Föreställ dig att USA precis drabbades av en cyberattack. Vad händer sen?

konceptuell illustration av ögon bakom rör Daniel Zender

Detta ögonblick hade varit 10 månader på väg. Men ingen märkte det förrän förra veckan.

En grupp välresursstarka hackare har letat sig igenom nätverken hos gasledningsoperatören i nästan ett år och samlat på sig viktig information. Nu känner hackarna nätverket bättre än pipelineföretaget: varje utrustning, hela företagets personalstyrka, användarnamn och lösenord. De har de privilegier som behövs för att komma åt både företagets stationära datorer och själva pipelinens maskineri. Nu är de redo att slå till.

Den här historien var en del av vårt novembernummer 2019

• Se resten av frågan
• Prenumerera

USA har många cyberfiender. Det handlar dagligen slag med Kina, Ryssland, Iran och Nordkorea. Ett fullt utvecklat cyberkrig är tack och lov fortfarande grejen med teori och bordsövningar. Men vad händer när man bryter ut på riktigt?

För att bättre förstå hur det skulle se ut pratade vi med ett antal experter inom cybersäkerhet och nationell säkerhet. Vi bad dem att överväga hypotetiska scenarier, inklusive det på motsatt sida där okända hackare har fått tillgång till datorer, nätverk och hårdvara i gasledningar i New England.

De potentiella konsekvenserna skulle sträcka sig från spionage och stöld av immateriella rättigheter till mer förödande attacker som kan lämna Boston utan ström eller i värsta fall orsaka bränder och livshotande skador. Vad som händer härnäst – och om det eskalerar till ett riktigt cyberkrig – beror på vem som är på attacken, vad deras mål är och hur USA reagerar.

Variablerna på spel betyder att det inte går att säga exakt hur detta skulle gå. Men att föreställa oss det värsta kan hjälpa oss att bättre förstå hur konflikter förändras, och låt oss planera hur vi ska agera när cyberkrig hamnar utanför vår tröskel.

Vår panel bestod av några av USA:s ledande experter på cyberkrigföring.

---

Angus King: wikimedia commons / Sandra Joyce: artighetsfoto / Richard Clarke: wikimedia commons / Michael Daniel: artighetsfoto / Eric Rosenbach: wikimedia commons / John Livingston: artighetsfoto / mike Gallagher: wikimedia commons

sandra Joyce är senior vice president för global intelligens på cybersäkerhetsföretaget FireEye, det första företaget som öppet namnger kinesiska statliga hackare som arbetar mot amerikanska företag.

Richard Clarke har arbetat i administrationerna av Bill Clinton, George W. Bush och Barack Obama. Han var en av de första högnivåtjänstemännen i Vita huset som fokuserade på cybersäkerhet.

Michael Daniel var cybersäkerhets tsar under president Obama. Han leder nu Cyber ​​Threat Alliance, ett team av cybersäkerhetsföretag som delar information om hot.

Erik Rosenbach var stabschef för tidigare försvarsminister Ash Carter. Han ledde försvarsdepartementets cyberaktivitet och skapade militärens cyberstrategi.

John Livingston är VD för Verve Industrial Protection, ett företag som hanterar hantering av industriell cybersäkerhet för projekt inklusive naturgasledningar och annan kritisk infrastruktur.

Representativ Mikrofon Gallagher är en före detta kontraspionageofficer i US Marine Corps och nu cochair för Cyberspace Solarium Commission, en expertpanel som har till uppgift att formulera en amerikansk cybersäkerhetsdoktrin.

Senator Angus Kung är medlem av Senatens valda kommitté för intelligens och cochair för Cyberspace Solarium Commission.

Vi pratade med alla våra paneldeltagare individuellt och deras svar har redigerats för längd och tydlighet.

---

Rosenbach: Det första som skulle hända är NSA [National Security Agency] som samlar in underrättelser utomlands. När detta först kommer igenom finns det bara en suddig grå bild av att någon verkar i naturgasinfrastruktur. Och du vet inte nödvändigtvis om de har för avsikt att omedelbart trycka på avtryckaren vid attacken.

Kung: Det första problemet är tillskrivning [dvs vem som ligger bakom attacken]. Det är en av de viktigaste utmaningarna på det här området, eftersom motståndarna hela tiden blir smartare på sina spår.

Jag föreslår för Cyberspace Solarium Commission att den amerikanska regeringen ska ha ett tillskrivningscenter som skulle kombinera resurser från NSA, FBI, CIA och andra underrättelsetjänster så att det skulle finnas en central plats att gå till.

