Imagina que Estados Unidos acaba de ser golpeado por un ciberataque. ¿Qué pasa después?

ilustración conceptual de los ojos detrás de las tuberías daniel zender

Este momento había sido 10 meses en la fabricación. Pero nadie se dio cuenta hasta la semana pasada.

Un grupo de piratas informáticos con buenos recursos ha estado rastreando las redes del operador del gasoducto durante casi un año, recopilando información crucial. Ahora los piratas informáticos conocen la red mejor que la empresa del oleoducto: cada equipo, toda la fuerza laboral de la empresa, los nombres de usuario y las contraseñas. Tienen los privilegios necesarios para acceder tanto a las computadoras de escritorio de la empresa como a la maquinaria del propio oleoducto. Ahora están listos para atacar.

Esta historia fue parte de nuestra edición de noviembre de 2019

• Ver el resto del número
• Suscribir

Estados Unidos tiene muchos ciber-enemigos. Intercambia golpes con China, Rusia, Irán y Corea del Norte a diario. Una ciberguerra en toda regla, afortunadamente, sigue siendo materia de teoría y ejercicios de simulación. Pero, ¿qué sucede cuando uno estalla de verdad?

Para comprender mejor cómo se desarrollaría, hablamos con varios expertos en seguridad cibernética y seguridad nacional. Les pedimos que consideraran escenarios hipotéticos, incluido el de la página opuesta en el que piratas informáticos desconocidos accedieron a las computadoras, las redes y el hardware de los gasoductos en Nueva Inglaterra.

Las posibles consecuencias irían desde el espionaje y el robo de propiedad intelectual hasta ataques más devastadores que podrían dejar a Boston sin electricidad o, en el peor de los casos, provocar incendios y daños mortales. Lo que suceda a continuación, y si se convierte en una guerra cibernética real, depende de quién está en el ataque, cuáles son sus objetivos y cómo responde EE. UU.

Las variables en juego significan que no se sabe exactamente cómo iría esto. Pero imaginar lo peor podría ayudarnos a comprender mejor cómo está cambiando el conflicto y permitirnos planificar cómo actuar cuando la guerra cibernética aterrice en nuestra puerta.

Nuestro panel estuvo compuesto por algunos de los principales expertos estadounidenses en guerra cibernética.

---

Angus King: wikimedia commons / Sandra Joyce: foto de cortesía / Richard Clarke: wikimedia commons / Michael Daniel: foto de cortesía / Eric Rosenbach: wikimedia commons / John Livingston: foto de cortesía / mike Gallagher: wikimedia commons

Sandra Joyce es vicepresidente sénior de inteligencia global en la empresa de seguridad cibernética FireEye, la primera empresa en nombrar abiertamente a los piratas informáticos del gobierno chino que trabajan contra empresas estadounidenses.

Ricardo Clarke ha trabajado en las administraciones de Bill Clinton, George W. Bush y Barack Obama. Fue uno de los primeros funcionarios de alto nivel de la Casa Blanca en centrarse en la ciberseguridad.

Miguel Daniel fue el zar de la seguridad cibernética durante la presidencia de Obama. Ahora dirige Cyber ​​Threat Alliance, un equipo de empresas de ciberseguridad que comparten información sobre amenazas.

eric Rosenbach fue el jefe de gabinete del exsecretario de defensa Ash Carter. Dirigió la actividad cibernética del Departamento de Defensa y elaboró ​​la estrategia cibernética del ejército.

John Lívingston es el director ejecutivo de Verve Industrial Protection, una empresa que se encarga de la gestión de la ciberseguridad industrial para proyectos que incluyen tuberías de gas natural y otras infraestructuras críticas.

Representante Miguel Gallagher es un ex oficial de contrainteligencia en el Cuerpo de Marines de los EE. UU. y ahora copresidente de la Cyberspace Solarium Commission, un panel de expertos encargado de formular una doctrina de seguridad cibernética de los EE. UU.

Senador Angus Rey es miembro del Comité Selecto de Inteligencia del Senado y copresidente de la Comisión Cyberspace Solarium.

Hablamos con todos nuestros panelistas individualmente, y sus respuestas han sido editadas para mayor extensión y claridad.

---

Rosenbach: Lo primero que sucedería es que la NSA [Agencia de Seguridad Nacional] recolectara inteligencia en el extranjero. Cuando esto aparece por primera vez, solo hay una especie de imagen gris borrosa de que alguien está operando en la infraestructura de gas natural. Y no sabes necesariamente si tienen la intención de apretar inmediatamente el gatillo del ataque.

Rey: El primer problema es la atribución [es decir, quién está detrás del ataque]. Ese es uno de los desafíos clave en este campo, porque los adversarios son cada vez más inteligentes con respecto a sus huellas.

