Inside Cyber Warfare - Chương III: Vấn đề pháp lý trong chiến tranh mạng (Phần cuối)

[WhiteHat News #ID:2018]

Không gian mạng: Lĩnh vực còn phức tạp ​

Câu trả lời cho câu hỏi "sự kiện nào được liệt kê ở phần trước được xem là một hành động chiến tranh mạng?” chính là “không sự kiện nào”. Cho đến khi cuốn sách này được viết, chưa từng có pháp nhân nào được gọi là “chiến tranh mạng”; vấn đề duy nhất được định nghĩa trong thỏa thuận quốc tế là quyền tự vệ khi bị tấn công của các quốc gia và chỉ áp dụng với kiểu tấn công truyền thống, hay tấn công “vũ trang”.

Ảnh minh họa (Nguồn Internet)​

Các hình thức tấn công mạng được liệt kê ở trên, từ nỗ lực nội bộ để ngăn chặn các phong trào phản đối (Zimbabwe, Kyrgyzstan) đến thuê tin tặc nhằm đánh sập các website chiến lược (Israel, Nhà nước Palestine), cho thấy lĩnh vực không gian mạng phức tạp như thế nào. Hơn nữa, thật quá ngây thơ khi nghĩ rằng mọi ngóc ngách của lĩnh vực này đã được hiểu rõ khiến vai trò của các cuộc diễn tập chiến tranh càng trở nên quan trọng. Thật không may, không phải ai cũng đồng tình với chiến lược này.

Theo báo cáo của Trung tâm nghiên cứu chiến lược và quốc tế Hoa Kỳ CSIS xuất bản tháng 2 năm 2009 có tựa đề: “20 cách kiểm soát và thước đo quan trọng nhất để phòng thủ mạng hiệu quả mà vẫn tuân thủ FISMA” (FISMA - Đạo luật Quản lý Bảo mật Thông tin Liên bang). Bản báo cáo có đoạn:

Nguyên lý chủ chốt trong Sáng kiến An ninh mạng Quốc gia Toàn diện của Mỹ (CNCI) là “tấn công phải đi đôi với phòng thủ”. Nói cách khác, kiến thức về các cuộc tấn công xâm nhập hệ thống thực tế chính là nền tảng cần thiết để xây dựng hệ thống phòng thủ hiệu quả. Ủy ban An ninh Nội địa và Các vấn đề Chính phủ của Thượng viện Hoa Kỳ đã đề nghị phát triển nguyên lý chủ chốt này thành Đạo luật Quản lý Bảo mật Thông tin Liên bang khi soạn thảo FISMA 2008. Đạo luật mới đề xuất này kêu gọi các cơ quan Liên bang:​

Thiết lập các giao thức thử nghiệm kiểm soát an ninh để đảm bảo hạ tầng thông tin của cơ quan, bao gồm cả các hệ thống thông tin của các nhà thầu hoạt động thay mặt cho cơ quan đó, được bảo vệ một cách hiệu quả trước các lỗ hổng, các cuộc tấn công và các hình thức khai thác lỗ hổng đã được biết đến.​

Đây là cách tiếp cận cực kỳ thiển cận về bảo mật. Mục tiêu ưa thích của các tin tặc hàng đầu là tìm cách khai thác các lỗ hổng zero-day, nghĩa là tìm kiếm lỗ hổng phần mềm chưa ai biết đến. Chỉ dùng những lỗ hổng cũ trong phòng thủ đồng nghĩa với việc các giao thức an ninh mạng của chúng ta lúc nào cũng phải chơi trò đuổi bắt.

Với nguy cơ phát hiện gần như bằng không, vấn đề pháp lý còn đang trong vòng tranh luận và chỉ có số ít ủng hộ hợp tác thực thi luật quốc tế, lĩnh vực không gian mạng có sự tương đồng với thực tại miền Tây hoang dã của nước Mỹ những năm 1800. Bàn phím thay thế cho súng lục và tin tặc là những tay súng mới nổi. Tuy nhiên, giữa cặp tương đồng này tồn tại sự khác biệt quan trọng: đất đai là khái niệm vật chất, có không gian ba chiều trong khi không gian mạng là một thế giới ảo, không chiếm diện tích về mặt vật lý, nhưng trong đó lại có lượng dữ liệu ngày càng lớn có khả năng kiểm soát các tiến trình vật lý.

Với kẻ địch, đây quả là môi trường giao tranh lý tưởng. Chúng có thể khiến mình vô hình khi thực hiện các cuộc tấn công gián điệp hoặc tấn công xâm nhập rồi tẩu thoát mà không sợ bị phát hiện. Chi phí cho việc đột nhập khá thấp và một cá nhân đơn lẻ có thể gây ra những hậu quả đáng kể (với sự trợ giúp của một mạng botnet đi thuê hoặc mua lại). Ngoài ra, tại nhiều quốc gia, kể cả Mỹ, hệ thống phòng thủ trước các vụ tấn công mạng còn phân tán, không đồng bộ, thiếu sự phối hợp và nhất quán. Đấu đá về chính trị, những thách thức về kinh tế và y tế leo thang dưới thời ông Obama đẩy vấn đề về an ninh mạng xuống dưới mức ưu tiên.