Clarke: Tillskrivningsproblemet är inte så illa som folk tror att det är. När det gäller cyber, om du är i fiendens system, kommer du att veta vem som gjorde det eftersom du kommer att se dem göra det. Om du kan se det live har du en mycket god chans att ta reda på tillskrivning. Om det är en post hoc-analys eller kriminalteknisk analys, kan tillskrivning vara svårare, särskilt eftersom vi nu vet att många nationer, möjligen inklusive USA, använder attackverktyg skapade av andra länder. Tänk om de använde en dator med en viss typ av tangentbord, eller använde andra tekniker som fingeravtryck till ett annat land? Det skapar ett problem.

Rosenbach: Därefter skulle du se om det skulle kunna finnas ett samarbete mellan [olika amerikanska statliga myndigheter] för att försöka ta reda på var attacken kan inträffa, leta efter vissa typer av skadlig programvara som motståndare kan ha använt tidigare.

Du ser om du kan få mer detaljerad intelligens om det. Hela tiden som du arbetar med alla dessa typer av inhemska lindringsfrågor kan du försöka tänka på vad som skulle hända om attacken lyckades och vad du gör. Vad är incidentrespons under vintern om det finns hundratusentals människor, eller miljontals människor, utan värme?

Du tänker på vad du skulle säga om det. Samtidigt funderar du på om du skulle konfrontera motståndarnationen med denna information eller inte. Går du till dem och säger, vi vet att du har skadlig programvara i naturgasinfrastrukturen och nätet? Hotar du dem verkligen? Och sedan, precis som i fallet med valet 2016, och även för första gången under [2014] cyberattacken mot Sony [Pictures], skulle presidenten behöva prata med alla seniora rådgivare och personal om huruvida han går ut offentligt med denna informationen. Är det rättvist mot allmänheten, om du vet att det är en attack på väg att inträffa, att du håller den för dig själv? Vilka är fördelarna och nackdelarna med att offentligt tillskriva?

Gallagher: Ett problem vi måste hantera inom cyber är om svårigheten att tillskriva skapar avskräckningsproblem och avskräckningsmisslyckanden. Om du försöker avskräcka en motståndare från att utföra en cyberattack måste du kunna fastställa vem motståndaren är och även tydligt signalera vad ditt svar kommer att bli. Det finns en öppen debatt om huruvida vi bör ha en sådan deklarerande policy inom cyber eller om det skulle stimulera det beteendet precis under vilken tröskel vi än anser är acceptabelt eller oacceptabelt.

Clarke: För ungefär fyra år sedan ville underrättelsetjänsten veta vilka dessa [hackers] var. När [justitiedepartementet] insåg att kunskap var tillgänglig frågade de sedan underrättelsetjänsten om den kunde vara oklassificerad. Något anmärkningsvärt, justitiedepartementet vann det och övertalade underrättelsetjänsten att avklassificera. Jag blev förvånad. En del av det är en del av en namn-och-skam-strategi. Vissa människor säger att värdet är lågt eftersom hackarna aldrig kommer att arresteras, men faktiskt ett par har blivit det. De måste vara väldigt försiktiga med vart de reser.

Rosenbach: Efter det börjar du gå in i en fas där du försöker samla in mer intelligens. Du försöker komma på alternativ för presidenten eller, om du är i en specifik avdelning eller byrå, för sekreteraren, för att ta reda på hur du kan minska risken och effekterna av en attack som den. Det är då det börjar bli riktigt komplicerat.

Clarke: Cyber ​​kan påskynda krig. Jag tror att det ger en angripare förmågan att göra betydande skada på fiendens hemland. Och det ger möjligheten att göra skada med hastighet. Det är sant i cyber tillsammans med andra saker som händer i krigföring, som hypersoniska missiler och AI-drivna vapen, som kan resultera i att ett krig kommer till ett ganska snabbt slut - eller åtminstone den första fasen av ett krig som kommer till ett ganska snabbt slutsats.

Detta är en del av vad jag tror att många människor i Pentagon är oroliga för. De pratar mycket där borta om beslutsslingan och att komma in i den andra killens beslutskrets. De inser att cybervapen betyder att det kanske inte finns mycket tid att bestämma sig för hur de ska reagera. Det skapar möjlighet till större instabilitet. Det kan ge dig ett incitament att attackera först. Du kanske måste fatta beslut om att reagera innan du verkligen har bra intelligens om vad fan som pågår. Snabba krig är något som vi inte riktigt har förstått ännu.

