Dlaczego Atak nie jest najlepszą Obroną?

Czy ktoś z Was zastanawiał się nad zastosowaniem kontrataku w momencie, gdy jesteście atakowani w Internecie?
Czy można w akcie „cyfrowej samoobrony” zrealizować lub zlecić kontratak?

Co mówi prawo?
Polskie prawo posiada szereg artykułów związanych z Obroną Konieczną.

Definicja Obrony Koniecznej może być, albo bardzo prosta (za to ogólna), albo bardzo szczegółowa (i skomplikowana).
W ogólnej definicji Obrona Konieczna to okoliczność wyłączająca bezprawność czynu zabronionego.

Atak informatyczny w polskim prawie jest czynem zabronionym (o czym pisałem np. tutaj ).
W przypadku cyberprzestrzeni mamy dodatkowy problem – brak terytorialności.

Ataki informatyczne pochodzące z poza terytorium Polski nie podlegają polskiej jurysdykcji.
Czy to automatycznie daje nam prawo do kontrataku, uzasadnionego Obroną Konieczną?

Tutaj pojawia się problem. Prawo międzynarodowe nie reguluje w ogóle takiej aktywności, będącej reakcją na atak informatyczny.
W NATO, po ataku na Estonię w 2007r. powstało opracowanie naukowe - Tallinn Manual on the International Law Applicable to Cyber Warfare, które dość szczegółowo rozpatruje kwestię cybernetycznego kontrataku.

1. Kontratak powinien być proporcjonalny do ataku.
To taki odpowiednik z prawa karnego, gdzie Obrona Konieczna nie dopuszcza „zbyt mocnej obrony”, czyli zastosowania sposobu obrony niewspółmiernej do niebezpieczeństwa.

3. Nie powinno się kontratakować ludności cywilnej, czy pojedynczych obywateli, pod warunkiem, że nie biorą oni czynnego udziału w „działaniach wojennych”.
Nie ma natomiast problemu z kontratakiem na członków służb mundurowych czy członków grup militarnych. Można kontratakować osoby fizyczne (spełniające powyższe warunki), ale nie wolno atakować obiektów cywilnych.
Kontratak skierowany np. na elektrownię atomową czy szpital może być potraktowany jak akt terroru.

4. Dopuszcza się nie tylko kontratak w cyberprzestrzeni, ale także atak fizyczny.
W praktyce oznacza to wysłanie oddziału wojsk specjalnych lub agentów służb specjalnych.

Tyle mówią podstawowe reguły kontrataku, opracowane w ramach pracy naukowej dla NATO. Jednak sam dokument w dalszym ciągu nie daje prawa, ani nie uzasadnia kontrataku.
Co ciekawe, zbyt aktywny kontratak w cyberprzestrzeni może być potraktowany jako działanie zbrojne przeciw innemu krajowi.

Obowiązkowe zasady kontrataku
Wbrew pozorom kontratak wcale nie jest prostym działaniem. O ile atakujący nie przejmują się przepisami prawa, o tyle kontratakujący już takiego komfortu nie ma. Dlatego wszystkie działania odwetowe muszą być bardzo mocno przemyślane i udokumentowane. Ale po kolei.

Identyfikacja atakującego
To najtrudniejsza część zadania. Jak w cyberprzestrzeni zidentyfikować atakującego? Teoretycznie wystarczy zarejestrować adres IP. Ale?

Po pierwsze, atakujący mógł zastosować spoofing, czyli zafałszować pakiety wykorzystane do ataku, gdzie jako nadawcę podać fałszywy adres IP.

Po trzecie, do ataku może zostać użyta sieć botnet (pisałem o tym tutaj). W takim wypadku właściciele systemów czy komputerów, z których przeprowadzono atak, nie są świadomi, że uczestniczą w ataku.
Widać zatem, że już samo zdefiniowanie atakującego w cyberprzestrzenii to wyzwanie samo w sobie. Ale to nie koniec problemów.

Określenie kategorii atakującego
Skoro nie wolno nam atakować obiektów cywilnych, to musimy mieć pewność, że atakowane systemy komputerowe należą do jakiejś organizacji zbrojnej lub osób prywatnych „uczestniczących w działaniach wojennych”. Dlaczego?