Dấu hiệu về bước thụt lùi trong cách phòng thủ trước các cuộc tấn công mạng có thể được nhìn thấy rõ nhất vào tháng 8 năm 2009, khi Thủy quân Lục chiến Hoa Kỳ tuyên bố lệnh cấm hoàn toàn việc truy cập tất cả các mạng xã hội (SNS) trên hệ thống mạng NIPRNET (hệ thống mạng máy tính không thuộc loại cần bảo mật của Bộ Quốc phòng Mỹ).

NỘI DUNG TỔNG QUAN/CHÚ THÍCH​ 1. MỤC ĐÍCH. Bức điện này thông báo lệnh cấm ngay lập tức hành động truy cập mạng xã hội trên hệ thống NIPRNET. 2. BỐI CẢNH Mạng xã hội là một dịch vụ Web cho phép con người giao tiếp với nhau thông qua việc chia sẻ các mối quan tâm hoặc các trải nghiệm chung (nằm ngoài mạng của Bộ quốc phòng) hoặc dành cho những người muốn khám phá những điều lý thú và trải nghiệm khác biệt với cuộc sống của mình. Những trang mạng này là nơi ẩn náu của các đối tượng và nội dung xấu, đặc biệt là nguy cơ gây ra lộ lọt thông tin rất cao, nội dung do người dùng tạo ra và là mục tiêu mà kẻ địch nhắm đến. Bản chất của mạng xã hội tạo ra kẽ hở cho các cuộc tấn công và khai thác, làm lộ lọt thông tin cho kẻ địch và dẫn đường cho các vụ rò rỉ thông tin, từ đó đặt các hệ thống OPSEC (Bảo mật hoạt động), COMSEC (Bảo mật truyền thông), các quân nhân và toàn bộ hệ thống của Thủy quân lục chiến trước nguy cơ bị xâm nhập ở mức cao. Ví dụ về các trang mạng xã hội gồm Facebook, Myspace và Twitter. 3. HÀNH ĐỘNG Để đáp ứng các yêu cầu của Tham chiếu A (Mệnh lệnh từ Bộ Chỉ huy Chiến lược Hoa Kỳ), kết nối đến các mạng xã hội từ hệ thống NIPRNET của MCEN bị cấm, kể cả các kết nối qua mạng riêng ảo (VPN). 4. CÁC NGOẠI LỆ A. Đuợc cơ quan ủy quyền của Thủy quân lục chiến Hoa Kỳ cấp phép thông qua quy trình miễn trừ. B. Đuợc phép truy cập đến các dịch vụ tuơng tự mạng xã hội do Bộ Quốc phòng bảo trợ nằm trong mạng thông tin toàn cầu (GIG) dành cho các hệ thống quân đội đuợc Bộ Quốc phòng uỷ quyền, được cấu hình phù hợp với các huớng dẫn kỹ thuật bảo mật của DISA (Hệ thống Thông tin Quốc phòng) (ví dụ: intelink, army knowledge online , defense knowledge online - các kho dữ liệu chuyên cung cấp thông tin cho Quân đội và Bộ Quốc phòng Mỹ ...) 5. QUY TRÌNH YÊU CẦU MIỄN TRỪ A. Nếu có nhu cầu cấp thiết cần truy cập mạng xã hội, yêu cầu miễn trừ phải được đệ trình lên cấp chỉ huy bộ phận đảm bảo an toàn thông tin (IAM) để xác nhận và chuyển tiếp theo cấu trúc NETOPS C2. B. Các yêu cầu miễn trừ (1) Chức vụ/đơn vị (2) Đầu mối liên hệ (3) Tên của mạng xã hội (4) Lý do cần sử dụng mạng xã hội (5) Ảnh hưởng đến nghiệp vụ khi không sử dụng mạng xã hội (6) Số lượng người dùng mạng xã hội (7) Số lần truy cập/tuần/người dùng (8) Phương thức truy cập: Hệ thống NIPRNET hoặc cơ sở hạ tầng thương mại có sẵn của chính phủ và vai trò, trách nhiệm của các máy tính dùng mạng xã hội (1) Nhiệm vụ của IAM: điều tra và xác nhận nhu cầu cấp thiết của việc truy cập mạng xã hội. Nếu nhu cầu này là chính đáng, chuyển tiếp yêu cầu lên trung tâm điều hành an ninh mạng của Thủy quân lục chiến (MCNOSC) (2) Nhiệm vụ của MCNOSC: điều tra các phương án thực hiện kỹ thuật và chuyển tiếp đến MCEN DAA. (3) Nhiệm vụ của MCEN DAA: có thẩm quyền phê duyệt cuối cùng. Cơ quan này quy định cách truy cập mạng xã hội được phép dựa trên nhu cầu nhiệm vụ (ví dụ: thông qua hệ thống NIPRNET hoặc cơ sở hạ tầng thương mại có sẵn của chính phủ). 6. THỦ TỤC VỀ CÔNG NGHỆ THÔNG TIN (IT) Các thủ tục về IT được thực hiện để tạo điểu kiện cho việc sử dụng mạng xã hội cần phải bao gồm cả yêu cầu miễn trừ đã được phê duyệt. 7. HỦY BỎ Yêu cầu này sẽ bị hủy bỏ sau 1 năm kể từ ngày công bố. 8. BAN HÀNH Ban hành bởi Bgen G. J. Allen, Giám đốc, Tư lệnh, Giám sát truyền thông và máy tính, Giám đốc công nghệ thông tin của Thủy quân lục chiến.// DMC-PR-05-07-02 ban hành ngày 05 tháng 08 năm 2009

