Gentileza de Alberto F. Olivares Alvarez

Master Of Economic Intelligence

Especialista en Infraestructuras Criticas TIC y Operaciones de Misión Critica

Member

SCIP       :   Society of Competitive Intelligence Professionals

IACSP    :  International Association for Counterterrorism and Security Professionals  

AFCEA   :  The Armed Forces Communications and Electronics Association

 

Estados Unidos efectúa simulaciones y juegos de guerra para prepararse ante ataques cibernéticos.

17 de febrero 2010 , Por Kenneth Corbin

WASHINGTON – En el caso de que un ataque cibernético masivo en los EE.UU. afecte grandes áreas de las infraestructuras críticas, como las telecomunicaciones y los sistemas de poder, funcionarios públicos y militares se verán obligados a hacer una larga lista de decisiones que podría tener amplias implicaciones en la intimidad de las personas y el control del sector privado a través de redes específicas.

Un grupo de ex altos funcionarios exploraron ese escenario la mañana del martes pasado en una simulación de juego de guerra que imaginó una reunión de emergencia del Consejo de Seguridad Nacional para trabajar una respuesta de la administración responsable ante un ataque cibernético. De acuerdo a el escenario planteado, el ataque se originó con una aplicación móvil que auto-replicaba un malware en y a través de las redes inalámbricas,  agotando al principio con las llamadas una gran parte de Internet y las redes de cable e interrupción del suministro eléctrico agregando la amenaza de desactivar los sistemas de suministro de petróleo y gasoductos.

Algunas de las decisiones que un gobierno podría ser presionado a realizar en estos casos serían muy impopulares y profundamente preocupantes para los defensores de la política libre de algunos sobre Internet, aun cuando estos muchos se basan en una autoridad legal nebulosa.

“No podemos pedir. Vamos a tener que contar”, dijo Michael Chertoff, el ex secretario de Seguridad Nacional que participo el  martes del juego de simulación de ciberataque y actuó en el papel de asesor de seguridad nacional. “El mayor peligro no es que vamos a ofender a la gente, sino que vamos a ser visto como ineficaces.”

El ataque hipotético objeto de la simulación del martes apareció en la forma de una aplicación de Smartphone llamado March Madness, que tiene por objeto ofrecer un juego interactivo sobre el torneo anual de basquetbol colegial. Una vez descargada, la aplicación se transmitió a todos los contactos de la libreta de direcciones de un usuario, inundando e infectando la mayoría de  las redes inalámbricas y la congelación de las comunicaciones celulares de gran parte del país. En poco tiempo, la aplicación comenzó a extenderse por las redes sociales, con efectos cascada en el tiempo para el resto de Internet y causando estragos en los componentes  IP-activos de la infraestructura de EE.UU..

En el escenario imaginado, los investigadores habían desarrollado un parche para el gusano “March Madness”, pero muchos usuarios de teléfonos móviles no atendieron la advertencia, ya que no había descargado la aplicación, por lo que el malware continuó propagándose a través de personas de las listas de contactos. Entonces, ¿qué podría hacer el gobierno?

“El Gobierno no tiene la autoridad en este pais para aplicar una cuarentena a los teléfonos celulares  de las  personas “, dijo Jamie Gorelick, Fiscal General Adjunto en la administración Clinton que estaba en el papel de fiscal general en la simulación de esa mañana. En una reunión del Consejo de Seguridad Nacional, el papel del fiscal general es asesorar a los funcionarios de la administración de sus alcances en su autoridad legal para responder a un evento, como en el ataque cibernético simulado, en que esta autoridad se ve socavada por la propiedad privada de las redes y un organismo de escaso precedente.

“Estamos operando en un area de territorio desconocido”, dijo Gorelick. “El Gobierno casi no tiene autoridad legal en cualquiera de estas áreas”.

“Estoy realmente sorprendido de que no tenemos la autoridad. Si se tratara de alguien con viruela vagando por el Super Bowl, si tenemos la autoridad para ponerlo en cuarentena”, dijo Stewart Baker, el ex abogado general de la Agencia de Seguridad Nacional, que desempeñó el papel de coordinador de informática, una nueva posición que el Presidente Obama ha establecido para armonizar los esfuerzos federales de seguridad cibernética.

En el corazón de los funcionarios de la administración existe un dilema que enfrentamos en el caso de un ataque cibernético, es importante la extensión de la autoridad del gobierno para intervenir en el sector privado, que posee aproximadamente el 85% de la infraestructura digital de la nación. En la simulación, Baker y otros abogaron por un enfoque agresivo en que el gobierno se apoyaría en los ISP para apagar o poner en cuarentena las partes afectadas de sus redes.

“Esta es una industria regulada”, dijo Baker, refiriéndose a la autoridad de la Comisión Federal de Comunicaciones (FCC). “No podemos tomar estas autoridades y decirles lo que tienen que hacer para conseguir que dejen este gusano fuera de nuestro sistema.”

Después de la simulación, que recibió el grupo de expertos y que fue organizada por el Centro de política bipartidista, varios de los ex funcionarios salieron de sus funciones en el juego  y expresaron su preocupación de que el Congreso no ha producido una legislación que promueva  la figura de una autoridad ejecutiva a la cabeza ante un ataque cibernético.

