Ugroze u kibernetičkom prostoru golem su izazov poslovnim subjektima, državama i savezima. Upravo stoga potrebno je žurno povećati sposobnosti institucija za reakciju na njih…

Nova računalna bolest zaprijetila je sredinom svibnja cijelom svijetu, napala pojedince i organizacije u stotinjak zemalja, ugrozila rad nekih vitalnih institucija, primjerice britanskog zdravstvenog sustava NHS (National Health Service). Riječ je bila o samoreplicirajućem računalnom virusu koji kriptira podatke na zaraženom računalu ili poslužitelju. Vijest je učas obišla globus, ali vrlo brzo počela i nestajati iz medija, koji su koristili i sintagme poput najveći hakerski napad u povijesti. Priča nije zaobišla ni Hrvatsku. Da bismo se držali službenih izvora, citirat ćemo priopćenje MUP-a od 13. svibnja: “S obzirom na veliki interes medija o novoj vrsti računalne ugroze koja se tijekom petka 12. svibnja proširila diljem svijeta, kao i na području Republike Hrvatske pod nazivom Wanna Decryptor, Wannacry ili Wcry, te upita da li je Ministarstvo unutarnjih poslova i pojedine Policijske uprave na području Republike Hrvatske bilo izloženo navedenom samoreplicirajućem računalnom virusu, dajemo slijedeće priopćenje: Ministarstvo unutarnjih poslova tijekom jučerašnjeg dana evidentiralo je određene smetnje u internetskom sustavu, zbog čega su stručne službe unutar sustava reagirale i otklanjaju navedeno. Informacijski sustav Ministarstva unutarnjih poslova pritom nije bio ugrožen i normalno funkcionira.” Istog je dana MUP priopćio i da državni Zavod za sigurnost informacijskih sustava intenzivno prati razvoj nove računalne ugroze, te je na internetu javno objavio upute za izbjegavanje, detektiranje i saniranje posljedica napada virusa. Dakle, čak i ako velika prijetnja za sustave MUP-a i drugih institucija te pojedince u Hrvatskoj možda i nije postojala, shvaćena je ozbiljno i reakcija je bila prilično brza.

USB kao oružje
Povećanu pozornost prema bilo kakvim kibernetičkim ugrozama zadnjih godina vidimo i u MORH-u i OSRH. Možda i najbolja potvrda zacrtanog smjera, da su prevencija i odvraćanje najbolja obrana, stigla je krajem travnja, kad je na Gašincima provedena vježba Paukova mreža 2017. Bila je to prva nacionalna vježba iz područja obrane od kibernetičkih napada na stacionarne i razmjestive komunikacijsko-informacijske sustave, a na njoj su uz pripadnike OSRH aktivno sudjelovali i predstavnici nacionalnih tijela iz područja kibernetičke obrane te hrvatske akademske zajednice.
“Šira javnost upoznata je s četirima tradicionalnim domenama ratovanja: kopnom, morem, zrakom i svemirom. Zadnjih se dvadesetak godina s razvojem računala, interneta i informatičke tehnologije pojavio kibernetički prostor kao zaseban medij,” kaže nam brigadir Bruno Bešker, načelnik Odjela za sigurnost komunikacijsko-informacijskih sustava GS OSRH, koji je bio direktor spomenute vježbe. Dakle, za ratovanje mogu biti dovoljni smartphone, laptop, USB, nekakav nevini program u Wordu, a u sukob mogu biti uključene države, tvrtke, institucije….

Nenasilni neprijatelj
Spada li Wannacry u ono što vojne organizacije poput NATO-a i službeno zovu ratovanjem i prijetnjama? Je li riječ rat ipak pretjerana za nešto u čemu nema vojski niti pušaka? Čini se da definicija rata poznatog britanskog teoretičara rata Alexandera Moseleyja, koju nalazimo u Hrvatskoj enciklopediji, ipak dopušta da nije pretjerana. Naime, iako je rat u užem smislu oružani sukob jedne ili više zemalja, on je “(…) u širem smislu, stanje organiziranoga, po trajanju unaprijed neograničenoga kolektivnog sukoba koje uključuje nasilne, ali i nenasilne neprijateljske čine”. Moseley u knjizi A Philosophy of War smješta cyber ratovanje u postmoderno ratovanje, dakle, definira ga kao rat, no precizira da u to ne spadaju pojedinačni, izolirani hakerski udari, jer činovi vandalizma ili pljačke, kako ih naziva, nisu ratni činovi. Kibernetičko ratovanje povezuje s klasičnim ratovanjem u smislu da se provodi usporedno ili isprepleteno s oružanim sukobom.
Ipak, knjiga je izdana 2007. godine, a značaj kibernetičke dimenzije ljudskog društva otad je toliko povećan da je vrijeme da se u njoj navedene definicije promijene.