Không phải ai cũng đồng tình với chính sách mới này của Thủy quân Lục chiến Hoa Kỳ kể cả Chủ tịch Hội đồng Tham mưu trưởng Liên quân, người đã phát biểu trong một bài phỏng vấn với Next.gov:

Sau khi Thủy quân Lục chiến cho biết các trang mạng xã hội có thể bị cấm (http://www.nextgov.com/nextgov/ng_20090804_3800.php?oref=topnews), Đô đốc Mile Mullen đã đăng dòng tweet: “Rõ ràng chúng ta cần tìm cách cân bằng hợp lý giữa an ninh và tính minh bạch. (http://twitter.com/TheJointStaff). Chúng tôi đang thực hiện việc đó. Nhưng chẳng phải tôi vẫn đang viết được dòng tweet đó sao? Bạn cược đi.”

Trong khi Bộ Quốc Phòng Mỹ tiếp tục nghiên cứu các vấn đề xung quanh việc sử dụng kênh truyền thông mạng xã hội, Bộ Quốc phòng Anh đã công bố bộ nguyên tắc sử dụng phần mềm xã hội cho các quân nhân nghĩa vụ vào ngày 5 tháng 8 năm 2009.

1. Quân nhân và dân quân thuộc Bộ quốc phòng (MOD) được khuyến khích nói về những gì họ làm nhưng chỉ trong những giới hạn nhất định để đảm bảo an ninh, uy tín và tính riêng tư. Kênh giao tiếp quan trọng ngày càng có tác dụng khích lệ và giữ mối liên hệ với gia đình, bạn bè chính là phương tiện truyền thông xã hội (như các trang mạng xã hội, blog và các trang tự phát khác). Quân nhân có thể sử dụng toàn bộ những trang này nhưng cần phải: Tuân theo các chuẩn mực về thực thi và hành vi trực tuyến như kỳ vọng; Luôn duy trình tính bảo mật cá nhân, bảo mật thông tin và bảo mật hoạt động, thận trọng về thông tin được chia sẻ trực tuyến; Xin phép các cấp khi cần thiết (tham khảo bên dưới) 2. Quân nhân và dân quân thuộc Bộ Quốc phòng không cần yêu cầu cấp quyền khi trao đổi trực tuyến về các vấn đề có thật, không bị hạn chế, không gây tranh cãi, nhưng cần có sự cho phép từ các cấp trước khi công khai rộng rãi bất kỳ thông tin nào liên quan đến công việc của họ bao gồm: Liên quan đến quá trình hoạt động và triển khai quân Đưa ra các quan điểm về hoạt động của Lực lượng Quốc phòng và Vũ trang, hoặc về các bên thứ ba mà chưa được cho phép, hoặc Cố gắng để nói, hoặc có thể được hiểu là đang nói, thay mặt cho ban ngành hoặc Bộ quốc phòng mình đang phục vụ; hoặc Liên quan đến các vấn đề đang gây tranh cãi, nhạy cảm hoặc chính trị. 3. Nếu còn phân vân, quân nhân cần yêu cầu lời khuyên từ các cấp quản lý của mình.

Cách tiếp cận của Anh khiến việc quản lý các hoạt động trực tuyến của quân nhân Bộ Quốc phòng trở nên đúng mực và an toàn hơn nhiều lệnh cấm hoàn toàn. Đáp án nằm ở các buổi thảo luận và đào tạo. Lệnh cấm đơn giản chỉ khiến phát sinh ngầm hành vi không mong muốn, làm biến tướng một số hành động khiến chúng thậm chí có thể trở nên nguy hiểm hơn và mất khả năng kiểm soát.

Nguồn: Inside Cyber Warfare
Tác giả: Jeffrey Carr​

Inside Cyber Warfare - Chương I: Đặt vấn đề (Phần 1)
Inside Cyber Warfare - Chương I: Đặt vấn đề (Phần 2)
Inside Cyber Warfare - Chương II: Sự nổi dậy của tin tặc phi chính phủ (Phần 1)
Inside Cyber Warfare - Chương II: Sự nổi dậy của tin tặc phi chính phủ (Phần 2)
Inside Cyber Warfare - Chương II: Sự nổi dậy của tin tặc phi chính phủ (Phần 3)
Inside Cyber Warfare - Chương III: Vấn đề pháp lý trong chiến tranh mạng (Phần 1)
Inside Cyber Warfare - Chương III: Vấn đề pháp lý trong chiến tranh mạng (Phần 2)