Le propongo a la Comisión Cyberspace Solarium que el gobierno de EE. UU. debería tener un centro de atribución que combine recursos de la NSA, el FBI, la CIA y otras agencias de inteligencia para que haya un lugar central al que acudir.

Clarke: El problema de la atribución no es tan malo como la gente cree. Con respecto a la cibernética, si estás en los sistemas enemigos, sabrás quién lo hizo porque los verás haciéndolo. Si puede verlo en vivo, tiene una muy buena oportunidad de averiguar la atribución. Si se trata de un análisis post hoc o forense, entonces la atribución puede ser más difícil, especialmente porque ahora sabemos que muchas naciones, posiblemente incluido EE. UU., están utilizando herramientas de ataque creadas por otros países. ¿Qué pasa si usaron una computadora con cierto tipo de teclado, o usaron otras técnicas que toman las huellas dactilares de otro país? Eso crea un problema.

Rosenbach: Luego, vería si podría haber una relación de cooperación entre [varias agencias gubernamentales de EE. UU.] para tratar de averiguar dónde podría ocurrir el ataque, buscar ciertos tipos de malware que los adversarios pueden haber usado en el pasado.

Vea si puede obtener más inteligencia granular sobre eso. Mientras trabaja en todos esos tipos de problemas de mitigación internos, puede intentar pensar qué sucedería en caso de que el ataque tuviera éxito y qué haría. ¿Cuál es la respuesta a incidentes durante el invierno si hay cientos de miles o millones de personas sin calefacción?

Piensa en lo que dirías al respecto. Al mismo tiempo, estás pensando si confrontarías o no a la nación adversaria con esta información. ¿Va a ellos y les dice: Sabemos que tiene malware en la infraestructura y la red de gas natural? ¿De verdad los amenazas? Y luego, al igual que en el caso de las elecciones de 2016, y también por primera vez durante el ataque cibernético [de 2014] a Sony [Pictures], el presidente tendría que hablar con todos los asesores principales y el personal sobre si hace pública su decisión. esta informacion. ¿Es justo para el público, si sabe que está a punto de ocurrir un ataque, que se lo guarde para usted? ¿Cuáles son los pros y los contras de atribuir públicamente?

Gallagher: Un problema con el que tenemos que lidiar en cibernética es si la dificultad de atribución crea problemas de disuasión y fallas en la disuasión. Si está tratando de disuadir a un adversario de realizar un ataque cibernético, debe poder establecer quién es el adversario y también indicar claramente cuál será su respuesta. Existe un debate abierto sobre si deberíamos tener una política declarativa de este tipo en cibernética o si eso incentivaría ese comportamiento justo por debajo del umbral que determinemos que es aceptable o inaceptable.

Clarke: Hace unos cuatro años, la comunidad de inteligencia quería saber quiénes eran estos [hackers]. Una vez que el [Departamento de Justicia] se dio cuenta de que el conocimiento estaba disponible, le preguntaron a la comunidad de inteligencia si se podía desclasificar. Sorprendentemente, el Departamento de Justicia ganó eso y persuadió a la comunidad de inteligencia para que desclasificara. Me sorprendió. Parte de esto es parte de una estrategia de nombre y vergüenza. Algunas personas dicen que el valor es bajo porque los piratas informáticos nunca serán arrestados, pero en realidad un par lo ha sido. Tienen que tener mucho cuidado con los lugares a los que viajan.

Rosenbach: Después de eso, comienza a pasar a una fase en la que intenta recopilar más inteligencia. Está tratando de pensar en opciones para el presidente o, si está en un departamento o agencia específicos, para el secretario, a fin de descubrir cómo podría mitigar el riesgo y el impacto de un ataque como ese. Ahí es cuando empieza a complicarse mucho.

Clarke: Cyber ​​puede acelerar la guerra. Creo que proporciona a un atacante la capacidad de causar un daño significativo a la patria del enemigo. Y proporciona la capacidad de hacer daño con velocidad. Eso es cierto en cibernético junto con otras cosas que están sucediendo en la guerra, como misiles hipersónicos y armas impulsadas por IA, que podrían resultar en una guerra que llega a una conclusión bastante rápida, o al menos la primera fase de una guerra que llega a una conclusión bastante rápida. conclusión.

Esto es parte de lo que creo que preocupa a mucha gente en el Pentágono. Allí hablan mucho sobre el ciclo de decisión y cómo meterse en el ciclo de decisión del otro tipo. Se dan cuenta de que las armas cibernéticas significan que puede que no haya mucho tiempo para decidir cómo reaccionar. Eso crea la posibilidad de una mayor inestabilidad. Podría darle un incentivo para atacar primero. Es posible que tengas que tomar decisiones sobre cómo reaccionar antes de que realmente tengas una buena inteligencia sobre qué diablos está pasando. Las guerras rápidas son algo que aún no hemos entendido realmente.

