Скорость атак ИИ значительно превышает возможности человеческой защиты: как США сохраняют базовый уровень безопасности электросетей, банков и больниц?

Автор: Энн Нойбургер, a16z

Перевод: TechFlow

Кратко о статье: ИИ существенно сокращает время между обнаружением программной уязвимости и её эксплуатацией злоумышленниками. В то же время многочисленные операционные технологические (OT) системы, управляющие физическим оборудованием на объектах критической инфраструктуры США — электросетях, банковских платежных системах, водоснабжении, телекоммуникациях и медицинских учреждениях, — эксплуатируются уже более 20 лет и принципиально не способны обновляться патчами с такой скоростью.

Энн Нойбургер, партнер a16z и руководитель по глобальным вопросам, опираясь на свой опыт заместителя советника по национальной безопасности США, предлагает схему государственно-частного партнерства для киберобороны: Белому дому и команде сверхразума определит национальные цели, CEOs крупнейших компаний каждой отрасли подпишут обязательства, а существующие отраслевые информационно-аналитические центры (ISAC) будут реформированы для масштабного внедрения ИИ-защиты.

Ключевая логика этого плана заключается не в полной замене старого оборудования, а в первоочередном выявлении нескольких сотен ключевых операторов и общих поставщиков, отказ которых вызовет цепную реакцию по всей стране, с целью ограничения рисков в течение 6 месяцев путем сетевой изоляции, 72-часовых ручных учений по эксплуатации и компенсирующих мер защиты на базе ИИ.

Сегодня Энн Нойбургер, партнер a16z и руководитель по глобальным вопросам, в статье для The Wall Street Journal отмечает:

ИИ продолжает сжимать время между обнаружением уязвимости и её эксплуатацией. Защитники, продолжающие реагировать со «человеческой скоростью», неизбежно проиграют эту гонку.

Тот же ИИ может быть использован защитниками: для выявления систем с открытым доступом, оценки наиболее критичных целей и генерации решений по устранению уязвимостей. Для старого оборудования, которое невозможно оперативно патчить, ИИ способен разрабатывать альтернативные меры смягчения, такие как правила межсетевого экрана или корректировки параметров конфигурации. Вопрос лишь в том, сможем ли мы внедрить их с достаточной скоростью.

К счастью, наиболее серьезные риски национального уровня сконцентрированы очень плотно. Риски, способные вызвать общенациональную каскадную остановку систем, сосредоточены преимущественно в сети из нескольких сотен операторов и их общих поставщиков: крупные распределительные подстанции электропередач, платёжные системы Fedwire и ACH, объекты водоснабжения крупных городов, основные телекоммуникационные сети и система 911, региональные травмацентры и поставщики электронных медицинских карт.

Не менее важны и небольшие операторы, которые зачастую становятся слабым звеном и точками проникновения. Однако первоочередная защита этих критически важных меньшинств позволит выиграть драгоценное время для последующего восстановления остальных систем.

Опираясь на свой опыт заместителя советника по национальной безопасности США по вопросам кибербезопасности и новых технологий, Энн рисует совершенно новую модель продвижения национальной киберустойчивости: подотчетность команде сверхразума Белого дома (Super Intelligence Force) и лидерство CEOs ключевых американских компаний, несущих ответственность за эксплуатацию критической инфраструктуры.

Резюме

США должны осознать серьезный риск того, что кибератаки могут парализовать критическую инфраструктуру, от которой зависят миллионы людей. Данный план киберобороны определяет необходимую структуру управления и конкретные действия, направленные на выявление и ограничение зон риска этих нескольких сотен ключевых операторов и общих поставщиков, чтобы предотвратить каскадный эффект национального масштаба.

Данный план действий направлен на: (а) обеспечение надлежащей киберзащиты в различных отраслях с одновременным учетом множества старых и неотслеживаемых систем; (b) использование технологий сверхразума (SI) для обнаружения и исправления уязвимостей в широко используемом отраслевом специфичном коде; (c) разработку руководств по ИИ или фреймворков защиты для нерешенных проблем предприятий, чтобы при запуске новых моделей быстро определять необходимые патчи.

