Янко Спасов: Имейлите не са непроследими, но проследяването става далеч по-трудно

След серията от фалшиви сигнали за бомби към институции и сгради на компании отново на дневен ред е въпросът за сигурността на информационните системи и институционалната реакция при подобни ситуации. В студиото на „Денят започва“ експертът по киберсигурност инженер Янко Спасов коментира доколко могат да бъдат проследени авторите на заплашителните имейли, как трябва да се обработват подобни сигнали и необходимо ли е централизирано координиране на информацията.

инж. Янко Спасов, експерт по киберсигурност: „Чак непроследима не бих казал, но да - прави ситуацията по-трудно проследима. Телефоните някак по-лесно се проследяваха, а имейлите можете да ги изпратите от другия край на света. На практика един имейл може да премине през стотици сървъри по пътя си и проследяването става далеч по-трудно. Да не говорим, че в интернет има безкрайно много услуги, които помагат за анонимизация на изпращача - анонимни имейл сървъри и други подобни. Въобще не е толкова просто проследяването на един такъв имейл.“

По думите му при подобни случаи разследването може да стигне до определен момент, след което да се наложи работа с международни партньорски служби.

„Не очаквайте ГДБОП или ДАНС да могат да дадат отговор в рамките на два-три часа. Те стигат до някакво ниво, след което вече опират до място, където трябва да се работи с партньорски служби, трябва да се изпратят международни контакти. В крайна сметка могат да стигнат до това, че съобщението е изпратено от някакъв анонимен сървър, но дотам“, каза експертът.

Спасов коментира и реакцията на институциите при масирана кампания от фалшиви сигнали. Според него една от слабостите е липсата на достатъчно публична информация.

инж. Янко Спасов, експерт по киберсигурност: „Не мога точно да определя каква би трябвало да бъде институционалната реакция. Знам едно - до момента, както виждате, няма някаква официална информация, освен че се работи по протокол. Естествено, когато има бомбена заплаха, има някакви протоколи, по които трябва да се действа и да се работи. Но има неща, които би трябвало да бъдат свършени и преди това, и след това, и по време на една масирана кампания от такива имейли. Първо, не трябва да се държи обществеността на тъмно, защото това поражда непрекъснати слухове и всякакви истории за съмнения.“

Той подчерта, че институциите не могат да дадат незабавен окончателен отговор за произхода на подобни съобщения, особено когато са използвани сложни методи за анонимизация. А затова дали съществуват системи, които могат да определят дали една заплаха е реална, или вероятно е фалшива, Спасов посочи, че се използват различни показатели, но няма метод, който да дава 100% сигурност.

инж. Янко Спасов, експерт по киберсигурност: „Няма 100% гаранция в нито един случай. В днешно време, особено в ерата на изкуствения интелект, в която живеем, всичко това може да бъде перфектно направено и то за много кратко време. Разбира се, че има начини и самите имейли носят информация за пътя, по който са изминали, преди да стигнат до получателя си. Тоест трябва да се прави триаж - и той най-вероятно се прави.“

По думите му анализът не трябва да се ограничава само до съдържанието на конкретния имейл.

инж. Янко Спасов, експерт по киберсигурност: „Вече отдавна мина ерата, когато един имейл е написан на лош български и директно си личи от пръв поглед, че това е някакъв лош превод. Днешните имейли идват на по-добър български, отколкото този, на който аз говоря или пиша. Но тази корелация, за която говорите - между стила на писане, на колко места е изпратен, дали е изпратен от едно и също място до всички тези места, дали стилът е един и същ, дали имейлът въобще е един и същ - е изключително важна.“

Според експерта ключовият въпрос е какво се случва с полученото съобщение след първоначалния сигнал.

„В много случаи, в някои администрации, от страх да не носи този имейл и нещо друго, могат дори да го изтрият. Това пък е абсолютно противопоказно в такъв случай, защото разследващите органи след това какво правят, ако имейлът е изтрит?“, предупреди той.

По думите му при подобни инциденти е необходимо не само да се съобщи за получената заплаха, но и да се съхранят всички данни, които могат да бъдат полезни за последващото разследване.

инж. Янко Спасов, експерт по киберсигурност: „Дали обаче тези имейли са докладвани до този център за киберинциденти, дали процедурата за реакция при инциденти е задействана - никой не казва. А именно това е мястото, откъдето може да се ескалира до по-горно ниво, на европейско ниво, до европейските структури и така нататък. Защото без съвместни усилия няма как да се разбере откъде идва една такава кампания.“

Според Спасов в България има достатъчно специалисти, които могат да участват в подобни реакции, а частният сектор също би могъл да бъде включен. Като пример Спасов посочи европейски модел за екип от висококвалифицирани специалисти, който да бъде поддържан в готовност за реакция при извънредни ситуации.

инж. Янко Спасов, експерт по киберсигурност: „Миналата година Европейската агенция за киберсигурност беше обявила един европейски проект, в който участваха и няколко български фирми. Проектът беше за нещо подобно на това, което в енергетиката наричат „студен резерв“. Тоест да се държи един екип от специалисти, на който да му се плаща, за да бъде този екип поддържан. Това е екип от висококвалифицирани специалисти, които да могат да реагират именно в такава ситуация, когато имаме някаква екстремна ситуация. Този екип веднага се мобилизира, отива до всяка една от точките и се действа. Ето едно такова нещо можете да направите включително и в България. Защо не?.“

В разговора беше засегнат и друг случай, при който е установен неоторизиран достъп за продължителен период до важна информация на държавни институции. Според Спасов подобни случаи трябва да бъдат разследвани докрай, тъй като представляват познат тип заплаха. По думите му изграждането на национална система за киберсигурност е важен процес, който трябва да бъде разглеждан и през призмата на реалните рискове пред държавните институции.

„Има един проект, с който се изгражда една национална система за киберсигурност. За тази национална система за киберсигурност много отдавна се говори. По ПВУ се получиха някакви пари, заделиха се средства за тази цел, вмениха се на едни организации някакви отговорности, че трябва да го изпълнят, и те тръгнаха да го изпълняват. Върви публично, но в публичното пространство върви завоалирано.“

В края на разговора експертът постави въпроса и за ролята на държавния системен интегратор в изграждането и поддържането на защитата на институционалните системи.

Вижте целия разговор във видеото