Кибератаки, vol 13

"Эстонский "кибернетический бунт" был запланирован, а его тайный руководитель до сих пор остаётся загадкой" (InformationWeek, Larry Greenemeier)

Из-за того, что большая часть экономики Эстонии полагается на интернет, отключение большей части интернета привело к тому, что граждане не могли заниматься самыми простыми делами, такими как покупка молока, хлеба или бензина. По прошествии нескольких месяцев после того, как запущенные против балтийской страны Эстонии кибернетические атаки поставили её на колени, возникла ясность в вопросе опасности направленных кибернетических атак и последствий глубокой экономической зависимости от интернета - пусть даже личность организатора атак остаётся загадкой. Чрезвычайное положение в Эстонии оказалось уникальным потому, что интернет-соединение может быть заблокировано во всей стране, принимая во внимание то, насколько малой она является - примерно 45,000 квадратных километров территории - и насколько сконцентрированы её пользователи интернета.

Эта особенность явилась "опредилителем успеха," сказал в четверг на конференции "Black Hat USA 2007" в Лас Вегасе Гэдай Эврон (Gadi Evron), евангелист компьютерной безопасности. Из-за того, что большая часть экономики Эстонии полагается на интернет, отключение большей части интернета привело к тому, что граждане не могли заниматься самыми простыми делами, такими как покупка молока, хлеба или бензина. С учётом этого Эстония видоизменила национальную инфраструктуру таким образом, что бы она включала в себя провайдеров услуг интернета, вебсайты СМИ и домашние компьютеры, потеря которых оказала на страну глубокое влияние.

После того, как Советский Союз развалился в 1991, Эстония отстроила свою инфраструктуру с нуля. От веба зависит значительная её часть, даже парламентская избирательная система страны. На самом деле примерно 99% эстонцев пользуется банковскими услугами в режиме онлайн, сказал Эврон, бывший израильский правительственный менеджер по вопросам безопасности интернета и основатель программы чрезвычайных компьютерных происшествий Израиля, CERT.

Атаки начались 27 апреля, и серверы, поддерживающие большую часть подвергнувшихся нападению правительственных вебсайтов вначале держались хорошо. Интенсивность атак возросла в течении дня, так что правительство перевело свои сайты на новые сервера, которые было легче защитить. В этот момент на некоторых сайтах эстонцы зафиксировали рост потоков трафика до 1000 раз выше обычного. На следующий день день эстонцы стали понимать, что эти атаки являлись скорее "кибернетическим бунтом", чем простым взлётом активности, сказал Эврон. Действительно, атакующие стали использовать русские блоги для эффективного вовлечения русских в ряды нападающих, пойдя даже на такой шаг как предоставление средним по уровню компьютерным пользователям инструкции по атаке эстонских вебсайтов. Один комментарий в блоге рекламировал взносы на счет в "PayPal" с целью сбора денег для найма ботнетов использовавшихся против Эстонии. "Блогосфера реагировала на то, что происходило в Эстонии и как она защищала себя," - добавил он. С этой точки зрения кибернетические атаки против Эстонии напоминали управление толпой или массовой психологией, для которой использовали в качестве средства подстрекательства интернет. Другим элементом атак были ботнеты, находившиеся полностью вне Эстонии. Одна конкретная атака происходила из специально созданных ботов, помещённых во множество компьютеров, а цель атаки была глубоко закодирована в коде ботов, сказал Эврон. "Они не размножались и не контролировались из единого центра управления," - добавил он. "Такой тип атак встречался и ранее, однако он не слишком распространён. Это показывает существование определённого планирования" - которое было совершено перед атакой.

Один из исследователей в сфере безопасности, старший менеджер "Postini" Адам Суиндлер (Adam Swidler) верит, что авторы терроризирующего сегодня веб-червя "Storm" были и авторами эстонских атак. Эстонский "CERT" продолжал работать во время всей атаки, пытаясь вернуть системы страны обратно в онлайновый режим. Его реакция на инцидент оказалась полезной, сказал Эврон. И когда его ресурсы оказались исчерпаны, эстонский "CERT" обратился за помощью к "CERT-Bund" в Германии, "CERT-FI" в Финляндии и "SI-CERT" в Словении. Одним из приёмов обороны Эстонии было добавление приложений "Cisco Guard distributed denial-of-service mitigation", которые постепенно замедлили скорость атак с 4 Mbps до 1.2 Mbps и до 150 Kbps. Четыре мегабита в секунду не обязательно является крупной атакой, однако "она была достаточного размера для Эстонии," - сказал Эврон. "Более важен её результат. Спамовая атака против эстонского парламента привела к двухдневному отключению." Отключились два сетевых рутера.

Хотя русские и были заняты в кибернетической атаке, атаки не были запущены самой Россией. Эврон был абсолютно уверен в том, что ответов на вопрос, кто конкретно запустил атаку и какая часть её была заранее спланирована, не будет. "Никто не может сказать," - добавил он. "Интернет идеально подходит для уверенного отрицания. В информационной войне вы знаете своих оппонентов, соперников и врагов, но вы не знаете, кто на самом деле атакует."

Ссылки:

InformationWeek. Estonian 'Cyber Riot' Was Planned, But MasterMind Still A Mystery. Larry Greenemeier. August 3, 2007.