Kibernetička sigurnost kao ključna determinanta nacionalne sigurnosti Republike Hrvatske (2.dio)

  1. KLASIFIKACIJA PRIJETNJI ZA KIBERNETIČKU SIGURNOST

U ovom poglavlju detaljnije ćemo se pozabaviti klasifikacijom prijetnji za kibernetičku sigurnost. Da bismo mogli klasificirati prijetnje za kibernetičku sigurnost, najprije je potrebno napraviti pojmovnu distinkciju što je to prijetnja. Definicija prijetnje prema Ahiću i Nađu (2017) bila bi sljedeća „prijetnja je potencijalni uzrok neželjenog incidenta, koji može dovesti do štete na sistemu ili organizaciji, odnosno projektu“ (Ahić i Nađ, 2017:63). Također, ovdje je bitno napomenuti da su prijetnje možebitni generator neizvjesnosti i ako nema prijetnji nema niti ugroze za bilo koji sustav. Iz tog razloga potrebno je odmah na početku napraviti klasifikaciju prijetnji kako se kasnije na jednostavan način mogle identificirati. Drugim riječima, prilikom identifikacije prijetnji bilo bi poželjno da se koriste tri vrste identifikacije prijetnji, a to su: izvor prijetnji, lokacija i motivacija (Ahić i Nađ, 2017:64).

Sada kada znamo što je to prijetnja i na koji je način možemo identificirati, trebamo vidjeti koje su možebitne prijetnje za kibernetičku sigurnost. Tako Vuković kibernetičke prijetnje dijeli na kibernetički kriminal, kibernetičku špijunažu, kibernetički terorizam i kibernetičko ratovanje. Dok u pogledu metoda, napadi se mogu izvesti u dvije varijante, prva je da se napad izvede na podatke, a drugi je da se napad izvede na nadzorne sustave ili operativne tehnologije (Vuković, 2012:17). Cilj napada na podatke je njihova krađa ili šteta i  sabotiranje određene usluge, a takvi napadi se izvode putem računala ili Interneta. Uzmimo kao primjer da netko provali u bolničku bazu podataka i ondje pacijentu promijeni terapiju lijekova koje treba dobiti. Upravo takav čin za sobom može ostaviti ozbiljne posljedice za pacijenata, ako je pacijent npr. alergičan na taj lijek ili ako ga dobije u većoj dozi od dozvoljene (Vuković, 2012:17-18).

Nadalje napad na nadzorne sustave također za sobom ostavljaju nesagledive posljedice i takvi napadi se najčešće koriste za ugrožavanje kritične infrastrukture jedne države (npr. voda, plin, električna energija, prometu i sl.). Takvi napadi se izvode putem Interneta ili penetracijom u sustave nadzora odnosno operativnih tehnologija, koje su ključne za mnoge industrije danas. Dobar primjer takvog je napad u ožujku 2000. godine kada je bivši zaposlenik putem Interneta ušao u nadzorni sustav otpadnih voda u gradu Queenslandu u Australiji i preko pumpi pustio milijun litara otpadnih voda u sustav za pitku vodu. Upravo je ovaj slučaj eklatantan primjer kako se može na vrlo jednostavan način ugroziti zdravlje milijuna ljudi koji koriste pitku vodu. U cijelom slučaju je i frapantan podatak da je samo nakon 45 pokušaja izvršio penetraciju u sustav i pustio otpadnu vodu u sustav pitke vode, dakle ostala 44 pokušaja nitko na vrijeme nije detektirao (Vuković, 2012:17-18).