Daniel: Así como el poder aéreo cambió la naturaleza de cómo los militares aplicaron la fuerza y ​​abrieron opciones, creo que el ciberespacio hace lo mismo en el sentido de que ofrece nuevos canales para el conflicto. Algunas de las nuevas físicas y matemáticas del ciberespacio significan que, por ejemplo, la distancia no significa lo mismo. Puede causar un efecto físico en todo el otro lado del planeta sin casi el tipo de inversión que tiene que hacer para hacerlo en un dominio físico.

Joyce: Cuando piensas en el tipo de conflicto que es militar contra militar, Estados Unidos tiene una clara ventaja. Tenemos pares cercanos, pero esencialmente EE. UU. gasta más que todos. Cuando los países quieren desafiar a EE. UU., no pueden hacerlo de la forma en que EE. UU. es fuerte. Así que optarán por otras vías.

Rosenbach: Las naciones que son adversarias de Estados Unidos se han dado cuenta de que la asimetría de las operaciones cibernéticas y de información es una gran ventaja para ellas. El ejemplo más grande y más claro sería Corea del Norte. Piense en lo hábiles que son como unidad operativa cibernética. Piense en algunos de los ataques que han hecho en el pasado. Piense en algunas de las cosas que están haciendo ahora en términos de usar ransomware para recaudar dinero a través de criptomonedas para sortear las sanciones económicas.

El hecho de que tengan muy poca infraestructura de telecomunicaciones y TI y, por lo tanto, no sean vulnerables, [hace que la cibernética] sea una herramienta aún mejor para ellos. Eso significa [que] si EE. UU. u otros países estuvieran tratando de descubrir cómo mitigar el impacto de las operaciones cibernéticas de Corea del Norte, tendrían que recurrir a sanciones económicas, donde no quedan muchas opciones, o directamente. operaciones militares, donde se corre el riesgo de una escalada excesiva.

Luego, los rusos, por supuesto, han perfeccionado esto totalmente mediante el uso de operaciones cibernéticas y de información bastante agresivas y la guerra híbrida. Ucrania es un gran ejemplo. Ahí están atacando tanto a la red como a las elecciones. Por supuesto, también están atacando las elecciones estadounidenses.

Un ejemplo más reciente es lo que hizo el Comando Cibernético de EE. UU. contra el Cuerpo de la Guardia Revolucionaria Islámica de Irán para tratar de tener un impacto en ellos, limitar la efectividad de esa organización militar iraní y, al mismo tiempo, controlar la escalada para que no se convierta en un conflicto más amplio. .

Rey: Estoy muy preocupado por los gasoductos. Nuestro sistema de gasoductos no tiene los mismos tipos de controles y requisitos que la red eléctrica, aunque en lo que a mí respecta, el sistema de gasoductos es parte de la red eléctrica porque gran parte de nuestra energía proviene del gas natural.

Gallagher: Alrededor del 85% de la infraestructura crítica [en los EE. UU.] es propiedad del sector privado. Ese es un desafío muy difícil. Eso es exclusivo de la cibernética, en muchos casos, y requiere que el Departamento de Defensa y la comunidad de inteligencia operen de manera un poco diferente. Tal vez sea un poco más comunicativo en términos de la información que están dispuestos a compartir con el sector privado.

Livingston: Cuando históricamente has pensado en la defensa nacional, ha sido una responsabilidad del gobierno. Construyes una armada, construyes un ejército, defiendes las fronteras. El papel del sector privado en eso ha sido en gran medida proporcionar a ese ejército o armada todo lo que necesita. No se ha estado defendiendo. Pero si avanzamos 20, 30, 50 años, de repente tienes un mundo donde la seguridad de la nación depende del sector privado y no del gobierno. ¿Cuál es el papel del gobierno en un mundo donde mi seguridad depende de en qué decida gastar dinero mi empresa de servicios públicos? ¿O en qué decide gastar dinero ese gasoducto con ánimo de lucro? ¿O en qué decide gastar dinero esa planta química que está a 50 millas de mí? Ese es un tema de política pública muy difícil, y no lo lograremos, no creo, hasta que, desafortunadamente, haya un incidente importante.

Rey: Se me ha hecho evidente que no tenemos doctrina, no tenemos estrategia, y no tenemos política que disuada de alguna manera a los adversarios de que nos persigan. Somos una cita barata. ¿Por qué no nos atacaría en el ámbito cibernético si puede hacerlo con relativa impunidad? Hasta que desarrollemos alguna capacidad de disuasión y también una mejor resiliencia, esto seguirá sucediendo.

La buena noticia es que somos el país más conectado del mundo. La mala noticia es que somos el país más conectado del mundo. Eso nos convierte en los más vulnerables.

• Una versión anterior de este artículo decía que Sandra Joyce es vicepresidenta de inteligencia global en FireEye. Ella es vicepresidenta senior.

esconder