Кібервійна

Визначення та таксономія кіберопрерацій

Кібервійна охоплює спектр державних і недержавних операцій у кіберпросторі. Основні категорії: кібершпигунство (несанкціонований доступ для збору розвідувальних даних без видимого ефекту), кіберсаботаж (руйнування, пошкодження або дисфункція систем — Stuxnet, атаки на енергомережу) і операції впливу (маніпуляція інформацією, дезінформація, злам і витік — «hack and leak»; операції GRU в 2016 виборах у США). Межа між категоріями часто розмита: шпигунство може перетворюватись на саботаж у мить активації. Талліннський посібник (2013, 2017) — неофіційне наукове видання, що систематизує застосування міжнародного права до кіберопрерацій — є найближчим до правової бази, але юридично необов'язковий.

Знакові кіберінциденти

Stuxnet (2010): перша кіберзброя проти ядерної інфраструктури · NotPetya (2017): $10 млрд збитків · SolarWinds (2020): 18 000 організацій · Colonial Pipeline (2021): дефіцит пального на Сх. узбережжі США · Viasat (2022): перший удар в день вторгнення Росії

Знакові кібератаки

Stuxnet (2010)

США+Ізраїль атакували центрифуги ВАТ «Натанз» в Ірані. Перша зброя, що завдала фізичного ушкодження без фізичного проникнення. Уповільнила ядерну програму на роки

NotPetya (2017)

Вирвався через М.Е.Doc (укр. бухгалтерське ПЗ), атрибутований GRU Росії. Знищив мережі Maersk, Merck, FedEx — $10 млрд кумулятивних збитків

SolarWinds (2020)

SVR (ФСБ) впровадив бекдор у оновлення Orion software — 18 000 організацій (включно Microsoft, FireEye, Мін. фінансів США) скомпрометовано

Colonial Pipeline (2021)

Ransomware DarkSide вразив найбільший паливопровід США — $4.4 млн викупу, черги на заправках, оголошення НС у ряді штатів

Кіберправо та міжнародне гуманітарне право

Талліннський посібник (Tallinn Manual on the International Law Applicable to Cyber Warfare) — розроблений НАТО-асоційованими правознавцями у 2013 і перероблений у 2017 р. — є найбільш авторитетним аналітичним документом щодо застосування МГП до кіберопрерацій. Ключові висновки: кібератаки є «застосуванням сили» за ст. 2(4) Статуту ООН, якщо за своїм масштабом і ефектами аналогічні традиційним атакам; «кібервійна» відповідає порогу «збройного конфлікту», якщо кібератаки спричиняють людські жертви або значну матеріальну шкоду; цивільні об'єкти критичної інфраструктури захищені від нападу; однак визначення «цивільного об'єкта» у кіберконтексті надзвичайно дискусійне.

Часті запитання

Атрибуція — встановлення справжнього виконавця кібератаки — є, мабуть, найскладнішою технічною і юридичною проблемою кібербезпеки. Технічні труднощі: зловмисники рутинно використовують ланцюжки проксі-серверів у різних юрисдикціях; скомпрометовані машини третіх сторін (ботнети) здійснюють атаки без відома власників; TTP (Tactics, Techniques and Procedures) APT-груп можна скопіювати або підробити («false flag»); інструменти публічно доступні (Metasploit, Cobalt Strike). Методологія атрибуції поєднує: технічний аналіз malware (код, інфраструктура C2, TTP), OSINT (отриману розвідку), HUMINT (людські джерела в спецслужбах). Тому «золотий стандарт» атрибуції (зв'язок операції з конкретною службою + наміри) практично завжди залишається на рівні «з високою мірою впевненості», а не «за межею розумного сумніву». Це свідомо підтримується державами: «правдоподібне заперечення» (plausible deniability) є перевагою кібероперацій. Публічна атрибуція стала стратегічним інструментом (оголошення звинувачень проти GRU, APT10) — але юридичного значення без механізму примусу у виконанні вона не набуває.