3.1. Kibernetičko ratovanje

Univerzalna definicija kibernetičkog ratovanja odnosno cyberwarfare ne postoji i zbog toga da bismo mogli shvatiti što je to kibernetički rat i koja su mu obilježja navesti ćemo nekoliko definicija. Tako Encyclopedia Britannica kibernetičko ratovanje definira kao „rat koji se provodi pomoću računala i mreža koje ih povezuju, a sam rat provode države ili njihovi opunomoćenici protiv drugih država“. Nadalje, glavni cilj kibernetičkog rata je poremetiti, uništiti ili uskratiti upotrebu vladinih i vojnih mreža (Sheldon, 2016).  Da je takva vrsta rata zastrašujuća govore nam i dva primjera kibernetičkih napada. Prvi se napad dogodio na Estoniju 2007. godine, nakon što je Estonija odlučila premjestiti spomenik sovjetskog vojnika iz parka u Talinu. Upravo je ovaj čin izazvao niz kibernetičkih napada na tu zemlju. Mete koje su napadači, u ovom slučaju hakeri, odabrali bile su sve važnije institucije za funkcioniranje države pa tako su pod napadom bile stranice vlade, medijske kuće, bankarski sustavi (Božinović, 2016:126). Nedugo nakon tih napada, 8. kolovoza 2008. godine dogodio se napad i na Gruziju. Radilo se je o DDos napadima odnosno o distributed denial-of-service attack. Kao i kod Estonije glavni cilj napada bile su vladine stranice, odnosno onemogućiti građanima pristup bilo kakvim uslugama. U ovom je napadu frapantan podatak da je to prvi napad koji je bio koordiniran s kopnenom invazijom na Gruziju (Kovačević, 2013:93).  Upravo ovi napadi potaknuli su NATO savez da kibernetičko ratovanje apostrofira kao ozbiljnu prijetnju za kritičnu infrastrukturu i druge segmente života i zbog toga može ubuduće aktivirati članak 5. Washintonskog sporazuma o obrani svojih članica (Božinović, 2016: 127).

Kada govorimo o obilježjima kibernetičkog rata govorimo o nekoliko ključnih determinanti koje ih razlikuju od klasičnih načina ratovanja, odnosno ratovanja na kopnu, moru i u zraku. U tom pogledu imamo četiri osnovna obilježja kibernetičkog rata, a to su: niski operativni troškovi, brisanje tradicionalnih granica, nepripisivost odgovornosti i utjecaj na široku publiku (Brzica, 2020:20). Prvo obilježje govori o tome da kibernetičko ratovanje znatno jeftinije od konvencionalnog napada koji za sobom nosi enormne troškove u pogledu angažmana ljudstva i vojne tehnike jer samo kibernetičko ratovanje ne zahtijeva veliki angažman ljudi i opreme, a njegovi učinci mogu imati ozbiljne posljedice za metu koja je pod napadom. Drugo obilježje kibernetičkog ratovanja je to da nema tradicionalnih granica jer se odvija u kibernetičkom prostoru gdje nema granica. Upravo iz toga razloga postoji opasnost da napad može doći iz bilo kojeg dijela svijeta, a napadač se može vrlo lako prikriti, dok je treće obilježje nepripisivanje odgovornosti za izvedeni napad. Glavni problem u ovom dijelu je taj da je identifikacija počinitelja je vrlo otežana ako do napada dođe. Zbog toga razloga vrlo je teško raspoznati o kakvoj se vrsti prijetnji radi je li to unutarnja ili vanjska prijetnja, radi li se o državnim ili ne državnim akterima. Kada je riječ o kibernetičkom ratu, odnosno napadu potrebno je ustanoviti od kuda je napad došao s visokom izglednošću, kako bi se moglo uzvratiti protumjerom. Zadnji obilježje kibernetičkog ratovanja je sposobnost utjecaja na široku publiku, odnosno da svaki takav napad koji je izveden može imati veliki odjek na percepciju sigurnosti. Tu posebno treba dodati društvene mreže koje postaju sve važnija sastavnica sukoba kako na državnoj tako i na nedržavnoj razini (Brzica, 2020:20-22).

Uz kibernetički rat bi također trebalo dodati i pojam hibridni rat. Tako NATO hibridni rat definira „kao ne klasičan vojni pristup koji uključuje specijalne snage, informacijske tehnologije u svrhu provedbe psiholoških operacija i zastrašivanja te upotrebu ne vojnih elemenata s ciljem širenja nesigurnosti i stvaranja unilateralne prednosti okupacijom ili aneksijom određenog područja“ (Brzica, 2022:122). Drugim riječima, ideja hibridnog rata počiva na činjenici da se napravi odmak od klasičnog načina uništavanja neprijatelja primjenom vojne sile do primjene kombinacija nevojnih metoda s ciljem dezintegracije protivnika, eksploatacije njegovih slabosti te širenje vlastitog narativa. Proces hibridnog rata odvija se u osam faza. Prva faza je nevojno asimetrično ratovanje, druga faza su specijalne vojne operacije, treća faza je zavaravanje i podmićivanje vladinih dužnosnika i vojnog vodstva, četvrta faza destabilizirajuća propaganda, a njezin cilj je izazvati nemir i nezadovoljstvo među građanstvom, peta faza je uspostava tzv. „no-fly“ zone iznad zemlje koju se napada, šesta faza su vojne akcije, a njima prethode izviđačke i zadaće subverzije, sedma faza uključuje informacijske operacije, kibernetičko ratovanje i slično, a zadnja faza je uništenje preostalog otpora upotrebom specijalnih vojnih operacija (Brzica, 2022:129-130).