Definiranje granica
“Napadač može imati različite ciljeve: informacijsko manipuliranje, širenje panike, oštećenje ili uništenje ključne infrastrukture kao što su elektrane, komunikacijski sustavi, željeznice, cestovne signalizacije, banke itd., a napadi mogu biti i sredstvo za prikupljanje informacija,” kaže brigadir Bešker, no naglašava i da “(…) granice kibernetičke bojišnice u takvom ratovanju nije lako prepoznati niti definirati.” Dodali bismo da je jednak slučaj i sa sukobljenim stranama. Primjerice, dok se ne otkriju pojedinci ili organizacija koja je u svijet poslala Wannacry, teško će se otkriti kakav je bio motiv napada, dakle, definirati je li riječ o ratu ili tek o vandalskom činu, kako kaže Moseley.
Miroslav Štampar iz Zavoda za sigurnost informacijskih sustava predstavljao je na vježbi Paukova mreža zajedno s kolegama iz civilstva protivničku stranu, tj. napadače. Oni su, sukladno scenariju, morali pokušati detektirati ranjivosti i pogreške u konfiguraciji sustava i servisa, onemogućavati rad sustava, zatim ovladavati sustavom, eksploatirati podatke i koristiti sustav za krajnje destruktivne akcije. Pripadnici OSRH trebali su obraniti sustav od tih napada.

Vodeća pozicija u OSRH
U Zavodu smatraju da Oružane snage RH trebaju biti na jednoj od vodećih pozicija na razini Republike Hrvatske u području kibernetičkog ratovanja, kaže Štampar i podsjeća da se u zadnjih nekoliko godina sve više primjećuje porast aktivnosti koje kolokvijalno možemo nazvati hibridnim ratovanjem, u kojem uz oružane sukobe diljem svijeta postoji i značajan porast primjene nekonvencionalnih metoda. U te metode ubraja i kibernetičko ratovanje koje definira kao “(…) vrstu ratovanja koja premješta fokus sa stvarne bojišnice u virtualni svijet kako bi se došlo do sinergijskog učinka u fizičkoj i psihičkoj dimenziji sukoba unutar glavnog borbenog prostora.” Štampar izdvaja dvije glavne vrste kibernetičkog ratovanja. Prva su napadi na (kritičnu) informacijsku infrastrukturu u kojima napadači pokušavaju uskratiti uslugu (engl. Denial of Service) na pojedine servise, efektivno lančano onemogućujući pravilan rad ostalih servisa u sustavu. Glavni je primjer te vrste napada onaj iz 2014., u kojem su hakeri s pomoću specijaliziranog zloćudnog koda (BlackEnergy) napali industrijske, vladine i medijske sustave u Ukrajini te na nekoliko sati uspješno isključili iz energetskog sustava oko pola kućanstava u Ivano-Frankivskoj oblasti. Štamparov kolega Tonimir Kišasondi s varaždinskog Fakulteta organizacije i informatike podsjeća da su napadači tad uspjeli prekinuti dovod električne energije na područje s oko 1,4 milijuna stanovnika.

Napadi na izborne stožere
Druga vrsta napada koju Štampar navodi uključuje neovlašten pristup informacijama, u kojem napadači preko ciljanih napada na pojedine korisnike pokušavaju doći do povjerljivih ili osjetljivih informacija. Najznačajniji su primjeri te vrste napada u zadnju godinu dana oni na izborne stožere pojedinih kandidata na izborima u SAD-u i Francuskoj. U SAD-u je napadnut DNC (Democratic National Committee), upravljačko tijelo Demokratske stranke, gdje je došlo do velikog curenja, tj. objave arhive e-pošte tijekom izbora. Sličan scenarij odigrao se i u Francuskoj, u drugom krugu predsjedničkih izbora, kad je došlo do curenja arhive e-pošte predsjedničkog kandidata Emmanuela Macrona. “U obama je slučajevima prikazana želja za utjecajem na demokratski proces u nekoj zemlji i pokušaj utjecaja na izbore s ciljem ostvarivanja napadačevih interesa,” kaže Kišasondi te ističe da “(…) u svim napadima, od DNC-a do BlackEnergy kampanje, cilj napada nije bio direktno poslužitelj ili mrežna infrastruktura, nego korisnik koji je imao dovoljnu razinu pristupa da bi napadači mogli realizirati svoj cilj.
Analizom popratnih događaja, prije svega curenja biranih podataka, utvrđeno je da je glavni motiv napadača bila diskreditacija pojedinih kandidata u svrhu povećanja protukandidatovih izgleda na skorim izborima.