Daniel: Precis som hur luftmakten ändrade karaktären på hur militärer använde våld och öppnade upp alternativ, tror jag att cyberrymden gör samma sak genom att det erbjuder nya kanaler för konflikter. En del av cyberrymdens nya fysik och matematik betyder att till exempel avstånd inte betyder samma sak. Du kan orsaka en fysisk effekt hela vägen på andra sidan planeten utan nästan den typ av investering du måste göra för att göra det i en fysisk domän.

Joyce: När man tänker på vilken typ av konflikt som är militär mot militär har USA en klar fördel. Vi har nära jämnåriga, men i huvudsak USA spenderar mer än alla. När länder vill utmana USA kan de inte göra det på det sätt som USA är starkt. Så de kommer att välja andra vägar.

Rosenbach: Nationer som är motståndare till USA har insett att asymmetrin i cyber- och informationsoperationer är en stor fördel för dem. Det största och tydligaste exemplet skulle vara Nordkorea. Tänk på hur skickliga de är som en cyberoperativ enhet. Tänk på några av attackerna de har gjort tidigare. Tänk på några av de saker de gör nu när det gäller att använda ransomware för att samla in pengar genom kryptovalutor för att komma runt ekonomiska sanktioner.

Det faktum att de har väldigt lite telekom- och IT-infrastruktur, och därför inte är sårbara, [gör cyber] till ett ännu bättre verktyg för dem. Det betyder [att] om USA eller andra länder försökte ta reda på hur man skulle mildra effekterna av nordkoreanska cyberoperationer, skulle de behöva gå till antingen ekonomiska sanktioner, där det inte finns många alternativ kvar, eller direkt militära operationer, där man riskerar för mycket eskalering.

Sedan har ryssarna naturligtvis fulländat detta genom att använda ganska aggressiva cyber- och informationsoperationer och hybridkrigföring. Ukraina är ett bra exempel. Där attackerar de både rutnätet och valen. Naturligtvis attackerar de amerikanska valen också.

Ett nyare exempel är vad USA:s cyberkommando gjorde mot Irans islamiska revolutionsgardet för att försöka påverka dem, begränsa effektiviteten hos den iranska militära organisationen och samtidigt kontrollera eskaleringen så att den kanske inte växer till en bredare konflikt .

Kung: Jag är mycket orolig för gasledningar. Vårt gasledningssystem har inte samma typer av kontroller och krav som elnätet, även om gasledningssystemet för mig är en del av elnätet eftersom så mycket av vår kraft kommer från naturgas.

Gallagher: Cirka 85 % av kritisk infrastruktur [i USA] ägs av den privata sektorn. Det är en mycket svår utmaning. Det är unikt för cyber, i många fall, och kräver att försvarsdepartementet och underrättelsetjänsten fungerar lite annorlunda. Kanske vara lite mer kommande när det gäller den information de är villiga att dela med den privata sektorn.

Livingston: När man historiskt har tänkt på det nationella försvaret har det varit ett regeringsansvar. Du bygger en flotta, du bygger en armé, du försvarar gränserna. Den privata sektorns roll i det har till stor del varit att förse armén eller flottan med allt den behöver. Den har inte försvarat sig. Men om vi går framåt 20, 30, 50 år, har du plötsligt en värld där nationens säkerhet beror på den privata sektorn och inte regeringen. Vilken roll har regeringen i en värld där min säkerhet är beroende av vad mitt företag bestämmer sig för att spendera pengar på? Eller vad den vinstdrivande gasledningen bestämmer sig för att spendera pengar på? Eller vad den kemiska fabriken som ligger 50 mil bort från mig bestämmer sig för att spendera pengar på? Det är en mycket svår samhällspolitisk fråga, och vi kommer inte dit, tror jag inte, förrän – tyvärr – det inträffar en stor incident.

Kung: Det har blivit uppenbart för mig att vi inte har någon doktrin, vi har ingen strategi och vi har ingen politik som på något sätt kommer att avskräcka motståndare från att komma efter oss. Vi är en billig dejt. Varför skulle du inte attackera oss i cybersfären om du kan göra det relativt ostraffat? Tills vi utvecklar en avskräckande förmåga och även bättre motståndskraft kommer detta att fortsätta hända.

De goda nyheterna är att vi är det mest anslutna landet i världen. De dåliga nyheterna är att vi är det mest anslutna landet i världen. Det gör oss till de mest sårbara.

• I en tidigare version av denna artikel stod det att Sandra Joyce är vicepresident för global intelligens på FireEye. Hon är senior vice president.

Dölj