Останні події з файлообмінником EX.ua розділили інтернет-громадськість на два полярні табори. Більшість з них обурювалася: мовляв, навіщо закривати майданчик для обміну контентом? З іншого боку, можна зрозуміти і прихильників такого вчинку правоохоронців. Правовласність у нас ніхто не відміняв, а з нелегальним використанням програмного забезпечення, відео- та музичної продукції у світі не бореться хіба що лінивий. Однак у цьому випадку нас цікавить інший аспект ситуації — прояви кіберзлочинності на захист файлообмінника. Тож нинішня розмова із завідувачем відділу досліджень інформаційного суспільства та інформаційних стратегій Національного інституту стратегічних досліджень при Президентові України Дмитром ДУБОВИМ.
«Від кібернетичних злочинів держава не може захиститися самотужки»
— Дмитре Володимировичу, чи законно було закрито ресурс EX.ua?
— МВС зазначало, що була санкція суду, було звернення компаній про скоєння злочину, отже міліція лише виконала норми закону. Крім того, судячи із заяв прес-служби МВС, слідчі дії стосовно EX.ua тривали з літа 2011 року, а перші скарги на діяльність сайту були ще навесні минулого року. Навряд чи для власників EX.ua стало новиною, що їх звинувачують у порушенні авторських прав. Американська асоціація звукозаписувальних компаній (RIAA) у листопаді 2011-го згадала цей сайт у контексті розповсюдження нелегального контенту. Ще раніше на його роботу звертали увагу конгресмени США Боб Гудлатт та Адам Скіф, що мають стосунок до документа «Список нагляду за піратами».
Знову-таки, судячи із заяв МВС та представників компанії Adobe, схоже, що звернення та дискусії з власниками з цього приводу були. Однак, на жаль, ні до чого не призвели — формат співпраці так і не було віднайдено.
Питання в тому, чи були інші можливості вирішити суперечку. Зазвичай такі проблеми розв’язуються зверненням правовласника на адресу ресурсу, після чого його власник блокує доступ до такої інформації або видаляє її. Щодня таких двосторонніх взаємодій — безліч. Правоохоронні органи — це зазвичай останній «козир» у суперечці.
.jpg)
Після хакерських атак «підняти» сервери не просто. Фото з сайту visualphotos.com
— Але ж на ресурсі були і такі матеріали, що не підпадали під дію законів про авторські права. Чи потрібно було тоді вилучати всі сервери?
— Напевно, тут МВС погарячкувало. Як показали наступні кроки міліції (коли сервери було повернено, крім тих, на яких містилися контрафактні матеріали), все-таки можна було діяти виваженіше. Водночас тут варто пам’ятати, що ця проблема для України (боротьба за захист авторських прав у мережі) все ще доволі нова і наші правоохоронні органи лише напрацьовують ефективні та адекватні механізми боротьби з такими злочинами.
У цьому розрізі постає питання: а чи готові самі правовласники (і зараз мова не лише про Україну) до роботи в нових, інформаційно більш відкритих умовах? Цей процес переходу від класичного розуміння авторського права та його захисту до нових, притаманних саме інформаційному суспільству методів реалізації своїх творчих напрацювань — чи не одне із найскладніших питань порядку денного у світі.
Тут доречно згадати протести ІТ-корпорацій та простих користувачів, що були пов’язані з можливістю прийняття в США законів SOPA та PIPA (спрямовані на введення додаткових заходів у боротьбі з контрафактом). Однак очевидно, що Україну зачепило лише фрагментом активної загальносвітової дискусії, що відбувається навколо проблеми авторських прав. І навіть такий разовий інцидент підштовхує до висновку про те напруження емоцій, що панує у світі навколо цього.
Слід сказати, що значна кількість правовласників розуміє, що рано чи пізно доведеться міняти формат взаємодії з кінцевими користувачами і шукати нові форми роботи. В цьому напрямі вже є певні напрацювання, але ж від традиційних та звичних форматів буття так важко відмовлятись…
— Наслідком всіх цих подій стали масовані атаки на сайти органів державної влади. Чи виявилась держава не готовою до них?