Питання про те, коли кібератака перетинає поріг «збройного нападу» і дає право на самооборону (ст. 51 Статуту ООН), є центральною проблемою кіберправа, і однозначної відповіді немає. Консенсус Талліннського посібника: кібератака, що за своїм ефектом є еквівалентом традиційного збройного нападу (масові жертви, руйнування критичної інфраструктури, значна матеріальна шкода), може вважатись «збройним нападом» і активувати право на самооборону. Практичні складнощі: більшість кіберопрерацій перебувають у «сірій зоні» нижче цього порогу (шпигунство, незначний саботаж) — де традиційна самооборона не застосовується. Реальна практика: жодна держава офіційно не оголосила «законної самооборони» у відповідь на кібератаку. Але США неодноразово відповідали на кібератаки санкціями, дипломатичними висилками, кіберконтрзаходами. НАТО у 2019 р. визнало кіберпростір «оперативним доменом» і заявило, що кібератака може активувати ст. 5 (але рішення приймається консенсусом кожного разу). Невирішеною залишається проблема пропорційності: яка відповідь на NotPetya ($10 млрд збитків) є пропорційною?

Зв'язок між державними спецслужбами та приватними кримінальними хакерськими групами є одним із найбільш серйозних аналітичних питань. Є кілька моделей взаємодії: «harboring» (притулок) — держава дозволяє групам діяти на своїй території, не переслідуючи їх, за умовою незаподіяння шкоди «своїм» і часткового шерингу результатів; «tasking» — спецслужба ставить завдання або надає цільові дані, кримінальна група виконує; «freelancing» — після відставки або звільнення офіцери переходять у приватний сектор, зберігаючи зв'язки. Кейс-студія: Росія. ФСБ/GRU взаємодіє з групами Evil Corp (Maksim Yakubets, особисто під санкціями OFAC), Cozy Bear (APT29, атрибутована CIB ФСБ), Fancy Bear (APT28, GRU). Розгром REvil (DarkSide): «несподівано» з'явився, «несподівано» зник після Colonial Pipeline — і «несподівано» ФСБ «заарештувала» його членів (2022) — покращення стосунків або внутрішня суперечка? Casus belli: Colonial Pipeline вразив критичну інфраструктуру США. Байден особисто зателефонував Путіну. Через місяць REvil/DarkSide зникли. Де закінчується кримінал і починається держава — принципово непрозоро.

Захист критичної інфраструктури (CI/CIP — Critical Infrastructure Protection) є стратегічним пріоритетом для більшості держав після атак на електромережі (Україна 2015-2016, Texas 2021), водопостачання (Oldsmar, Florida 2021) і лікарні. Ключові принципи: сегрегація (air-gap критичних систем від відкритих мереж, де це можливо), зниження поверхні атаки (мінімізація зовнішнього доступу до OT/ICS-систем), «defense in depth» (кілька незалежних рівнів захисту), регулярний penetration testing і аудит вразливостей, план реагування на інциденти і відновлення (incident response, DR). Регуляторні підходи: США мають сектор-специфічні стандарти (NIST CSF, NERC CIP для енергетики, TSA директиви для трубопроводів після Colonial). ЄС NIS2 Directive (2022) встановлює мінімальні вимоги для 18 «essential sectors». Реальна проблема: більшість CI належить приватному бізнесу, що має стимули мінімізувати витрати на безпеку — без регуляторного тиску. Міжнародна координація через FIRST (Forum of Incident Response), ENISA, Cybersecurity Information Sharing Acts є необхідною, але недостатньою.

Оборонна кіберстратегія зосереджена на захисті власних мереж, виявленні і нейтралізації атак, відновленні після інцидентів. Наступальна — на активному вторгненні в мережі противника з метою збору розвідки, зриву операцій або превентивного виведення з ладу систем. Ключова дилема: «defense is hard, offense is cheap» — асиметрія між вартістю атаки і захисту. Одна вразливість дає атакуючому точку входу; захисник має закрити всі. «Hack back» — приватні компанії, що відповідають кібератаками на зловмисників — є незаконним у більшості юрисдикцій і ризикованим (можна вдарити по невинному проксі). «Forward defense» / «defend forward» (US Cyber Command): американська стратегія передбачає проактивні операції в мережах противника для виявлення і зриву атак до їх початку — «engaging as far forward as possible». Ця стратегія ефективна, але розмиває межу між шпигунством і ескалацією. «Persistent engagement»: постійна присутність в ключових мережах противника задля попередження атак і впливу на рішення. Ця концепція є предметом гострих дебатів — ескалаційний ризик реальний.