Nie tak dawno, miała miejsce awaria systemu informatycznego naszego narodowego przewoźnika LOT. Pierwotną przyczyną miał być atak DDoS na ten system.
Analiza po ataku wykazała, że faktycznie powodem awarii była atak DDoS, z tą różnicą że to system informatyczny LOT został wykorzystany do wykonania ataku DDoS.

W efekcie, gdyby zaatakowany chciał zastosować „zasadę odwetu” to faktycznie przypuściłby cyfrowy szturm na cywilny system linii lotniczej.
W każdym cywilizowany kraju, taki atak zakwalifikowany zostałby jako akt terroru.
A to wciąż nie koniec problemów.

Proporcjonalność
Wybór środków i metod kontrataku wcale nie jest taka prosta.
Skoro reguła Obrony Koniecznej definiuje, że nie dopuszcza „zbyt mocnej obrony”, czyli zastosowania sposobu obrony niewspółmiernej do niebezpieczeństwa, to nie możemy wykonać kontrataku o zdecydowanie poważniejszych konsekwencjach.

To kolejny problem.
Jak dobrać formę ataku w cyberprzestrzeni, aby nie podpaść pod zarzut „przekroczenia Obrony Koniecznej”?

Odwoływalność
To kolejny wymóg. Wykonywany kontratak powinien dać się w dowolnej chwili zatrzymać.
Nie możemy przygotować działań odwetowych, których nie możemy potem zastopować. Czyli nie wystarczy zlecić jakiejś grupie hakerów realizacji ataku, ale trzeba mieć możliwość zatrzymania realizacji takiego zlecenia.
Zwłaszcza, gdy okaże się że efekty ataku zaburzają choćby zasadę Proporcjonalności czy też cel ataku okaże się obiektem cywilnym.

Zawsze trzeba być przygotowanym na scenariusz, gdy atak trzeba będzie odwołać, ograniczyć czy zatrzymać.
Dotyczyć to może także wszelkiego rodzaju działań typu cyberpułapek (to osobny temat, który poruszę w którymś z najbliższych artykułów). Podobnie jak w przypadku wojskowych min, tak i w cyberprzestrzeni jest możliwość budowania „pól minowych”. Realizacja takiego scenariusza musi zakładać, że będziemy w stanie „rozbroić” nasze „cybernetyczne miny”.

Monitoring efektów
To najtrudniejsza część kontrataku.
Jeżeli stajemy się stroną atakującą, to musimy mieć sposób na to, aby obserwować skutki takiego ataku. I nie chodzi tutaj wyłącznie o satysfakcje, że atak się udał.

Może się okazać, że atakując jakiś węzeł informatyczny, tak naprawdę wpłyniemy na jakieś inne systemy informatyczne, które otrzymają błędne dane.
Na podstawie takich danych dokonana zostanie błędna analiza i w konsekwencji uruchomiony zostanie błędny mechanizm czy procedura.

Cyberszpiegostwo lub cyberprzestępstwo
Dobierając formę kontrataku także trzeba uważać, aby metoda nie zakwalifikowała takich działań jako szpiegostwa, np. przemysłowego, państwowego czy kradzieży danych osobowych.

Znane są historie, gdzie agenci służb specjalnych danego kraju porywali obywateli innego kraju (np. podczas ich zagranicznej wycieczki czy urlopu).
Wszystko po to, aby swoim obywatelom pokazać skuteczność egzekucji prawa.

Wbrew pozorom zacieranie śladów takiej aktywności wymaga sporej wiedzy o systemach informatycznych, systemach transakcyjnych czy reguł działania samego Internetu.
Nawet płatności via Bitcoin wymagają paru ważnych czynności, aby nie zostać zidentyfikowanym jako płatnik.

Podsumowanie
Choć informatyczny kontratak w reakcji na cybernetyczną agresję wydaje się być bardzo naturalną i oczekiwaną reakcją, to w praktyce przeprowadzenie takiego kontrataku wcale nie jest takie proste.