— Я б не став казати категорично, що не готова — швидше з’явились приводи до міркувань. DDoS-атаки є нині чи не найрозповсюдженішим (завдяки їх простоті) типом атак, і протистояти їм доволі складно. А страждають від таких нападів хакерів (іноді їх називають —хактивістів) держави в усьому світі. Так, нещодавно майже аналогічним чином було призупинено роботу сайту прем’єр-міністра Польші Д. Туска після підписання ним Торгової угоди щодо боротьби з контрафакцією (ACTA). Сам формат DDoS-атаки найбільше використовує хакерська група Anonymous. Цим самим типом атак було свого часу частково порушено роботу систем PayPal, Visa, які не один мільйон доларів вкладають у свої системи безпеки. Інший приклад: після закриття файлообмінника Megaupload (19 січня 2012 року) хакерська група Anonymous аналогічним чином вивела з ладу сайти Міністерства юстиції США, ФБР, Патентного відомства, Асоціацій правовласників RIAA й MPAA, музичних лейблів BMI та Universal Music.
Тобто повністю захиститись від цих атак неможливо, а щодо того, чи ефективною була система захисту і чи могли сайти швидше відновити свою роботу, то це, напевно, предмет дискусії для фахівців технічного профілю.
Насамперед, для безпеки інтернет ресурсу має бути надійний провайдер, який здійснює хостинг. Зараз існує чимало пропозицій для зберігання інформації, яка щоденно потрапляє в Інтернет. Це може бути віртуальний сервер або віртуальний виділений сервер, віртуальний сервер vps або віртуальний виділений сервер vps. Віртуальний сервер можна взяти в оренду або купити. Так само в оренду можна взяти vps сервери. Все залежить від замовника, який хоче, щоб його сайт був захищеним від DDoS-атаки.
Надійними мають бути і гарантійні ресурси провайдера, зокрема віртуалізація KVM, відсутність «оверселлінга». Тобто кожному серверу виділяється своє місце в оперативні й пам’яті і на жорсткому диску, що підвищує надійність роботи такого сервера і не дозволяє сусіднім серверам використовувати ті ж ділянки пам’яті та дискового простору, якщо хостер продає більше ресурсів, ніж має в своєму активі.
Інший важливий чинник: високий рівень uptime - професійне обладнання, датацентр рівня Tier2+, а також розміщення vps на дзеркальному PAID масиві і, безперечно, щоденна резервна копія vps, яка гарантуватиме збереження всіх даних.
Чому сайти «впали» так швидко і надовго? До останнього часу сайти органів державної влади все-таки не були пріоритетом для захисту (ключовим завданням правоохоронних органів у сфері кібербезпеки, відповідно до загальносвітових тенденцій, залишається критична інфраструктура держави). Безумовно, після проведення всіх необхідних розслідувань державні інституції зроблять висновки, і система захисту стане більш надійною.
Знаєте, будь-яка нестандартна ситуація містить не лише ризик, а й можливість. Можливість під іншим кутом зору подивитись на стан безпеки, вдосконалити її, зробити більш гнучкою та ефективною. Якщо поглянути на світовий досвід у цьому питанні, то стає зрозуміло: аналогічні ситуації посилили увагу до інформаційної безпеки в таких країнах як Естонія та Грузія. Естонія в 2007 році зазнала масованих хакерських атак на свої урядові ресурси і після цього почала більш уважно ставитися до інформаційної безпеки. Аналогічно й Грузія, урядові ресурси якої було піддано масованим атакам у 2008 році.
— А в чому полягає так звана DDoS-атака?
— Особливо складного тут нічого немає. Для ілюстрації можна використати аналогію із службою відповіді на запити громадян поштою. Наприклад, є певне приміщення, де працюють люди, що відповідають на запити громадян. Умовно нормою навантаження є 1500—2000 листів. Це штатна робота системи. Під час атаки відбувається наступне: замість 2000 листів у приміщення безконтрольно потрапляють не тисячі, а десятки тисяч листів, поки вони не заповнюють собою весь простір. Причому більшість із цих листів взагалі не містить жодної корисної інформації — просто лист з адресою. Будь-які спроби відчинити двері в приміщення призводять лише до збільшення кількості таких листів. Зрозуміло, що в таких умовах ані відповідати, ані працювати служба не може, бо їй потрібен час, аби впоратися з тим, що вже є, та усунути причину, що призвела до такого збільшення листів у конкретний проміжок часу.
