Intelligence: culegerea de informaţii în serviciile speciale

Trăim într-o perioadă care se caracterizează din ce în ce mai mult prin dezvoltarea exponenţială a tehnologiei.

O tehnologie care reprezintă, de asemenea, o potenţială ameninţare pentru noi toţi, cei care trăim sub spectrul unei arhitecturi de supraveghere omniprezente, activă 24 de ore pe zi, 365 de zile pe an. Această arhitectură, după cum am văzut, serveşte interesele marilor OTT (Over the Top), adică ale mastodonţilor care gestionează cumpărarea şi vânzarea datelor noastre personale şi, mai ales, achiziţionează partea predictivă a obiceiurilor şi comportamentelor noastre.

În acest scenariu, Facebook este acum una dintre sursele de autoritate în materie de modele comportamentale. Acest model de afaceri este denumit în cartea cu acelaşi nume a lui Shoshana Zuboff - "Capitalismul de supraveghere", un scenariu în care datele sunt folosite ca bază pentru adevărate războaie şi mişcări de putere care pun la îndoială chiar şi democraţiile.

Acest scenariu a fost, de asemenea, complicat de conflictul ruso-ucrainean, care are implicaţii majore pentru ţările NATO în ceea ce priveşte războiul cibernetic. La momentul redactării acestui articol, există rapoarte în presă despre atacuri ale grupurilor pro-ruse împotriva multor organizaţii guvernamentale şi instituţii financiare.

Aceste evoluţii au remodelat rolul serviciilor de informaţii, introducându-le cu putere în strategiile de securitate cibernetică ale organizaţiilor publice şi private.

Dar despre ce vorbim? Care este semnificaţia acronimelor pe care le citim în ziare? Care este relaţia dintre inteligenţa în lumea fizică şi inteligenţa în lumea digitală?

• Activitatea serviciilor de informaţii

Activitatea serviciilor de informaţii este produsul colectării, evaluării, analizei şi interpretării informaţiilor colectate.

Elaborarea unui produs de informaţii necesită colectarea de informaţii dintr-o varietate de surse, care trebuie selectate în funcţie de obiectivele solicitate de organizaţie.

În acest context, produsul de informaţii oferă statelor datele de care au nevoie pentru a-şi promova interesele naţionale. Organizaţiile de informaţii caută în mod obişnuit informaţii despre capacităţile militare, probleme de securitate naţională, programe economice şi poziţii diplomatice.

În scenariul digital/cyber, scenarii similare sunt folosite pentru a preveni ameninţările sau pentru a colecta informaţii strategice. Programe din ce în ce mai sofisticate au devenit parte a strategiei de protecţie cibernetică defensivă/ofensivă, atât pentru guverne, cât şi pentru companiile din sectorul "infrastructurilor critice", deşi acestea din urmă se limitează la partea defensivă a strategiei.

Activitatea de informaţii poate fi împărţită în două categorii: strategică şi operaţională. Primul furnizează informaţiile necesare pentru ca factorii de decizie să facă alegeri sau să ia decizii pe termen lung. În mod normal, aceste date trebuie să fie completate cu informaţii despre politică, economie, interacţiuni sociale şi evoluţii tehnologice. Pe de altă parte, informaţiile operaţionale se referă la evenimente curente sau pe termen scurt şi nu implică proiecţii pe termen lung.

• Tehnici de colectare a informaţiilor

Există mai multe discipline utilizate pentru colectarea de informaţii. Aceste discipline includ informaţii umane (HUMINT), informaţii de semnale (SIGINT), informaţii de imagini (IMINT), informaţii de detectare a frecvenţelor radio şi a emisiilor radio (MASINT) şi, în cele din urmă, informaţii obţinute prin căutarea de surse disponibile pe deep web (OSINT).

În ceea ce priveşte OSINT, trebuie remarcat faptul că, cu cât o organizaţie sau un stat îşi expune mai deschis datele, cu atât acest tip de activitate are mai mult succes. Ziarele, site-urile web, bazele de date online şi reţelele sociale devin adesea surse de informaţii de mare valoare, în special în ceea ce priveşte multe activităţi guvernamentale şi comerciale.

Activităţile de informaţii umane, HUMINT, sunt sinonime cu spionajul şi activităţile clandestine, cum ar fi cele descrise în cartea lui Fabrizio Gatti (Educazione Americana) , dar nu trebuie neglijate nici activităţile desfăşurate de diplomaţi şi ataşaţi militari.

