņēmumos. kā Marriott viesnīcu ķēde . Teorētiski, dodot uzņēmumiem un privātpersonām tiesības pašiem nodarboties ar medībām, tas atbalstītu aģentūru centienus.

Cīnās pretī

ASV valdība ir norādījusi, ka tā izmanto aktīvāku pieeju lai novērstu kiberdraudus . Taču ACDC likumprojekta atbalstītāji, republikāņu kongresmenis Toms Greivss un demokrāts Džošs Gotheimers apgalvo, ka uzņēmumiem un citām privātā sektora organizācijām ir vajadzīga lielāka brīvība sevi aizstāvēt. Viņi arī saka, ka daži uzņēmumi jau ir iesaistījušies dažos digitālās modrības veidos un ka viņu likumprojekts notīrītu juridisko pelēko zonu ap to.

Ierosinātais tiesību akts (kura pilns teksts ir atrodams stāsta apakšā) grozīs esošo ASV likumu, Datoru krāpšanas un ļaunprātīgas izmantošanas likumu (CFAA), lai ļautu uzņēmumiem un privātpersonām uzlauzties, lai atrastu pastāvīgos uzbrucējus. Viņi arī varētu uzraudzīt hakeru sistēmas un traucēt to darbību.

Likumprojektā teikts, ka jaunās pilnvaras ir jāizmanto tikai kvalificētiem aizstāvjiem, kuriem ir liela pārliecība par savu uzbrucēju identitāti. Viņiem ir jāinformē FIB un jāmeklē norādes no tā pirms uzlaušanas — un jādara viss iespējamais, lai nesabojātu trešo pušu sistēmas un neizraisītu karadarbības eskalāciju.

Tas viss var izklausīties saprātīgi, taču ACDC likums ir nopietni kļūdains, jo:

1. Lielākajai daļai uzņēmumu trūkst prasmju, lai uzņemtu sarežģītus uzbrucējus

Likumprojektā nav teikts, kas tieši kvalificē uzņēmumu vai privātpersonu kā kvalificētu aizstāvi. Šī neskaidrība var ļaut visu veidu uzņēmumiem uzlauzt atpakaļ. Bet, lai gan, teiksim, Google gandrīz noteikti ir zināšanas, lai to paveiktu efektīvi, daudzi citi to nedarīs.

Šons Vepners, bijušais ASV Aizsardzības departamenta kibervirsnieks, kurš tagad strādā kiberdrošības uzņēmumā Nisos, uzskata, ka uzlaušanu vislabāk ir atstāt valdību ziņā. Viņš saka, ka tikai dažiem cilvēkiem ir nepieciešamā pieredze un zināšanas, lai to izdarītu niansēti un kontrolēti.

2. Ir patiešām grūti precīzi zināt, kurš ir aiz kiberuzbrukuma

Hakeri ir apmulsināšanas meistari un parasti sedz savas pēdas, izmantojot tādas lietas kā viltotas IP adreses un uzlaušanas rīkus. izstrādājuši citi . Ir arī ļoti grūti pārliecināties, ka dators, kas, šķiet, ir aiz uzbrukuma, pats nav uzlauzts. Tas var viegli izraisīt nepareizu sistēmu mērķauditorijas atlasi.

3. Likumprojekts nenodrošina reālu aizsardzību, ja lietas noiet greizi

Ir ļoti viegli nodarīt netīšu kaitējumu nevainīgu pušu datoriem. Pat vismodernākie hakeri dažreiz izsūknē kodu, kam ir neparedzētas sekas.

Pennas štata universitātes profesore Anne Toomey McKenna norāda, ka pat tad, ja ACDC likums tiktu pieņemts, tas joprojām radītu uzņēmumiem dārgas civilprasības gan federālā, gan štatu līmenī, ja tie kaitētu citu ASV uzņēmumu datoriem vai datiem. Un, ja viņi sabojāja sistēmas ārvalstīs, no tiem joprojām var tikt iekasēta maksa saskaņā ar vietējiem pretuzlaušanas likumiem. Viņa saka, ka tas uzņēmumiem paver durvis [atkāpties], taču tas tos īsti neaizsargā.

4. Likumprojekts neizbēgami novestu pie postošām represijām

Tiesību akta projektā teikts, ka tiem, kas uzlaužas, jācenšas nepalielināt karadarbību. Taču hakeri nedomā viegli uztvert uzbrukumus savām sistēmām. Tā kā upuru digitālajā aizsardzībā jau ir konstatētas plaisas, viņi varētu tos vairāk izmantot, ja tiks provocēti.

5. Privātie uzņēmumi varētu nonākt konfrontācijā ar nacionālajām valstīm

Tiek uzskatīts, ka tādas valstis kā Ziemeļkoreja, Krievija un Irāna ir aiz dažiem lielākajiem kiberdraudiem, ar kuriem šodien saskaras uzņēmumi. Noteikti nebūtu ieteicams tos uzņemties vienam uzņēmumam.

Sandra Džoisa no kiberdrošības uzņēmuma FireEye uztraucas, ka, ja ACDC likumprojekts tomēr tiks pieņemts, tas varētu arī radīt precedentu, kas mudinās citas valstis mīkstināt savus pretuzlaušanas likumus. Dažām valstīm var rasties kārdinājums uzņēmumiem atvieglot atgriešanos, nekā tas ir ASV. Tas radītu vēl lielāku kiberkatastrofas risku, brīdina Džoisa.

Labāka pieeja būtu uzņēmumiem koncentrēties uz savas aizsardzības stiprināšanu. Daudzus pārkāpumus joprojām izraisa pamata drošības kļūdas, piemēram, slikti aizsargātas paroles un kļūdas regulāri atjaunināt programmatūru.

Tajā pašā laikā ASV ir vairāk jāstrādā ar saviem sabiedrotajiem, lai veicinātu starptautiskās normas, kas palīdzētu mazināt spriedzi kibertelpā. Tādu tiesību aktu pieņemšana kā ACDC likums tikai radītu likumīgu ceļu uz vairāk hakeru elli.

paslēpties