На втором этапе данной работы будут созданы цифровые копии ключевых общих систем («цифровые двойники») в каждой отрасли, что позволит осуществлять регулярное тестирование этих систем.

Этот государственно-частный план максимально мобилизует ведущие предприятия отраслей и четко определяет их ответственность, поскольку именно они лучше всех знают наиболее значимые операционные риски своего сектора. Без их участия достичь быстрых и широких результатов на фоне колоссального масштаба инфраструктуры США будет крайне сложно.

Команда сверхразума Белого дома создаст Совет CEOs, который понесет ответственность за общие результаты. Отраслевые информационно-аналитические центры (ISAC) будут трансформированы в приводимые ИИ исполнительные органы, предоставляющие отчетность специализированным регулирующим органам каждой отрасли.

Охват: пять ключевых отраслей: энергетика, банкинг и платежи, водоснабжение, телекоммуникации и здравоохранение (больницы).

Ключевая цель: несколько сотен операторов и общих поставщиков, сбои в работе которых приведут к общенациональной каскадной цепи отказов.

Технологическое ядро: использование ИИ для машинно-скоростного обнаружения уязвимостей и генерации протестированных альтернативных мер защиты, устранение интернет-экспозиции систем управления, реализация сегментации сетей и подтверждение возможности ручного функционирования в течение 72 часов.

Параллельно определяются возможности телеком-операторов, провайдеров IaaS и облачных сетевых сервисов (например, Cloudflare) по созданию масштабируемой национальной оборонительной архитектуры, а также правовые гарантии, необходимые для активации подобных национальных киберсистем обороны.

Ядро управления: CEOs подписывают отраслевые цели, а ежемесячная отчетность об успехах осуществляется через балльные таблицы ISAC. Крупные операторы оказывают помощь малым.

Возможные изменения в законодательстве: предоставление иммунитета от ответственности для обмена информацией и установление потенциального механизма «безопасной гавани» для участников, достигших целевых показателей, ориентированных на результат.

Угрозы и пробелы в регулировании

ИИ непрерывно сокращает время между обнаружением уязвимости и её эксплуатацией. Тем временем значительная часть критической инфраструктуры физически не способна проходить обновление патчами в этих сжатых временных рамках. Системы операционных технологий (OT, управляющие физическими устройствами) часто работают без замены более 20 лет, причем для некоторых из них установка патчей сопряжена с риском остановки производственного процесса.

Существующие регуляторные нормы не проектировались с учетом этой угрозы: они опираются на фиксированные окна для патчей и комплаенс-ориентированный подход, оценивая скорее формальное наличие контрольных мер, чем реальную величину зоны риска и скорость её ограничения.

Организационная структура, ориентированная на влияние

Национальная модель управления для быстрого масштабирования киберобороны

Подотчетность команде сверхразума Белого дома, лидерство на уровне CEO, работа на базе существующих Стратегических координационных комитетов (SCC), информационно-аналитических центров (ISAC) и регулирующих органов.

В настоящее время в США отсутствует система управления, способная стимулировать целенаправленные и оперативные меры по защите самой критичной инфраструктуры. Данный план конкретизирует такую модель в рамках государственно-частного партнерства. Если говорить кратко, команда сверхразума устанавливает национальные цели, CEOs дают обязательства от имени своих отраслей, а SCC и ISAC осуществляют практическое внедрение и оценку результатов внутри секторов.

По факту Америка уже располагает системой управления для подобной работы. Созданная двадцать лет назад административными указами структура предписывает создание стратегического отраслевого координационного комитета (SCC) и оперативного информационно-аналитического центра (ISAC) для каждой отрасли, однако данную систему необходимо кардинально модернизировать.

SCC и ISAC представляют собой некоммерческие структуры, контролируемые частным сектором, действующие в соответствии с федеральными директивами и устоявшимися моделями ГЧП. Наиболее эффективные из них обычно имеют двухуровневую структуру во главе с CEO и главным специалистом по информационной безопасности (CISO), что позволяет балансировать стратегию всего сектора и оперативное исполнение.

На данный момент только в энергетике и финансовом секторе участие CEO в работе ISAC уже реализовано, тогда как в сферах водоснабжения, телекоммуникаций и здравоохранения этот уровень ещё не создан.