Această disciplină reprezintă cea mai veche metodă de culegere de informaţii şi a fost, până la sfârşitul secolului al XX-lea, principala sursă de informaţii pentru guverne, precum şi pentru organizaţiile private.

Activitatea HUMINT include activităţi subversive, sensibile şi clandestine care îi vizează pe cei care controlează, supraveghează şi au acces la sursele vizate. Activităţile subversive pot fi abordate în mod deschis: în acest caz, cei care colectează informaţiile pot fi diplomaţi, ataşaţi militari, membri ai delegaţiilor oficiale care participă la sau gestionează publicaţii sau conferinţe neclasificate.

Activităţile clandestine, pe de altă parte, necesită agenţi sub acoperire în ţări/organizaţii. Gestionarea acestei variante de HUMINT necesită un număr mare de persoane, atât cele care culeg informaţii, cât şi cele care sprijină şi coordonează diferitele activităţi din teren.

• HUMINT în Onlife

În prezent, atât actorii rău intenţionaţi, cât şi profesioniştii din domeniul securităţii cibernetice au la dispoziţie tehnologii din ce în ce mai eficiente şi mai mortale, atât în sens digital, cât şi, potenţial, în sens fizic. Alături de tehnologii, avem cele mai utile instrumente din câte există, şi anume cunoştinţele şi experienţa umană.

Din aceste motive, este uşor de înţeles că utilizarea HUMINT este un element vital atât pentru cei care lucrează pentru a detecta acţiunile infractorilor cibernetici, cât şi pentru cei implicaţi în gestionarea şi prevenirea ameninţărilor.

Înţelegerea motivaţiilor, tendinţelor şi motivelor adversarilor este esenţială pentru orice tip de război, inclusiv pentru războiul cibernetic. După cum confirmă literatura de specialitate, trebuie să ne cunoaştem inamicul "punându-ne în locul acestuia"; trebuie să avem mereu în vedere faptul că inamicul în războiul cibernetic poate fi virtual, anonim, dar niciodată invizibil.

Tehnica utilizată în lumea digitală este identică cu cea utilizată în lumea fizică. Un vânător de ameninţări, pentru a desfăşura cu succes activităţi HUMINT, trebuie să înveţe să gândească precum actorii care pun în aplicare ameninţările: trebuie să identifice instrumentele, tehnicile utilizate şi să înţeleagă obiectivele acestora.

Toate acestea necesită abilităţi bune şi capacitatea de a se infiltra printre actorii care reprezintă ameninţări cibernetice, de a le câştiga încrederea şi de a le învăţa modul de operare. Un efort echivalent cu cel depus de agenţiile de informaţii atunci când introduc un agent sub acoperire pentru a se infiltra într-o organizaţie criminală.

Este o muncă minuţioasă şi care pune nervii la grea încercare: identificarea locurilor digitale în care se adună actorii răuvoitori pentru a face schimb de informaţii, forumurile de pe dark web, chat-urile IRC, camerele virtuale şi pieţele negre.

Este la fel de periculoasă precum lumea fizică, oricare ar fi nivelul de experienţă şi de pricepere al fiecăruia. Atunci când intri în partea întunecată a internetului, unde există actori din toate colţurile lumii, care sunt adesea în conflict între ei, eşti în permanenţă analizat.

Pe aceste forumuri, administratorii sau moderatorii examinează tot ceea ce vă priveşte pentru a stabili dacă sunteţi un infiltrat. O simplă suspiciune este suficientă pentru a vă anula accesul.

Desigur, înainte de a începe această activitate, este important să vă protejaţi prin gestionarea foarte bună a propriei securităţi. Vânătorii de ameninţări au nevoie de instrumente care să le ascundă adevărata identitate; de la instrumente simple, cum ar fi conectarea la VPN şi stăpânirea TOR, lista se extinde până la implementarea de proxy-uri şi utilizarea de maşini virtuale.

Expunerea poate reprezenta o ameninţare serioasă pentru sine şi pentru organizaţia pentru care se lucrează. În contextul acestor activităţi, este necesară prudenţa, iar cunoaşterea limitelor care nu trebuie depăşite în dark web este obligatorie. Odată depăşite, consecinţele ar putea fi urmărirea de către forţele de ordine sau chiar, în funcţie de natura specifică a activităţilor desfăşurate, conflictul cu departamentul juridic al propriei companii.

Culegerea de date prin tehnici HUMINT poate necesita mult timp: prin urmare, este necesar să se apeleze la tehnologii de ultimă oră, ţinând întotdeauna cont de obiectivele şi ţintele infractorilor în cadrul propriei organizaţii, adică, în primul rând, infrastructura şi procesele operaţionale critice.

