Was sind die größten Sicherheitsbedenken der NSA?

Cybersicherheit ist wichtig für Wirtschaft und Industrie, aber noch wichtiger für unsere Regierung, so Rob Joyce, Direktor der Cybersicherheitsabteilung der NSA, der den Teilnehmern der RSA-Konferenz einen Überblick über die wichtigsten Bedrohungen und Trends gab, die die Behörde im letzten Jahr identifiziert hat .

Russland und Ukraine

Joyce begann mit dem, was seiner Meinung nach “normalerweise in aller Munde ist, wenn wir anfangen, über Bedrohungen zu sprechen” – die Ukraine und Russland.

Er lieferte einige ernüchternde Statistiken. Im Jahr 2022 gab es mehr als 2.000 Cyberangriffe aus Russland, mehr als 300 davon gegen Verteidigungs- und Sicherheitssektoren, mehr als 400 gegen Infrastrukturen wie Energie und Finanzen und mehr als 500 gegen Regierungsstellen, die nicht der Verteidigung dienen. „Das sind mehr als 10 Cyberangriffe pro Tag, die sich gegen einen breiten Bereich der Infrastruktur richten“, bemerkte Joyce. „Im Jahr 2023 meldet die Ukraine immer mehr integrierte Cyber- und kinetische Angriffe.“

Joyce nannte drei Hauptziele dieser Cyberangriffe. Erstens hilft das Sammeln von Informationen bei der Verfolgung des kinetischen Schießkriegs. Zweitens können störende Angriffe die Zivilgesellschaft zerstören. Drittens gibt es haktivistische Aktivitäten auf beiden Seiten.

Insgesamt habe ich Bedenken bzgl [hacktivists defending Ukraine]. Ich glaube wirklich, dass das Hacken eines Nationalstaates von Natur aus eine Regierungstätigkeit ist.

„Wer ist im Kampf? Die GRU, der militärische Geheimdienst Russlands, ist wirklich von Beginn des Krieges an der vorherrschende Akteur“, sagte Joyce. Er merkte an, dass die Ukraine seit langem ein Ziel sei, und zitierte (neben anderen Angriffen) die NotPetya-Kampagne von 2017 und Whispergate von 2022, die ukrainische Websites am Vorabend des Krieges mit der Botschaft „Fürchte dich und erwarte das Schlimmste“ unkenntlich machte.

Joyce bemerkte, dass der SVR, Russlands externer Geheimdienst, „für das Sammeln von Informationen und das Starten von verdeckten Operationen verantwortlich“ sei, sagte er. „Wir wussten nicht, dass sie eine Hacking-Organisation haben.“ Der dritte Akteur ist der FSB oder der interne Geheimdienst für Russland, der oft mit Hacktivisten zusammenarbeitet oder ihre Aktionen erzwingt.

Joyce meinte, dass es nach dem Ende der Feindseligkeiten akademische Studien zur Hacktivismus-Situation geben werde. Er stellte fest, dass die Ukraine eine einsatzbereite Reserve-Cyberstreitmacht aufstellt und Menschen in anderen Ländern für die Ukraine zu den Waffen greifen.

„Insgesamt habe ich diesbezüglich Bedenken“, sagte Joyce. „Ich glaube wirklich, dass das Hacken eines Nationalstaats von Natur aus eine Regierungstätigkeit ist.“ Er fuhr fort: „Die letzte Wendung in all dem ist wirklich die Idee, dass die Haktivisten aus Russland eine natürliche Ressource für Russland sind.“

China – die größte Herausforderung

China ist jedoch die größte gegenwärtige und zukünftige Herausforderung für die USA. Joyce nannte es ein Land, dessen Ziel es sei, die Weltordnung zu stören, und stellte fest, dass China langfristige Pläne mache, die auf eine strategische Zukunft abzielen. Eine Einschätzung des Direktors des Nationalen Geheimdienstes aus dem Jahr 2023 nannte China „die breiteste, aktivste und hartnäckigste Spionagebedrohung für die USA“. Die NSA stimmt zu.