3.2. Kibernetički terorizam

Kibernetički terorizam relativno je nova pojava i odnosi se na upotrebu terorističkih metoda u kibernetskom prostoru. Definicija kibernetičkog terorizma prema Vukoviću (2012) je sljedeća: „kibernetički terorizam označava promišljene, političke motivirane napade izvršene od strane nacionalnih skupina ili prikrivanih čimbenika, odnosno pojedinaca, usmjerenih protiv informacijskih ili računalnih sustava, računalnih programa te podataka, a rezultat im je nasilje nad neborbenim metama“ (Vuković, 2012:18). Kako je već rečeno kibernetički terorizam se odvija u kibernetičkom prostoru, a za cilj ima fizičko uništenje određenih uređaja, sustava uređaja ili nekog poslovnog procesa gdje postoje računalni sustavi. Uzmimo kao primjer napad terorističke skupine Oslobodilački tigrovi tamilske domovine, odnosno njezine frakcije Internet Black Tigers, koja je u kolovozu 1997. godine napala sustav komunikacije veleposlanstava Šri Lanke diljem svijeta. Napad se odvijao tako da je frakcija napadala službenu komunikaciju, odnosno na te e-mailove dolazilo je oko 800 spam e-mailova na dan, što je rezultiralo onesposobljenom komunikacijom veleposlanstva. Upravo ovaj napad smatra se jednim od prvih terorističkih napada izvedenih u kibernetičkom prostoru (Vuković, 2012:18).

Osim napada na vladine mrežne stranice, ostali sustavi koji mogu biti mete kibernetičkog terorizma su: bolnice, nuklearna postrojenja, elektrane, sustavi za kontrolu leta i slični objekti od egzistencijalne upotrebe. Argument zašto su ovakvi napadi postali učestaliji je u tome što su znatno jeftiniji od klasičnih napada i ne zahtijevaju puno ljudi i opreme. Upravo ovakav razvoj događaja, odnosno selidba terorističkih napada u kibernetički prostor postaje ozbiljna prijetnja svim državama. Samo zbog ilustracije uzmimo da ISIL ili Al Qaeda izvede teroristički napad pomoću računalnih sustava na kritičnu infrastrukturu jedne zemlje. Takav možebitni napad bi za sobom ostavio ozbiljne posljedice s mogućim smrtnim ishodima. Nažalost svjedoci smo da kritična infrastruktura u mnogim državama nije na dovoljnoj razini sigurnosti, odnosno da je više ulaganja bilo u fizičko-tehničku zaštitu nego u kibernetičku zaštitu. Zbog toga i ne iznenađuje činjenica da je Velika Britanija u svojoj strategiji nacionalne sigurnosti kibernetički terorizam uvrstila kao ozbiljnu sigurnosnu prijetnju. Osim strategije nacionalne sigurnosti i prema strateškom pregledu obrane Velike Britanije za borbu protiv kibernetičkog terorizma izdvojili su gotovo 650 milijuna funti na razdoblje od četiri godine. Iz ovog svega proizlazi da je kibernetički terorizam postao stvarnost, ali i budućnost i samo suradnja država može pomoći u borbi protiv ove nove sigurnosne ugroze jer evolucija informacijske tehnologije jedan je od glavnih generatora gospodarstva svih država, ali i odgovornost istih da se spriječi možebitno zloupotrebljavanje (Božinović, 2016:128).