Уже созданная команда сверхразума Белого дома должна максимально использовать эти ISAC для координации взаимодействия с отраслями критической инфраструктуры. В отраслях, где еще нет уровня CEO, команде сверхразума следует сотрудничать с наиболее влиятельными директорами, продвигая модернизацию соответствующих ISAC и создание CEO-уровня, тем самым обеспечивая практическое выполнение необходимых мер.

Помимо действующих ISAC, данный план задействует еще два направления: (а) облачные провайдеры, производители решений для кибербезопасности и телеком-операторы, которые при наличии должной правовой защиты от ответственности определят технические методы обороны, пригодные для массового развертывания; (b) лаборатории ИИ и технологические компании, совместно с предприятиями критической инфраструктуры проводя сканирование их кода и встроенного программного обеспечения (firmware) для генерации решений по ремонту и альтернативных мер смягчения.

Лаборатории ИИ должны также сотрудничать с производителями промышленных систем управления для создания цифровых двойников стандартного оборудования, чтобы тестировать решения по восстановлению до фактического подключения к работающим энергосетям или водоочистным сооружениям. Выявленные данные будут консолидированы в новом правительственном центре обмена информацией об уязвимостях на базе ИИ Gold Eagle, компетенции которого должны быть расширены со программного обеспечения на промышленное оборудование.

Производители оборудования (многие из которых являются иностранными компаниями) должны быть обязаны принимать меры по выявленным уязвимостям в установленные сроки, что станет обязательным предварительным условием для продажи оборудования ключевым операторам. Показатели эффективности должны зависеть от скорости локализации уязвимостей и способности основных услуг продолжать работу при атаках.

На приведенной ниже схеме обобщены участники данного национального плана киберобороны и распределение обязанностей:

Как функционирует механизм подотчетности

Подписание обязательств. Каждый CEO Совета обязан подписать отраслевые целевые показатели: нулевая интернет-экспозиция систем управления, успешное прохождение 72-часовых ручных учений по эксплуатации, а также своевременная локализация критических уязвимостей (установка патчей или развертывание компенсирующих контрольных мер).

Ежемесячные балльные таблицы. Каждый ISAC направляет в команду сверхразума Белого дома анонимные отраслевые отчеты с показателями. Каждый CEO может видеть положение своей компании относительно всего сектора. Если какая-либо отрасль отстает от установленных целей, инициируется оценка на уровне CEO с руководителем команды сверхразума.

Подтверждение советом директоров. Для публичных компаний совет директоров верифицирует показатели прогресса, ориентированные на результат, что согласуется с действующими правилами раскрытия информации о кибербезопасности в Комиссии по ценным бумагам и биржам США (SEC). Регуляторы признают такую верификацию вместо проведения повторяющихся аудиторских проверок, что стимулирует активное участие бизнеса.

Крупный бизнес помогает малому. Крупные коммунальные предприятия оказывают помощь кооперативам и муниципальным организациям в зонах обслуживания; крупные медицинские сети поддерживают сельские больницы; крупнейшие банки через FS-ISAC обеспечивают финансирование инструментов для местных банков; национальные телеком-операторы выступают страховочной основой для региональных провайдеров.

Межотраслевые совместные учения. Все сектора крайне зависят от энергетики и связи. Поэтому в течение 3–6 месяцев Совет CEOs организует комплексное обучение по модели крупномасштабной имитации атак на энергосети GridEx, объединив энергетиков, телекомов, банкиров и медиков для противодействия кибератакам со скоростью ИИ.

Трансформация функций ISAC по отраслям

В настоящее время ISAC занимаются обменом предупреждениями об угрозах преимущественно на уровне CISO. Согласно данному плану, их функции будут расширены для координации и реализации задач во всем секторе:

Обмен инструментами ИИ: предоставление правил обнаружения, сканирования зон риска для участников, а также сгенерированных ИИ альтернативных мер смягчения (которые в конечном итоге пройдут тестирование на цифровых двойниках — точных программных копиях реальных систем — для гарантии надежности работы).

