Документът също така се фокусира върху подпомагането на жертвите, отразявайки опитите на бюрото да насърчи повече компании да споделят информация с него.
ВАШИНГТОН — ФБР заяви в сряда, че възнамерява да официализира и ускори съвместните си операции по пресичане на злонамерени хакерски дейности.
Новата стратегия на бюрото, състояща се от четири части, описва как то ще разследва, атрибутира и неутрализира кибератаки; бързо ще взаимодейства с жертвите и ще споделя полезна информация; ще партнира с други агенции и частния сектор; и ще подобрява собствените си възможности чрез набиране на кадри, обучение и нови инструменти.
„Нашата стратегия наистина е фокусирана върху преминаването от досегашния ад-хок начин, по който извършваме [неутрализирането на заплахи] … към по-устойчиво и постоянно темпо“, заяви Брет Лийтърман, помощник-директор на отдел „Киберсигурност“ във ФБР, по време на реч на срещата Billington Cybersecurity Summit.
ФБР вече значително оглави и участва в повече операции по пресичане на киберпрестъпления през последните няколко години. Скорошни мащабни операции бяха насочени срещу ботнет от рутери на руското военно разузнаване, домейни, използвани от китайското правителство за атаки срещу критична инфраструктура на САЩ, и групата за откупен софтуер (ransomware) AlphV. Новата стратегия на бюрото обаче отразява опасенията на правителствени служители, че дори това увеличено темпо не е достатъчно.
Средата на киберзаплахи „става неустойчива за защита от една-единствена организация и трябва да внесем последователност в подхода си“, каза Лийтърман. „Всеки ден трябва да изпращаме екипи от 56-те регионални офиса на [ФБР], за да помагаме на жертви, които са обект на постоянни атаки.“
Като част от новата стратегия, екипите на ФБР, фокусирани върху противодействието на конкретни заплахи — от Русия и Китай до киберпрестъпници — ще разработят свои персонализирани планове. Екипите, фокусирани върху специфични видове операции, включително нападателен хакване и разследване на пробиви в операционни технологии (OT), също ще разработят пригодени стратегии.
Успокояване на колебаещите се компании
Една от целите на кибер стратегията е да убеди компаниите, че трябва да съобщават за киберинциденти на ФБР, тъй като то се стреми да им помогне и няма да споделя техните доклади с регулаторните органи.
„Напоследък наблюдаваме голямо колебание от страна на организациите бързо да предоставят информация, която би подпомогнала правоприлагащите операции“, заяви Лийтърман пред журналисти след речта си.
ФБР отчита спад в готовността на компаниите да споделят информация през последните няколко години, което е продължение на дългосрочна тенденция. „Не знам точно на какво се дължи това“, каза Лийтърман. Той отдава това частично на „несигурността относно ползата от ФБР в киберпространството“ и частично на „притесненията относно регулаторната среда и какво ФБР може или не може да сподели с регулаторите“.
Бюрото се опитва активно да се справи с опасенията на бизнеса, включително чрез срещи с юридически фирми, специализирани в съветването на компании при реагиране на киберинциденти.
„Това ме тревожи“, каза Лийтърман относно нежеланието на компаниите да си сътрудничат с ФБР. „Тревожи ме, когато дадена организация стане жертва на пробив от държавно спонсориран атакуващ и вярва, като смята, че намесата на правоохранителните органи може да бъде по-рискована, отколкото справянето самостоятелно. Това трябва да тревожи всички ни.“
Той подчерта, че нито една компания не е в състояние сама да премахне хакери на китайското правителство от мрежите си по-добре, отколкото с помощта на ФБР.
„Виждаме неща чрез нашите правомощия в киберпространството, които нито една компания за реагиране на инциденти не вижда“, заяви Лийтърман по време на форума. „Ако се свържете с нас рано, можем да предоставим разузнавателни данни за заплахи и оперативно съдействие, каквито не можете да получите никъде другаде.“
Лийтърман призова ръководителите да се консултират с правните си екипи отрано, за да се чувстват по-уверени при взаимодействието си с ФБР. „Твърде често виждам как минават седмици, в които външните юридически съветници възпрепятстват потока от информация към ФБР“, каза той. „Обсъжданията се провеждат в компрометирани мрежи и в резултат на това киберпрестъпниците придобиват предимство и могат да се окопаят още по-дълбоко.“
Сътрудничеството също така носи ползи за цялостната екосистема, отбеляза той. „Ранното съобщаване от страна на жертвите и навременното предоставяне на информация ни позволява да противодействаме на автори на заплахи, които бързо се придвижват из инфраструктура в САЩ, Европа и извън тях.“
В миналото ФБР се въздържаше от споделяне на съществена информация с организации, която би могла да им помогне да се защитят, от страх да не застраши чувствителните си разследвания. Това обаче се промени през последните години, сподели Лийтърман пред медиите.
„Значително променихме перспективата си относно бързото и по-често споделяне на информация в сравнение с минали години, когато я запазвахме за оперативни възможности“, заяви той.
Това е изисквало „културна промяна“ вътре в отдел „Киберсигурност“ на ФБР, където агентите са свикнали строго да пазят техническите подробности за работата си, за да не предупредят противниците си.
Сега „нашата позиция е: споделяй до последно“, каза Лийтърман. „Това, което винаги питам екипа си, е: ако жертвата или потенциалната жертва седеше в тази стая точно сега, щеше ли да иска тази информация и какво е основателното ни оправдание да не я споделим веднага, за да спрем щетите, вместо да чакаме пълна операция?“
„Във всяка ситуация, в която разполагаме с разузнавателни данни, трябва да приемем гледната точка на жертвата, защото тя не може да изрази позицията си в този момент“, добави той. Ако бюрото „може да защити стотици обекти от критичната инфраструктура, ние трябва да споделим тази информация.“
Разширяване на хакерските партньорства
Основна тема в кибер стратегията на ФБР е желанието на бюрото да си партнира с повече организации при операции по неутрализиране на киберзаплахи. Разследванията му обаче могат да се сблъскат с нови предизвикателства, тъй като администрацията на Тръмп прилага инициатива, позволяваща на частни компании да извършват хакерски атаки срещу чуждестранни киберпрестъпни групи от името на правителството на САЩ. Експерти предупреждават, така че некоординирани кибератаки биха могли да попречат на наблюдението на ФБР върху чуждестранни цели.
Лийтърман заяви пред журналисти, че е твърде рано да се прогнозират ефектите от новата инициатива на Белия дом, отбелязвайки, че Министерството на правосъдието все още „работи по изясняване на рамките и границите на това как тези правомощия се прилагат за индустрията спрямо правоприлагащите органи“. Той обаче подчерта, че Министерството на правосъдието и Министерството на вътрешната сигурност ще одобряват и надзирават стриктно частните хакерски дейности.
„Това не е ситуация, при която индустрията сама ще избира цели и ще ги атакува независимо“, каза той.
Междувременно новата стратегия на ФБР предвижда собствените операции на бюрото по пресичане на заплахи да увеличат своята честота и обхват.
„За разлика от изчакването на големи съвместни последователни операции, които се случват брой пъти годишно“, каза Лийтърман, „ще започнете да виждате все повече значими операции, защото сме ангажирани в тази спешна и постоянна възможност да неутрализираме противниците.“
Целта на бюрото е „да превърне индустрията в оперативен партньор в тази борба“, каза той, „а не просто в субект, с когото разменяме оперативни данни за заплахи.“