Du kan kanskje forsvare deg mot angrep fra hacktivister og til og med fra organiserte kriminelle grupper. Men lykke til med å utfordre en nasjonalstat.

Myndighetene har flere cyberressurser til rådighet enn en hær av ransomware-skurker. Det inkluderer vestlige. For bevis, se bare på NSAs datasenter til 1.5 milliarder dollar i Utah, som behandler exabyte med klassifiserte data. Så hvis en av dem vil komme etter deg, uansett hvilket flagg de vifter med, bør du ha et ganske godt forsvar.

Den amerikanske regjeringen (som i seg selv ikke er ukjent med offensive operasjoner i cyberspace) har slått alarm om nasjonalstaters digitale aggresjon i årevis nå. I januar 2024 så vi Kongressens vitneforklaring av FBI-direktør Christopher Wray, der han avslørte at Kinas hackere er 50 ganger så mange som FBIs cyberpersonell. Slik statistikk krever økte investeringer for å beskytte nasjonal infrastruktur, advarte han.

Tidligere har overtredelser begått av utenlandske regjeringer ofte vært økonomiske. Men etter hvert som geopolitiske spenninger øker, utvides motivasjonene. Kort tid etter Wrays vitneforklaring uttalte Cybersecurity and Infrastructure Security Agency (CISA) advarte at aktører sponset av den kinesiske regjeringen posisjonerte seg i vestlige IT-nettverk. Dette vil gjøre det mulig for dem å forstyrre eller ødelegge kritisk infrastruktur i USA dersom de to landene noen gang skulle komme i konflikt. Med krig om Taiwan som ser ut til å stadig mer sannsynlig i løpet av de neste årene er dette en klar og nærværende fare.

Dette er langsiktige initiativer, og ikke nye. Historier om utenlandske aktører som lurer i nasjonale strømnett har florert i årevis. Og en fersk CISA-veiledning advarte om at Volt Typhoon hadde vært uoppdaget inne i målnettverk i fem år.

Salt Typhoon, en annen kinesisk kampanje som fokuserer på telekommunikasjonsselskaper, er «det verste telekomhakket i nasjonens historie så langt», ifølge Mark Warner, leder av Senatets etterretningskomité. Angrepet rammet opptil ni amerikanske teleselskaper, inkludert AT&T, Verizon og T-Mobile, i tillegg til andre i en rekke land.

Kina er ikke den eneste nasjonalstatsaktøren med en krigersk holdning i cyberspace. Nord-Korea er beryktet for sine angrep på kryptovalutainfrastruktur. Tross alt må de finne pengene til sine utrolige synkende krigsskip et sted fra.

Russland har også vært aktiv med grupper, inkludert APT44 (også kjent som Sandworm), som var ansvarlig for angrepene på Ukraina som dateres tilbake til 2015, sammen med NotPetya fra 2017 og nylige angrep på amerikansk infrastruktur, inkludert et vannanlegg i Texas.

Et argument for trusselinformert forsvar

Trusler fra nasjonalstater styrker argumentene for forebyggende cybersikkerhet, som fokuserer på å komme angripere foran. Det krever et skritt utover rent reaktive tiltak som programvareoppdateringer, mot solid trusselinformasjon og trusseljakt basert på motstandernes verktøy, teknikker og prosesser (TTP-er).

I stedet for utelukkende å stole på samsvar med avmerkingsbokser, betyr det at både myndigheter og privat sektor bør prioritere kritiske eiendeler basert på nasjonalstatlige målrettingsmønstre.

For å gjøre det, må du vite hva fienden din driver med. Josh Steinman, administrerende direktør i cybersikkerhetsavdelingen Galvanic, var seniordirektør for cyberpolitikk og assisterende assistent for presidenten under den første Trump-administrasjonen. Han har blikket festet på Kina.