Координация каналов устранения: создание единых точек контакта с поставщиками для уязвимостей, выявленных ИИ и затрагивающих весь сектор.

Масштабирование механизмов взаимопомощи: дальнейшее расширение на базе программы взаимопомощи энергетического сектора Cyber Mutual Assistance и стандарта восстановления данных банковской сферы Sheltered Harbor.

Консолидация метрик: формирование сводных балльных таблиц самими ISAC, благодаря чему компаниям достаточно предоставить данные один раз.

Примечание: Без правовой поддержки CEOs не разрешат обмен конфиденциальными данными, а компании могут столкнуться с юридической ответственностью за выявленные ими собственные уязвимости. Следовательно, команда сверхразума обязана четко определить правовые гарантии для обеих ситуаций: первую можно решить через повторную ратификацию Закона о совместном использовании кибербезопасности 2015 года (CISA 2015), вторую — через внедрение механизма временной защиты от ответственности.

Техническая стратегия

Стратегический технологический маршрут: ограничение рисков, проверка устойчивости, масштабирование с помощью ИИ

Общая техническая стратегия заключается в первоочередной защите наиболее критичных объектов, применении мер по ограничению рисков для систем, которые нельзя оперативно патчить, и использовании ИИ, позволяющего небольшому числу специалистов по защите покрывать контроль над тысячами операторов.

Классификация целей по отраслям и определение ключевых участников

Сортировка операторов производится исходя из степени ущерба от сбоя и количества зависимых сторон, а не только от размера компании. Общие поставщики часто несут бóльший системный риск, чем отдельные операторы. Ниже предложены приоритетные направления для первых пяти отраслей.

Энергетика: крупные распределительные трансформаторные подстанции, диспетчерские службы баланса энергии, а также станции черного старта, запускающие сеть после масштабных отключений.

Банковский сектор и платежи: Fedwire, ACH, CHIPS, клиринговые палаты, а также поставщики широко используемых облачных сервисов и базовых банковских систем.

Водоснабжение: учреждения водоподготовки, обслуживающие массовое население (50 тысяч и более жителей США), особенно системы автоматизированного дозирования химических реагентов.

Телекоммуникации: маршрутизация интернета, базовые мобильные сети, система экстренных вызовов 911, а также сигналы синхронизации времени, от которых зависит большинство секторов.

Здравоохранение (больницы): региональные травматологические центры, поставщики электронных медицинских карт и производители медицинского оборудования.

Изоляция систем, которые невозможно оперативно патчить

Выявление и закрытие экспозиции: применение ИИ-сканирования для обнаружения всех систем управления, VPN и путей удаленного доступа, открытых в интернете. Последовательное их отключение, размещение за контролируемыми точками доступа или защита с использованием фишингоустойчивой многофакторной аутентификации.

Односторонние каналы связи: развертывание аппаратных устройств, допускающих выгрузку данных исключительно из самых критичных управляющих сетей наружу.

Сужение радиуса поражения: разделение IT и управляющих сетей, а также сегментирование по площадкам или объектам для предотвращения распространения взлома от единичной точки на всю коммунальную корпорацию или медицинскую сеть.

Проверка резервных ручных режимов: каждый критичный объект должен продемонстрировать на учениях способность функционировать в течение 72 часов без участия IT-систем. Больницы перейдут на бумажные карты, коммунальные службы — на ручной контроль, банки активируют резервные расчетные шлюзы.

Изоляция офлайн-резервов: сохранение автономных копий конфигураций управляющих систем и тестирование возможности восстановления IT-систем с нуля («голых машин»), гарантирующее быстрое восстановление работоспособности.

Устойчивость к чрезвычайным ситуациям: заблаговременное оформление разрешительных документов и регуляторных освобождений для оперативного выделения ключевых ресурсов при крупных сбоях.

Масштабирование обороны с помощью ИИ (внедрение через ISAC)

Обнаружение и исправление уязвимостей: проведение ИИ-сканирования на наличие дыр до выпуска открытого кода, кода поставщиков и firmware. Результаты направляются производителям через национальный центр обмена информацией об уязвимостях; поставщики обязаны предоставлять патчи или альтернативные меры в установленные сроки, при этом для объектов критической инфраструктуры сохраняется временное окно для завершения развертывания до массового распространения сведений об уязвимости.