No es por falta de intentos. En abril pasado, los senadores John Rockefeller (DW.V.) y Olympia Snowe (R-Maine), presentaron un proyecto de ley que pretendía hacer frente a muchas de las incertidumbres jurídicas de relieve  a causa de los resultados por el ejercicio del martes, incluyendo una atribución que daría a la autoridad del Presidente de intervenir sobre las redes  privadas en el caso de una emergencia de los llamados “ciber-ataques”.

El proyecto de ley se convirtió rápidamente en un imán para la controversia, tanto para los ciber-idioma de emergencia y las disposiciones que autorizan al Departamento de Comercio para reemplazar a las leyes de privacidad existente para recoger la red de transmisión de datos relacionados con un ataque.

El Juego de guerra cibernética del martes pasado dejo al descubierto las fricciones entre la seguridad nacional y los privacidad, y  que se produjo en forma dramática cuando  AT & T (NYSE: T) y otros proveedores cooperaron con la Agencia de Seguridad Nacional en su programa de vigilancia interna. Grupos de Libertades civiles, incluyendo la Electronic Frontier Foundation saltaron sobre la cuestión, orquestando el pleito de los litigios contra el gobierno y AT & T en un fiasco de relaciones públicas que los operadores de red probablemente no estarían dispuestos a repetir una asociación secreta con el gobierno en nombre de la seguridad cibernética.

Las maniobras de ciberguerra del martes desvelaron la fricción entre seguridad nacional e intimidad que llameó de la moda dramática cuando AT&T (NYSE: T) y otros abastecedores cooperaron con la Agencia de Seguridad nacional en su programa de vigilancia doméstico. Los grupos de libertades civiles incluso la Fundación Frontera Electrónica saltaron en la cuestión, orquestando el pleito contra el gobierno y AT&T en un fiasco de relaciones públicas que los operadores de red no estarían probablemente impacientes por repetir emprendiendo una sociedad secreta con el gobierno en nombre de la ciberseguridad.

“La estructura de nuestras leyes de hoy es que a menos que se pueda demostrar que la acción que se está tomando está debidamente autorizada por el gobierno, se expone a quedar abierto a demandas,” dijo Gorelick. “Ellos van a querer, como cuestión práctica, una certificación de los niveles más altos de gobierno”.

Como otro punto de vista práctico, se recomienda que el Presidente envíe un mensaje claro al público indicando que sus derechos de privacidad podrían ser víctimas de un ataque cibernético más importante, como la describió el martes.

“Estoy sugiriendo que decirle a la gente de forma preventiva que sus expectativas de intimidad no es lo que eran,” dijo Gorelick durante la simulación.

El Presidente Obama ha elevado a la seguridad cibernética en una prioridad de política del más  alto nivel desde los primeros días de su administración, encargando una revisión a fondo de la iniciativas del Gobierno  en esta asunto, lo que culminó en una una directriz de la Casa Blanca en mayo pasado en la cual se recogen los resultados y se anunciaron los planes para crear el cargo de coordinador cibernético, Un papel que finalmente se llenara en diciembre. Pero en ese discurso, el Presidente Obama prometió que la defensa de la seguridad y la vitalidad de la economía frente a las amenazas informáticas no irían en perjuicio y disminución de los derechos a la vida privada o las libertades civiles. También reiteró su apoyo a la neutralidad de la red, otra vaca sagrada que los funcionarios de la simulación del martes, dijeron podría estar en riesgo ante la necesidad de examinar los datos a nivel de paquetes en los ISP para poder filtrar tráficos maliciosos.

“Este es un momento de neutralidad donde la red no es tu amigo”, dijo Fran Townsend, que había servido como asesor de seguridad nacional del presidente George W. Bush y que desempeñó el papel de Secretario de Seguridad Nacional en ejecución práctica del martes. “En la medida en que no hay neutralidad de la red, esto debe ser levantado.”

Los mecanismos de respuesta del gobierno a un ataque cibernético se complican aún más cuando la amenaza emana de una nación extranjera, como es el caso de  muchos ataques. En el caso  del ataque  locura de marzo y  su simulación, la actividad maliciosa se origina en los servidores de la ciudad rusa de Irkutsk, para entonces en forma posterior un informe de inteligencia identifica a un individuo, con sede en Sudán.

Ataques originados en el extranjero, como el reciente ataque a  Google (NASDAQ: GOOG) y, según se informa, además de otras dos docenas de empresas por hackers presuntamente basados en China, levantan las apuestas diplomáticas en la política de EE.UU. de seguridad cibernética. A menudo es imposible determinar si el perpetrador de un ataque es un hacker o un lobo solitario, una organización con un interés personal, un grupo patrocinado por el Estado o una operación del gobierno. Por ejemplo, las conexiones entre las hackers que incapacitaban gran parte de la infraestructura digital de Georgia en el verano de 2008 y el gobierno ruso, aunque extenso, no están claros.

“La atribución es una de las cuestiones más difíciles de tratar,” dijo John Negroponte, quien recientemente se desempeñó como subsecretario de Estado de Bush, y en el papel de la secretaria de Estado en la simulación. “Tenemos que encontrar una manera de elevar las cuestiones de seguridad cibernética y los ataques cibernéticos en nuestro discurso internacional”.

Kenneth Corbin es un editor asociado de la InternetNews.com, El servicio de noticias de Internet.com, La red de profesionales de la tecnología.

Deja un comentario