НАТО офіційно визнало кіберпростір «оперативним доменом» на Варшавському саміті 2016 р. і підтвердило, що кібератака може активувати ст. 5 Вашингтонського договору (колективна самооборона). Однак детальне трактування є навмисно розмитим. Ключові проблеми: поріг (яка кібератака є «збройним нападом» за ст. 5?); атрибуція (рішення консенсусом — всі 32 члени мають погодитись з відповідальністю і відповіддю); пропорційність (яка відповідь є пропорційною і чи має вона бути кіберу відповіддю?). Практичний досвід: після атак на Естонію (2007) НАТО НЕ активувало ст. 5, хоча Естонія прямо запросила. Після NotPetya — відповіддю стали спільні атрибуції і «координоване висилання дипломатів», а не воєнна відповідь. НАТО Cyber Rapid Reaction Teams допомагають членам при великих атаках, але без обов'язкових відповідей. Попри ескалаційну риторику, НАТО виявляє суттєву обережність у кіберреакції — усвідомлюючи, що чітко визначений поріг може бути «запрошенням» до операцій нижче нього.

Заборона атак на цивільні об'єкти є фундаментальним принципом МГП (Женевські конвенції, Додаткові протоколи 1977 р.). У кіберпросторі її застосування є формально визнаним, але практично надзвичайно складним. Принцип розрізнення: атаки мають спрямовуватись виключно на законні воєнні цілі; цивільна CI (електромережа, місцяні лікарні) не є законними цілями. Принцип пропорційності: навіть атака на воєнні системи заборонена, якщо її «collateral damage» для цивільних є надмірним. Проблеми: у кіберпросторі межа між цивільним і воєнним дещо розмита — та сама інтернет-інфраструктура використовується і цивільним, і воєнним трафіком; «dual-use» об'єкти (телекомунікації, електромережі) є воєнними цілями при певних умовах. NotPetya 2017 р. атакувала переважно українські компанії і державні установи, але «вирвалась» на глобальні мережі — що є потенційним порушенням МГП. Нормативна реальність: жодна держава не була притягнута до юридичної відповідальності за кібератаки на цивільну інфраструктуру. Відповідальність залишається переважно дипломатичною і «нормативною» (репутація), а не юридичною.

Zero-day вразливості — невідомі розробнику ПЗ недоліки безпеки, що можуть бути використані хакерами до виходу виправлення — є «валютою» кіберопрерацій. Ринки zero-day включають: легальні bug bounty програми (компанії платять дослідникам за повідомлення вразливостей), брокерів (Zerodium, Crowdfence — посередники між дослідниками і покупцями), урядових покупців (NSA, GCHQ, ЦРУ, FSB — купують вразливості для розвідувальних і наступальних операцій), закриті тіньові ринки. Ціни: zero-day iOS вразливість може продаватись за $1-2.5 млн. Zerodium публічно оголошує розцінки. «Vulnurability equities debate»: коли спецслужба купує zero-day, вона має вирішити — повідомити виробника (захистити всіх, але втратити інструмент) чи зберегти (мати інструмент, але всі залишаються вразливими). Shadow Brokers (2016-17) «злили» NSA-інструменти в мережу — включно з EternalBlue, що пізніше використовувався у NotPetya і WannaCry, завдавши мільярди збитків. Відсутність прозорості ухвалення рішень щодо розкриття вразливостей є серйозним дефіцитом підзвітності в системі кіберуправління.

Квантові комп'ютери представляють екзистенційну загрозу для сучасних систем шифрування з відкритим ключем (PKI). Суть загрози: алгоритм Шора (1994) дозволяє квантовому комп'ютеру ефективно вирішувати проблему факторизації великих чисел — математичну основу RSA і ECC. Квантовий комп'ютер з ~4000 «логічних» кубітів (при сучасному рівні помилок — набагато більше «фізичних» кубітів) міг би зламати RSA-2048 за лічені години. Поточний стан: у 2024 р. найкращі публічно відомі квантові системи (IBM Condor, 1121 qubits) не мають достатньо kубітів і занадто низьку точність для «криптографічно значущих» задач. Оцінки: більшість аналітиків вважають «криптографічно релевантний» квантовий комп'ютер можливим у 2030-2045 рр. «Harvest now, decrypt later» (HNDL): спецслужби вже збирають зараз зашифрований трафік з планами розшифрувати його в майбутньому. Відповідь: NIST у 2024 р. стандартизував post-quantum алгоритми (CRYSTALS-Kyber для шифрування, CRYSTALS-Dilithium для підписів). Перехід на PQC є масштабним завданням — охоплює TLS, VPN, PKI, підписи ПЗ, апаратні ключі. Розпочинати треба зараз.

Спробуйте наживо

Усе, що вище, працює прямо у вашому браузері — відкрийте Evacuation Simulation і змінюйте параметри під час роботи. Нічого не встановлюється, нічого не завантажується на сервер, уся модель живе в одній вкладці.