Joyce charakterisierte Chinas Sicherheitshaltung als strategisch, agil, dreist, innovativ und dauerhaft. Er verwies auf Ziele in den Bereichen Quantencomputer, Big Data, KI, Pharmazie und Militärtechnologie und sagte: „US-Unternehmen in diesen Sektoren können damit rechnen, angegriffen zu werden.“

Er wies auch auf Chinas Förderung der Informationskontrolle durch Normungsgremien hin. China ist in vielen dieser Gremien überrepräsentiert, ein Vorteil, der es ihm ermöglicht, westliche Technologie oder Standards, die die Technologie verbessern, abzulehnen. „Wir von der NSA haben in diesen Gremien einfach wegen unserer US-Herkunft Rückschläge erlebt“, sagte Joyce und ermahnte die Teilnehmer, ihre Unternehmen in den Standardprozess einzubeziehen.

Joyce merkte an, dass sich US-Behörden einst darauf verlassen konnten, dass chinesische Cyberangriffe laut und unausgereift seien, aber das sei nicht mehr der Fall. Tradecraft hat sich verbessert, und chinesische Teams sind Experten darin, versteckte Netzwerke einzurichten und Endpunkte zu hacken.

Was China als unverschämt bezeichnete, erklärte Joyce: „Es ist in Ordnung, wenn sie erwischt werden. Es gibt nicht viel Reputationsschaden, wenn man erwischt wird.“ Er warnte die Teilnehmer auch, dass sie nicht nachlassen sollten, wenn ihr Unternehmen sich gegen eine Advanced Persistent Threat aus China gewehrt habe. »Sie kommen zurück«, sagte Joyce. „Das ist das P in Advanced Persistent Threat.“

[AI] wird Menschen in Jobs nicht ersetzen, aber die Menschen, die lernen, KI zu nutzen, werden wahrscheinlich diejenigen ersetzen, die dies nicht tun.

Chinesische Sicherheitsangreifer nutzen seit langem bekannte, ungepatchte Schwachstellen. Die erste Wahl bei einem Angriff besteht darin, einen solchen im Netzwerk des Opfers zu finden. Doch ungepatchte Löcher werden immer seltener. „Wir wirken uns definitiv auf die VR China durch Patches und Sicherheit aus“, sagte Joyce. „Auch wir sind innovativ.“

Infolgedessen ist China gezwungen, mehr Zero-Day-Angriffe einzusetzen. „China veranstaltet jedes Jahr einen Wettbewerb namens the Tianfu-Cup(Öffnet in einem neuen Fenster), [which] bietet der Community zur Reaktion auf Sicherheitslücken Ziele zur Nutzung kommerzieller Produkte.“ Er merkte an, dass die Teilnehmer immens erfolgreich seien und fast jedes Ziel erreichen würden, und dass ein Gesetz von 2021 von jedem chinesischen Bürger, der einen Zero-Day entdeckt, erfordere, ihn innerhalb von zwei Tagen der Regierung mitzuteilen.

Was können wir tun, um uns zu verteidigen? „Bei der NSA liegt unser Fokus auf der Größenordnung“, sagte Joyce. „Wie skalieren wir gegen einen Gegner, der in großem Umfang ausbeutet?“ Er bot einen detaillierten Überblick über die Funktionsweise dieser Verteidigung und stellte fest, dass es bei der Verteidigung gegen einen Zero-Day wichtig ist, den Gegner nicht darauf hinzuweisen, dass Sie ihm gegenüber klug sind. Andernfalls, wenn sie wissen, dass das Geheimnis gelüftet ist, werden sie es massiv einsetzen, um alle Vorteile zu nutzen, die sie können, bevor Abwehrmaßnahmen entwickelt werden.

„Der andere große Schub ist jetzt Gegnerniederlage“, sagte Joyce. „Das ist jetzt eine ganze Organisation in der NSA. Ihre Aufgabe ist es, herauszufinden, wie man Angreifern das Leben schwer macht. Was können wir tun, um Sand in die Zahnräder zu streuen, den Kampf zu ihnen zu bringen, damit sie nicht nur die Möglichkeit haben, es immer wieder zu versuchen?