«Jeg tror det kinesiske kommunistpartiet og deres militære etterretningsapparat allerede er i en situasjon vi ville beskrevet som en krigstid», sa han i en komité for tilsyn og regjeringsreform. hørsel om Salt Typhoon i april. «De mener at det er den holdningen de burde ha døgnet rundt, og de bruker språk for å prøve å kommunisere til oss at de ikke er i den posisjonen.»

Steinman snakket også om offensiv sikkerhet, noe den første Trump-administrasjonen oppmuntret til ved å fjerne restriksjoner på militære operasjoner i cyberspace.

«Ved å innta en mer aggressiv holdning for å slå tilbake mot disse angriperne, kaster vi sand i våpenet deres. Vi tvinger dem til å bruke tid og krefter på å forsvare seg mot våre motangrep», sa han. «Disse kan håndteres på nasjonalt nivå, eller de kan være det stikkende landingspunktet i selskapet som disse cyberaktørene går etter.»

Tusen små hus

Andre eksperter på høringen kom med forslag til unnvikende tiltak som både offentlige og private organisasjoner kunne iverksette. Disse inkluderte å investere i neste generasjons infrastruktur i stedet for bare å lappe eksisterende sårbarheter.

Dr. Edward Amarosa, administrerende direktør i TAG InfoSphere og professor ved NYU, var også tidligere senior visepresident og CISO hos AT&T. «Å lete etter hullene og fikse dem er ikke måten vi kommer oss ut av dette på. Jeg tror vi må designe helt ny infrastruktur og begynne å finne en måte å til slutt gå over på,» sa han til lovgiverne. «I vår verden ville vi kalt det neste generasjons infrastruktur, og jeg tror det er noe vi må gjøre. Det kan høres ut som et stort løft, men jeg ser ingen annen måte.»

Amarosa beskrev det å «slå et hus i tusen biter», noe som gjorde det vanskeligere å angripe alt på én gang. Selv om han ikke nevnte navnet direkte, er dette direkte knyttet til nulltillitsprinsipper for arkitektur, som beveger seg bort fra den strenge perimetertilnærmingen til å sikre mange individuelle eiendeler.

Nulltillit er et konsept som offisielt er godkjent av CISA i sin Zero Trust Maturity Model, sammen med veiledning om styrking av telekommunikasjonsnettverk gjennom robust nettverkssegmentering. Den ga råd om sistnevnte i sin respons til Salt Typhoons telekommunikasjonsinfrastruktur kompromittert.

NIST tilbyr også en grunnleggende nulltillitsprinsipp rammeverk med syv kjerneprinsipper for nasjonalstatsforsvar. Det ga også veiledning om implementering av denne arkitekturen som svar på Executive Order 14028, utstedt under Biden-tiden, som påla innføring av nulltillitssikkerhet.

Samarbeid er nøkkelen

Hva annet kan IT-sjefer gjøre? Implementering av robust ende-til-ende-kryptering er et must, sa professor Matt Blaze ved Georgetown Law, som påpekte at det gjør angrep på infrastruktur meningsløse, og bare etterlater endepunktene å forsvare. Imidlertid er det alltid spøkelset med kvantedatamaskiner å vurdere, som nasjonalstater vil forfølge for å prøve å knekke hverandres asymmetrisk krypterte nøkler. Andre defensive tiltak inkluderer bruk av kunstig intelligens og avansert teknologi for å oppdage og forhindre cybertrusler.

Eksperter har også understreket viktigheten av samarbeid i denne sammenhengen. Offentlig-privat samarbeid er avgjørende, slik at bedrifter og myndigheter kan utveksle informasjon i en mer etterretningsdrevet sikkerhetsbevegelse.

Men den andre typen samarbeid er den som skjer mellom vennligsinnede nasjoner, og som er så viktig når man forsvarer seg mot en felles fiende. Det er ser stadig mer usikker ut under en svært isolert amerikansk administrasjon. Denne svekkelsen av amerikanske bånd med land som tidligere var nære venner, kan gi begrepet «nulltillit» en ny, mørkere betydning.