Diskutuojant apie šeštadienį–sekmadienį įvykusias atakas prieš įvairias interneto svetaines, spaudoje parodoma kai kurių politikų nuomonė, jog Lietuva yra pasiruošusi pasipriešinti kibernetinėms atakoms. Lietuva – šalis, kurioje kibernetinių nusikaltimų srityje nieko ypatingo nevyksta: padėtis primena sovietinius laikus, kai politikų manymu šalyje buvo „gera ir šviesu“. Deja, ne viskas taip gerai.
Diskutuojant apie šeštadienį–sekmadienį įvykusias atakas prieš įvairias interneto svetaines, spaudoje parodoma kai kurių politikų nuomonė, jog Lietuva yra pasiruošusi pasipriešinti kibernetinėms atakoms. Bet ar tikrai?
Lietuva – šalis, kurioje kibernetinių nusikaltimų srityje nieko ypatingo nevyksta: padėtis primena sovietinius laikus, kai politikų manymu šalyje buvo „gera ir šviesu“. Deja, ne viskas taip gerai.
Lietuva kažkuria prasme yra tarsi „užkonservuota“ valstybė, kadangi informacinio saugumo incidentų pas mus įvyksta mažai – visame pasaulyje masiniai tinklalapių nulaužimai, paskirstytos atsisakymo aptarnauti atakos, duomenų vagystės ir t. t. jau tapo savotiška norma. Bet pas mus kažkaip „tylu-ramu“, na gal kartą per metus atsitinka koks didesnis įvykis – tai paaugliai parašo paprastą interneto kirminą, kuris sugeba užkrėsti tūkstančių vartotojų sistemas, tai kažkas nulaužia kokią svetainę ar išmeta klientų pasų kopijas į šiukšlių konteinerį. Šie įvykiai labai garsiai skamba žiniasklaidoje, tačiau tai tėra ledkalnio viršūnė.
Didesnės problemos slypi giliau: kuriame nesaugią programinę įrangą, kurioje pilna pažeidžiamumų bei „galinių durų“, turime tinklo infrastruktūros problemų, susijusių su saugumu, galų gale į viską žiūrime aplaidžiai: netgi ir dabar, po užfiksuotų atakų susirinks koks valstybinis komitetas, pakalbės ir nieko nepadarys. Arba jei pasiseks, padarys kažką, kas atrodys įspūdingai, tačiau bus realizuota „pagal lietuvišką praktiką“.
Kalbant apie programinę įrangą, daugelyje lietuviškų gaminių egzistuoja pavojingi bei mažiau pavojingi pažeidžiamumai, suteikiantys įsilaužėliams galimybę atlikti savo juodą darbą. Įdomiausia tai, kad svetainių išvaizdos pakeitimas dažnai nėra „galutinis tikslas“ – įsilaužėliams svarbiau brautis gilyn į tinklą, surasti juos dominančią informaciją bei išnaudoti ją savo tikslams. Kitas aspektas, įgalinantis masinius nulaužimus yra „galinės durys“ į administracinį „skydelį“. Beveik visi svetainių kūrėjai palieka tokią galimybę tam, kad galėtų operatyviai tvarkyti iškilusias problemas su svetaine. Toks priėjimas gali būti leidžiamas naudojant visur tą patį slaptažodį, tačiau jungtis galima tik iš gamintojo įmonei priklausančio serverio, kuris gali būti ir, labai kažkam panorėjus, bus, nulaužtas.
Vienas pagrindinių faktorių dėl Lietuvos IT saugumo sąstingio tai lietuviško „pogrindžio“ nebuvimas. Apie jį diskutuojama, daug kalbama bei išgalvojama, tačiau tai tėra kalbos. Lietuvoje nėra daug kvalifikuotų įsilaužėlių, o tie, kuriuos galima laikyti kvalifikuotais – puikiai suvokia, kad geriau laužyti „tyliai“ ir niekam nesigirti: taip ir persekiojimo išvengs, o ir informacijos vagystė nebus pastebėta. Nemažai kibernetiniais nusikaltimais užsiimančio „jaunimo“ dirba užsienio rinkose – perka MP3 grotuvus ir virtualių žaidimų inventorių už svetimus pinigus.
Deja, lietuviai informacinio saugumo problemas sprendžia labai paprastai. Išplautos smegenys kviečia vadovautis visokio plauko tarptautiniais standartais ir politika. Daugeliu atveju tai nepasiteisina vien dėl to, kad informacinis saugumas nėra šabloniškas dalykas, tinkantis visiems vienodai. Negalime be rimtos priežasties (iš tiesų ši priežastis tėra viena – užsieniečiai prašo parodyti sertifikatą) spraustis į „standartinį“ rėmą, nes tai yra pernelyg brangu. O kur yra brangu – lietuviai taupo ir taupys, todėl daugelis organizacijų formaliai atitinka standartus, nors jie neįgyvendinami arba įgyvendinami netinkamai.
Informacijos saugumas – tai kova su priešu, kuris lauždamasis į sistemas ar į organizaciją ieško bet kokių nestandartinių kelių, o ne vadovaujasi ISO standartais. Todėl norėdami pasipriešinti hakerių legionui, turime keisti kursą: nuo popierinių kardukų pereiti prie rimtų gynybinių ginklų kūrimo. Lietuvai reiktų orientuotis ne į keletą funkcijomis besidubliuojančių valstybinių institucijų, kovojančių su vėjo malūnais bei šešėliais ir tepagaunančių vaikų pornografiją platinančius universitetų darbuotojus, o keisti kryptį link realių prevencinių veiksmų: kompleksinio technologinio saugumo taikymo ir realių atakų prieš organizacijas simuliacijas – įsibrovimo testus, kuriuos atlikti turėtų ne pinigų sertifikuoti popierių rašymo „specialistai“, o žmonės, turintys pažeidžiamumų paieškos ir išnaudojimo patirties bei „įsilaužėlio logiką“.