3.3. Kibernetička špijunaža

Kibernetički prostor danas predstavlja bitno područje svjetskog gospodarstva, ali istodobno sa sobom nosi i sve veće ugroze za kibernetičku sigurnost. Upravo jedan od većih ugroza je kibernetička špijunaža čiji je cilj neovlašteno prikupljanje podataka u kibernetičkom prostoru (Vuković, 2012:13). Definicija kibernetičke špijunaže prema Buchanu (2019) obuhvaća četiri ključna elementa: „(I) kopiranje povjerljivih informacija bez pristanka, (II) povjerljivih informacija, (III) koje imaju boravište u kibernetičkom prostoru ili (IV) prolaze kroz kibernetički prostor“ (Buchan, 2019:13). Kada govorimo o akterima kibernetičke špijunaže to nisu samo kriminalne skupine ili pojedinci, nego to mogu biti države ili neke strane kompanije koje prikupljaju informacije. Razlozi prikupljanja takvih informacija su mnogobrojni, ali u većini slučajeva odnosi se na nekoliko ključnih segmenata. Tako kibernetičkom špijunažom možemo doći do visoko tehnoloških podataka koji bi mogli pomoći u razvoju kompanije ili države, možebitna trgovina takvim informacijama trećim stranama ili kako bi te iste informacije iskoristile za političku ili vojnu premoć. Problem je ako kibernetičku špijunažu koriste države kako bi određene informacije iskoristile protiv neprijatelja. Tada možemo reći da je ugrožena sama nacionalna sigurnost te države (Mihaljević i Nađ, 2018:96).

Metode koje se koriste u kibernetičkoj špijunaži slične su industrijskoj špijunaži. Primjer jedne tehnike je ubacivanje malwara u računalnu infrastrukturu kompanija ili državnih institucija. Nakon što je taj malware ubačen u ICT sustav, on ondje prikuplja podatke o kompaniji ili državnoj instituciji. Osim metoda tu su i akteri koji mogu sudjelovati u kibernetičkoj špijunaži. Tako možemo uzeti primjer da neki visoko pozicionirani menadžer koji raspolaže s informacijama kompanije ubaci malware kako bi vršio kibernetičku špijunažu (Mihaljević i Nađ, 2018). Kada govorimo o kibernetičkoj špijunaži bilo bi dobro spomenuti i spyware, odnosno softver čija je namjena da prikuplja podatke o korisniku te da bez njegovog znanja preuzme kontrolu nad računalnim sustavom (Spyware, CERT, 2022.) Jedan od najpoznatijih spywarea je Pegasus. Njega je razvila Izraelska tvrtka s ciljem da prikuplja podatke o meti napada. Pegasus može snimati pozive i slike, prikupljati poruke i lozinke i dr. Zanimljiva činjenica vezana za ovaj spyware je ta da ga je razvila Izraelska tvrtka NSO grupa za borbu protiv terorizma i kriminala, ali, nažalost, zabilježeni su i određeni slučajevi zloupotrebe ovog softvera (Pegasus, CERT, 2022).

3.4. Kibernetički kriminal

Kibernetički kriminal zadnja i najčešća sigurnosna ugroza u kibernetičkom prostoru. Kibernetički kriminal pojavljuje se sredinom sedamdesetih godina prošlog stoljeća kada dolazi do značajnijeg razvoja računala. Naime, prva računala koja su bila razvijena bila su za upotrebu u vojne, znanstvene i tek nešto kasnije gospodarske svrhe. Upravo ta činjenica je onemogućavala da se bilo tko van ovih organizacija može baviti kibernetičkim kriminalom (Bača, 2004). Sama definicija kibernetičkog kriminala prema Bači (2004) je sljedeća „da je to vrsta kriminalnog ponašanja kod kojeg računalna tehnologija predstavlja način izvršenja kaznenog dijela, ili se računalo upotrebljava kao sredstvo izvršenja, a čime se ostvaruje neka kaznenopravna posljedica“ (Bača, 2004:22). Drugim riječima, za kibernetički kriminal bismo mogli reći da obuhvaća prijevare u kibernetičkom prostoru. Najučestaliji način kibernetičkog kriminala je prijevara na Internet bankarstvu, odnosno krađa s kreditnih kartica, a određene procijene govore da takav oblik kriminala godišnje raste i do 40%. Sama zarada od takve vrste kibernetičkog kriminala penje na 100 milijuna dolara godišnje (Vuković, 2012:20). Osim prijevare putem Internet bankarstva su i drugi oblici kibernetičkog kriminala. To su  phishing napadi, socijalni inženjering, zlonamjerni računalni programi, keyloggersi i ransomware (Spremić, 2017: 48).

 

Rad na temu: Kibernetička sigurnost kao ključna determinanta nacionalne sigurnosti Republike Hrvatske od autora Damira Prskala izvorno je objavljen u Zborniku sveučilišta Libertas, 7 (8), 185-199. https://doi.org/10.46672/zsl.7.8.11

Foto: Ilustracija/ Unsplash/@ymoran