Митигация рисков через альтернативы: для систем, которые нельзя патчить, ИИ преобразует каждую уязвимость в конкретные компенсирующие меры (правила фаервола, мониторинг и оповещения или изменения конфигурации), проходящие предварительное тестирование в среде цифровых двойников перед запуском.

Перехват вредоносного трафика: провайдеры CDN, фаерволов, телеком-операторы и сетевые сервис-провайдеры смогут перенаправлять и блокировать зловредный трафик до его попадания в эксплуатационные системы. Масштабное внедрение подобных мер может потребовать государственного мандата.

Мониторинг для операторов без собственных команд: субсидирование услуг AI-управления безопасностью для малых систем водоснабжения, сельских больниц и энергетических кооперативов (в настоящее время существуют гранты некоммерческих организаций, направленные именно на эту поддержку).

Тренажеры боевого характера: проведение AI-управляемых учений красной командой на цифровых двойниках отраслей, позволяющих специалистам по защите отрабатывать навыки противодействия инструментам атакующих со скоростью алгоритмов.

Защитные барьеры: инструменты AI-обороны по умолчанию имеют только права чтения для управляющих сетей; любые изменения подлежат обязательному утверждению человеком.

Отраслевые руководства по действиям

Каждая отрасль выделяет главную угрозу, план первоочередных действий, ответственный ISAC, а также короткий список CEOs, отобранных по размеру компании и отраслевому влиянию.

Политика, финансирование и метрики

Межотраслевые участники

Все сектора функционируют поверх инфраструктур ведущих облачных провайдеров (Microsoft, AWS, Google) и всё сильнее полагаются на лаборатории передового ИИ. Данные организации станут членами Совета CEOs команды сверхразума, взяв на себя предоставление AI-инструментов обороны и поиск уязвимостей в продуктах поставщиков.

Политические рычаги, финансирование и предлагаемый график

Команда сверхразума Белого дома обязана решить вопросы политики, юридической ответственности и регулирования для стимулирования необходимого участия заинтересованных сторон. Следующие пункты суммируют срочно необходимые институциональные корректировки.

Измерение результата, а не бюрократии: регуляторы отслеживают нулевую экспозицию управляющих систем, сроки локализации критических уязвимостей и верифицированную длительность ручного функционирования, игнорируя бумажные чекисты.

Регуляторное облегчение, ориентированное на эффективность: компании, достигшие целевых показателей, ориентированных на результат, и получившие одобрение совета директоров, получат правовую защиту режима «безопасной гавани».

Усиление ответственности поставщиков: включение требования «безопасность по умолчанию» в федеральные закупки; поставщики обязаны раскрывать сроки поддержки продуктов и предоставлять патчи или альтернативные меры для уязвимостей, обнаруженных ИИ, строго в установленные сроки.

Гарантии обмена информацией: содействие долгосрочной ратификации Закона о совместном использовании кибербезопасности 2015 года (CISA 2015), позволяющей операторам оперативно обмениваться данными об угрозах, сгенерированными ИИ, находясь под правовой защитой.

Гарантии вычислительных мощностей для обороны: правительство США гарантирует участникам и национальному центру обмена данными об уязвимостях координационный доступ к передовым моделям и необходимой вычислительной мощности.

Кадровый резерв реагирования на ЧС: формирование прошедшей проверку подготовленной группы реагирования из сотрудников крупных операторов и поставщиков для направления в самые узловые объекты критической инфраструктуры при наступлении инцидентов.

График и показатели эффективности

Критически важные объекты должны завершить процесс ограничения рисков в течение 6 месяцев. Хотя ранее предлагалась полная замена непопулярного старого оборудования, это решение обладает высокой стоимостью и займет от 2 до 5 лет, поэтому приоритет отдается мерам сдерживания.

Стоимость решения общенационального технического долга ожидается колоссальной, поэтому ресурсы следует направить прежде всего тем операторам и общим поставщикам, отказ которых спровоцирует национальную каскадную цепь и которые лишены ресурсов для самостоятельного апгрейда систем.