Globalna sigurnost
Spomenuti primjeri, kao i još tisuće i tisuće drugih, potvrđuju da su ugroze u kibernetičkom prostoru golem izazov poslovnim subjektima, državama i savezima. Upravo stoga potrebno je žurno povećati sposobnosti institucija za reakciju na njih. “Potrebno je ostvariti suradnju na globalnoj razini, promicati razumijevanje tog kompleksnog područja te razvijati svijest o ugrozama u kibernetičkom prostoru na svim razinama državnih institucija, kao i u privatnom sektoru. Također je vrlo važno uskladiti i izgraditi međunarodni pravni okvir za osiguravanje kibernetičke sigurnosti te pronalaziti najbolja rješenja za ostvarivanje globalne kibernetičke sigurnosti,” kaže brigadir Bešker. Naravno, kad govorimo o globalnom, za Hrvatsku su najvažniji NATO i EU. Prošle su godine te dvije organizacije poduzele zaista velike korake. U veljači su NATO-ov NCIRC (NATO Computer Incident Response Capability) i EU-ov CERT-EU (Computer Emergency Response Team) potpisali sporazum o suradnji na području cyber sigurnosti. Konačno, Sjevernoatlantski savez je na samitu održanom prošlog srpnja u Varšavi, u sklopu Deklaracije koju su potpisali čelnici članica, cyber prostor prepoznao kao novo područje operacija, a s EU-om je potpisao Zajedničku deklaraciju o suradnji u suprotstavljanju hibridnim prijetnjama (više u tekstu Snježane Dukić: Odgovor na cyber prijetnje, HV, 506, srpanj 2016., op. aut.).

Funkcioniranje institucija
Što se tiče Hrvatske, vrlo su značajni pomaci primijećeni u dokumentu koji je upućen u javnu raspravu. U Nacrtu prijedloga strategije nacionalne sigurnosti jasno su navedene moguće ugroze i prijetnje u kibernetičkom prostoru i njihove posljedice, te činjenica da će uspješno suočavanje s njima omogućiti ovladavanje novim znanjima i tehnologijama, kao i stalna i kvalitetna međunarodna suradnja. “Republika Hrvatska razvijat će mjere jačanja otpornosti informacijskih i komunikacijskih sustava u kibernetičkom prostoru, kao i smanjivanja negativnih posljedica njihova ugrožavanja ili onesposobljavanja. Težište će biti na sustavima koji su ključni za normalno funkcioniranje državnih institucija te pohranu, prijenos i razmjenu klasificiranih te osobnih podataka građana,” stoji među ostalim u Nacrtu u kojem je cyber prostor naveden kao jedna od domena u kojima obrambeno djeluju Oružane snage RH (uz kopno, more i zrak). “Operativno angažiranje u zemlji, a naročito u inozemstvu, iziskuje sigurno, potpuno, neometano i učinkovito korištenje informacijsko-komunikacijskih sustava, što zahtijeva snažnu, učinkovitu i otpornu kibernetičku infrastrukturu. Potrebno je omogućiti i poboljšati postojeću razmjenu i raspodjelu informacija, iskustava i procjene prijetnji i rizika između nacionalnih dionika, drugih zemalja i međunarodnih organizacija,” zaključuje se u Nacrtu.

Nema izolacije
Sudeći po riječima brigadira Beškera, Oružane snage RH već uvelike djeluju u tom smjeru: “Intenzivno razvijamo sposobnosti obrane od ugroza iz kibernetičkog prostora, jednako kao i s kopna, mora i iz zraka. Razvijamo naprednu obranu naše infrastrukture te osiguravamo jaku i elastičnu kibernetičku obranu potrebnu za ispunjenje osnovnih zadaća OSRH. Međutim, ne ponašamo se kao da smo na izoliranom otoku, nego razvijamo sposobnosti obrane kroz multinacionalne projekte, edukaciju, obuku i vježbe, kao i razmjenu informacija sa saveznicima i partnerima u izgradnji kibernetičke obrane. Želimo osigurati da pripadnici OSRH budu svjesni ugroza iz kibernetičkog prostora, obučeni za obranu od kibernetičkih ugroza, a podaci Oružanih snaga RH sigurni i raspoloživi za izvršenje svih postavljenih zadaća.”

Ključ uspjeha
Vezano uz planove za budućnost, brigadir Bešker i njegovi suradnici usredotočit će napore na razvoj punih sposobnosti za obranu infrastrukture i računalnih mreža Ministarstva obrane i OSRH. To uključuje uspostavu organizacijskih struktura za kibernetičku obranu te integraciju takve obrane u operacije, stacionarne i razmjestive sustave.
Bez obzira na dobro razvijenu suradnju s međunarodnim i civilnim strukturama, kao i obnavljanje softverskih i hardverskih sustava, brigadir Bešker smatra da su korisnici komunikacijsko-informacijskih sustava ipak ključan čimbenik uspjeha. “Intenzivno radimo na uspostavi edukacije za sve pripadnike vezano uz razumijevanje kibernetičkih ugroza te obuke za odgovarajuću obranu. Od vitalnog je značaja praćenje suvremenih trendova, prilagođavanje i neprekidno educiranje. Riječ je o procesu koji neće imati kraja, upravo iz razloga što su komunikacijsko-informacijski sustavi u proteklih dvadesetak godina imali najveću dinamiku razvoja i promjena od svih tehničkih sustava u povijesti,” zaključuje načelnik Odjela za sigurnost komunikacijsko-informacijskih sustava.

Domagoj VLAHOVIĆ, Snimio: Tomislav BRANDT