— Як ви оцінюєте дії тих, хто брав участь у кібератаках?
— Зважаючи про кого мова. Якщо про тих, хто забезпечив користувачів для цього всіма необхідними засобами (наприклад, запустив так звану «Низькоорбітальну іонну гармату», що забезпечувала можливість максимально простого здійснення DDoS-атак), то, напевно, тут можна думати про правову оцінку, однак це компетенція правоохоронних органів. Якщо казати про звичайних користувачів, які застосували цей механізм (тобто переходили на запропоновані ним посилання), то навряд чи тут можуть бути реально застосовані санкції. Швидше йдеться про додаткове інформування, оскільки насправді такі користувачі самі могли стати жертвами комп’ютерних зловмисників, що схожим чином крадуть персональні дані користувачів (логіни та паролі). Однак інформаційно-роз’яснювальна робота в сфері інформаційної безпеки для населення — це окрема велика тема.
— Скільки коштів має бути виділено на убезпечення державних інформаційних (і не тільки) ресурсів?
— Складно про це говорити, однак розвинуті країни витрачають на ІТ-безпеку мільйони доларів. Найближчим часом Україна навряд чи зможе вкладати такі самі кошти в кібербезпеку, як, наприклад, США, а це близько 14 млрд дол. При цьому американські фахівці вважають, що цих коштів однозначно недостатньо для побудови справді надійної системи кібербезпеки. Нагадаю, що весь держбюджет України — це близько 50 млрд дол.
Для кібербезпеки в усьому світі створюються спеціальні війська та підрозділи. В США взагалі створено Кіберкомандування, керівник якого поєднує свою посаду з керівництвом найбільш потужною радіоелектронною розвідкою США — Агентством національної безпеки.
Скільки потрібно витрачати Україні, сказати важко. Думаю, що перші цифри з’являться після оцінки наслідків згаданих атак. Безумовно, держава має виваженіше підійти до реалізації Національної програми інформатизації та ефективності витрачених на неї коштів.
— Що потрібно державі, аби захиститись від таких атак у майбутньому?
— Перш за все, формування чіткої державної політики в сфері кібербезпеки. На законодавчому рівні. Більшість провідних країн (у тому числі і наші безпосередні сусіди Польща, Румунія) або вже прийняли, або перебувають у процесі прийняття керівних документів у сфері кібернетичної безпеки. Україна також потребує такого документа. По-друге, має змінитися ставлення громадян до сфери інформаційної безпеки держави. Кібербезпека — це той самий випадок, коли вона, як записано в Конституції України, є «справою всього українського народу», бо будь-який фахівець з інформаційної безпеки скаже вам, що від кіберзлочинів держава не може захиститись самотужки. Ефективна безпека можлива лише у співпраці з приватним сектором, громадянським суспільством та звичайними громадянами. На жаль, до останнього часу кіберзлочини все ще є «соціально прийнятними» в нашому суспільстві. І події навколо EХ.ua це певною мірою продемонстрували.
Юлія БЕБА
для «Урядового кур’єра»
ДОСЬЄ «УК»
Дмитро ДУБОВ. Народився 23 червня 1982 року. Закінчив Київський національний університет культури і мистецтв за спеціальністю «Документознавство та інформаційна діяльність». У 2007 році став кандидатом політичних наук з напрямку «Основи національної безпеки держави». 2003 — 2010 рр. працював у відділі інформаційної безпеки та міжнародних інформаційних відносин Національного інституту проблем міжнародної безпеки РНБО України. З липня 2010 р. — завідувач відділу досліджень інформаційного суспільства та інформаційних стратегій Національного інституту стратегічних досліджень при Президентові України.
Ми в Google+