Der Erfolg kommt durch die Integration von Threat Intelligence mit handlungsfähigen Partnern wie Cyber ​​Command, CISA, dem Außenministerium, sogar dem Handel, dem Finanzministerium und dem FBI, sagte er. Das Engagement eines oder aller dieser Partner stellt sicher, dass „Gegner keine freien Torschüsse bekommen“.

Künstliche Intelligenz und maschinelles Lernen

Joyce bezeichnete KI als den großen Trend, über den alle reden. „Ich glaube, wir haben alle die Explosion gesehen“, sagte Joyce. “Es ist wirklich eine technologische Explosion, es ist kein Schlagwort.”

Aus NSA-Sicht, sagte Joyce, konzentriere er sich auf drei Dinge: Wie werden die Gegner es nutzen? Was können wir als Verteidiger damit anfangen? Und was könnte auf bösartige Weise mit Systemen geschehen, die auf KI angewiesen sind? Was könnte den üblichen Betrieb der KI vergiften?

„Ich erwarte nicht, dass irgendeine magische KI-generierte Fähigkeit all diese Dinge ausnutzt“, sagte Joyce. Er merkte an, dass Gegner die Fähigkeiten der KI zur Codeerstellung nutzen könnten, um Verteidiger zu überholen, die keine KI verwenden. Außerdem macht KI Phishing mit Nachrichten in englischer Sprache effektiver. Die Umcodierungs- und Refactoring-Fähigkeiten von KI helfen Gegnern auch dabei, Code umzuschreiben, um seine Signatur zu ändern.

Verteidiger werden ebenfalls gewinnen. „KI ist vielversprechend in der Fähigkeit, Routineaufgaben in großem Umfang zu erledigen“, sagte Joyce. „Das Scannen riesiger Mengen von Protokollen, das Herausziehen von Mustern … Es ist wirklich beeindruckend, wie es beschleunigt und enormen Datenbergen einen maschinenähnlichen Fokus verleiht.“

Wenn die Leute anfangen, KI-Modelle zu verstehen, werden einige versuchen, sie zu manipulieren. „Das ist im Moment ein offener Bereich für die Forschung“, sagte Joyce. „Wie bekommen wir Vertrauen und Gewissheit in die Dinge, auf die wir zählen werden?“ Joyce kam zu dem Schluss, dass die Zukunft der Sicherheit in der Automatisierung liegt und KI die Automatisierung explodieren lassen wird. „Es wird Menschen in Jobs nicht ersetzen“, sagte Joyce, „aber die Menschen, die lernen, KI zu nutzen, werden wahrscheinlich diejenigen ersetzen, die dies nicht tun.“

Terroristen und Partnerschaften

Joyce wies darauf hin, dass FISA 702 am Ende dieses Jahres untergeht. Das ist die Regierungsverordnung, die es den Geheimdiensten ermöglicht, Informationen über Nicht-US-Personen außerhalb der USA zu sammeln, die US-Infrastruktur wie E-Mail nutzen. FISA 702 wurde in den Tagen der Terrorismusbekämpfung geboren und hat sich weiterentwickelt, um die Cybersicherheit abzudecken. „Wir geben den Heimvorteil ab, wenn Abschnitt 702 wegfällt“, sagte Joyce. Es wird in allem verwendet, „vom Verständnis der Ransomware-Akteure bis hin zu Personen in nationalstaatlichen Phishing-Kampagnen“. Joyce drückte die Hoffnung aus, dass der Abschnitt erneut genehmigt wird.

Joyce schloss mit dem Argument, dass „unsere Reichweite mit ausländischen Geheimdiensten in Kombination mit der Macht der Industrie … eine wirklich starke Kombination ist. Wenn wir eine Bedrohung verstehen und ein industrielles Verteidigungsunternehmen schützen können, wird dies zu einem Schutz für uns alle.“

„Dies ist nicht nur eine Eins und fertig“, fügte er hinzu. „Die Bedrohungen, denen wir gegenüberstehen, entwickeln und verändern sich. Wir sehen, dass Partnerschaften wichtig sind, egal ob es sich um unsere Auslandspartnerschaften, Partnerschaften mit der Industrie oder mit der gesamten US-Regierung handelt.“

„Wir stellen auch ein“, bemerkte Joyce.

Es ist überraschend einfach, online sicherer zu sein