Gestionarea iniţiativelor HUMINT nu înseamnă să vă bazaţi doar pe voi înşivă: recomandăm cu tărie să lucraţi în echipă cu companii de securitate cibernetică de renume, deoarece, în general, cu cât adunaţi mai multe informaţii, cu atât este mai bună calitatea muncii pe care o desfăşuraţi.

Având în vedere că informaţiile provin din surse multiple, de la dark web la reţelele sociale etc., este esenţială crearea unei combinaţii potrivită de analişti, atât interni, cât şi externi. Activitatea desfăşurată nu se poate baza pe o căutare aleatorie a actorilor de pe dark web, ci trebuie să îi identifice pe cei care au acces la sursele şi resursele specializate necesare pentru a ajunge la bunurile care necesită protejare.

De exemplu, în sectorul financiar, ar putea fi utilă existenţa unor surse printre dezvoltatorii care comercializează şi cumpără informaţii despre carduri de credit sau PIN-uri şi moderatorii forumurilor pe această temă.

Există liste pe Jabber, iar pe acest sistem de mesagerie descentralizat oamenii pun întrebări sau caută indicii pentru a investiga. În timpul acestei activităţi, trebuie să gestionaţi şi să menţineţi mai multe profiluri, fiecare cu propria listă de persoane pe care ştie că le poate contacta pe Jabber.

Este evident că trebuie să fim atenţi să nu facem nimic ilegal, să nu cumpărăm nimic şi cu siguranţă să nu manipulăm materiale ilegale.

Un alt punct care trebuie rezolvat este cel al intervalului orar, dacă vreţi să păstraţi credibilitatea profilurilor voastre, trebuie să ieşiţi din paradigma 09:00-17:00 şi din săptămâna de lucru clasică a angajaţilor, deoarece absenţa avatarului vostru în afara acestui interval orar ar atrage cu siguranţă suspiciuni din partea surselor voastre.

Pentru a fi credibil, aveţi nevoie de o prezenţă online constantă, va trebui să menţineţi avatarurile mult dincolo de orele de program şi să accesaţi forumurile chiar şi în weekend.

• Concluzii

Software-ul, instrumentele şi tehnologiile evoluează rapid, dar chiar şi în acest scenariu complex există întotdeauna factorul uman; toate atacurile cibernetice sunt conduse de oameni. Tocmai de aceea, cunoaşterea motivaţiilor adversarilor şi a tendinţelor care stau la baza campaniilor şi atacurilor maliţioase vă poate ajuta să luaţi decizii strategice şi să direcţionaţi investiţiile care să ne protejeze cel mai bine infrastructurile.

După cum am descris, activitatea HUMINT poate fi o parte esenţială a strategiei de apărare cibernetică, dar poate fi şi incredibil de periculoasă. Disimularea propriei identităţi şi a obiectivelor activităţii este crucială.

Pentru început, se poate apela la platforme de informaţii care încorporează acest serviciu sau chiar la companii care oferă în mod special acest tip de serviciu. Instrumentele tradiţionale şi tacticile HUMINT combinate oferă capacitatea de a identifica comportamentul infracţional şi permit trecerea la o abordare mai proactivă a securităţii cibernetice, care se concentrează pe prevenirea atacurilor, deoarece cea mai bună formă de rezilienţă şi adaptare este cea care opreşte ameninţările înainte ca acestea să afecteze infrastructurile şi procesele noastre critice.

Nicola Sotira : Şef al CERT la Poste Italiane Group, Nicola lucrează în domeniul securităţii IT şi a reţelelor de peste douăzeci de ani, cu experienţă dobândită în medii internaţionale. Contextele pe care le-a abordat acoperă criptografia, securitatea infrastructurii, dar şi reţelele mobile şi 3G. A colaborat cu mai multe reviste IT în calitate de jurnalist, contribuind la diseminarea cunoştinţelor legate de securitate şi de aspectele sale tehnice şi juridice. Membru al Association for Computing Machinery (ACM) din 2004, Nicola a colaborat cu mai multe start-up-uri în Italia şi în străinătate. În acest domeniu, a participat alături de mai multe companii la proiectarea şi dezvoltarea de servicii mobile; este coeditor al versiunii italiene a Cybersecurity Trends (www.cybertrends.it) şi a făcut parte din consiliul de administraţie al Global Cyber Security Foundation (GCSEC).