Кібератака є привабливим варіантом дій в ході війни. Держави можуть визнати доцільним впливати або примус на інші країни за допомогою військових кампаній в кіберпросторі, користуючись анонімністю і можливістю заперечення. У недавньому минулому було декілька раз показано, що використання шкідливого програмного коду може викликати фізичне руйнування критично важливих інфраструктур шляхом маніпуляцій з промисловими системами управління. Кібератаки також звели до мінімуму необхідність ризикувати особовим складом або дорогим обладнанням.
Шкідливий код також є багаторазовим, представляючи собою практично бездонну обойму для майбутніх атак. Однак подібні переваги «чистої» війни також мають темну сторону. З огляду на зручність, швидкість і зниження втрат особового складу, також існує спокуса використовувати кібератаки часто, і, можливо, надавати перевагу їм замість участі в тривалих або марних переговорах. Крім того, екстремістські групи можуть виявитися в стані придбати копії шкідливого програмного коду і анонімно використовувати його проти невійськових цілей.
Статут ООН передбачає керівні принципи для обґрунтування дій у відповідь на кібератаки, що є застосуванням сили. Вони наведені в статті 2 (4) - руйнівні дії, які підходять під визначення «застосування сили», і в статті 51 - руйнівні дії, які підходять під визначення «збройного нападу», що несуть загрозу державному суверенітету. Однак більшість кібератак останніх років не змогли порушити здатність держав здійснювати свій суверенітет. Крім того, в деяких країнах існують правові повноваження, що забезпечують керівні принципи проведення наступальних кібератак. У Сполучених Штатах, такі повноваження містяться в:
• Розділі 10 Зводу законів США, де зазначено, що військові операції не вимагають попередніх письмових рішень до здійснення дій. Однак буде складно заперечувати проведення операцій, здійснюваних згідно містяться в цьому розділі повноважень.
• Розділі 50 Зводу законів США. присвяченому проведенню таємних операцій США. Використовуючи що містяться в розділі повноваження, Президент повинен надати письмове свідчення, що операція здійснюється для реалізації певного завдання зовнішньої політики і національної безпеки.
Коли неясно, чи є кібератака застосуванням сили відповідно до Статуту ООН, то Розділ 50 уможливлює таємне проведення і зарепечують дій.
Повідомлення ЗМІ свідчать про те, що кібератаки стають все більш витонченими і більш замкнутими. У випадках пошкодження фізичного обладнання існує тенденція порівнювати шкідливий програмний код зі зброєю. Але що таке зброя, і в яких випадках кібератаки на законних підставах можна назвати кіберзброя?
У недавніх повідомленнях ЗМІ кілька прикладів високотехнологічних шкідливих кодів були названі кіберзброя. У цих повідомленнях були наведені результати великих досліджень шкідливого коду під іменами Flame, Duqu і Stuxnet. Повідомляється, що ці три шкідливі кіберпрограмми були використані як частина комбінованої багаторічної кіберкампаніі, спрямованої на порушення функціонування певних об'єктів ядерної промисловості в Ірані.
Спеціальна технологія, що дозволяє обійти або обдурити системи кібербезпеки, в тому числі ті, які повинні захищати такі надсекретні промислові об'єкти, як АЕС в Ірані, називається атака «нульового дня». Вона являє собою певний шкідливий код, що виконується перед основною шкідливою програмою, і призначена для використання уразливості, яка є новою і невідомою в цільовій системі. Атака нульового дня здатна повністю або тимчасово вивести з ладу систему управління кібербезпекою, і таким чином відкрити цільову комп'ютерну систему для впровадження і початку роботи основної шкідливої програми. Багато висококваліфіковані хакери старанно працюють над виявленням нових вразливостей в системах, які дозволяють створювати нові атаки «нульового дня». Мотивацією для цих хакерів є те, що атаки «нульового дня» можна дорого продати державам або екстремістам. Атаки «нульового дня», виявлені і розроблені висококваліфікованими хакерами, є важливою складовою існуючого покоління кіберзброї.
Останньою характеристикою, яка дозволяє успішно використовувати шкідливий код в якості кіберзброї, є те, що можна описати як «досконале знання» цільових промислових систем управління цивільної та / або військової техніки. Хакери, які створили атаки «нульового дня», які були використані в кіберзброя, застосованому в ході кампанії проти Ірану, мабуть, мали дуже хороше розуміння про цільове промисловому обладнанні. Ці вузькоспеціалізовані знання розробника, використовувані в створенні різних шкідливих кодів для шпигунства і саботажу, є тим, що робить існуюче покоління кампаній кіберзброї таким ефективним.
Однак у існуючого покоління кампаній кіберзброї також можуть бути проблеми. Є ймовірність, що кіберзброя вийде з-під контролю. Наприклад, Stuxnet, як повідомляється, кілька разів оновлювався для розширення функціональності, і, врешті-решт, шкідливий код вийшов за межі іранського підприємства зі збагачення урану. Зразки Stuxnet були виявлені в багатьох країнах за межами Ірану. Проте, інші об'єкти не були пошкоджені, оскільки шкідливий код в Stuxnet був розроблений для нападу тільки на спеціалізоване обладнання на ядерному об'єкті в Ірані. В майбутньому кіберзброя, розроблене менш ретельно ніж Stuxnet, також може несподівано поширитися і, можливо, стати причиною побічної шкоди на інших об'єктах.
В майбутньому середовище та можливості для здійснення кібератак будуть розширюватися. У минулому цілями були промислові системи управління критично важливих інфраструктур, таких, як нафто- і газопроводи, а також цивільні електростанції.
Технічна документація для цієї системи, а також для декількох російських ракетних пускових установок може бути завантажена з Інтернету у вигляді достовірного програмного тренажера, що дозволяє будь-якому вивчати і практикуватися в базовому режимі роботи декількох радянських зенітно-ракетних пускових установок.
Підводячи підсумки, кібератаки стають все більш витонченими, і в разі, якщо є такі характеристики - а) використання атак нульового дня для обходу технологій кібер безпеки, б) проведення кампаній з координованим використанням різних шкідливих програм, і в) використання скритності при довготривалому проведенні шкідливих операцій для шпигунства або саботажу - ми можемо мати справу з кіберзброя. Правильне проведення атрибуції є скрутним, а технології, які використовуються для забезпечення кібербезпеки, стають все менш адекватними при розширенні завдань захисту від кіберзброї. Таким чином, класична теорія стримування, розроблена для ядерної зброї, не працює для кіберзброї. Крім того, є ймовірність, що кіберзброя вийде з-під контролю. В майбутньому кіберзброя, розроблене менш ретельно, ніж Stuxnet, також може несподівано поширитися і, можливо, викликати побічний збиток.
На довершення до всього, дослідження прикладів існуючого покоління кіберзброї також показало, що докладні і детальні знання про цільовій системі сприяють успіху диверсійної кіберкампаніі. У міру того, як в Інтернеті (можливо, за допомогою кібершпіонажу) з'являється більше інформації, яка описує детальні подробиці та можливі уразливості сучасного обладнання та споруд, в тому числі військової техніки, вони також можуть стати цілями для
майбутніх поколінь кіберзброї.
Є багато політичних питань, пов'язаних з кібербезпекою і кібервійнами, які заслуговують подальшого дослідження:
• Які стратегії можуть допомогти в зменшенні / регулюванні глобального поширення шкідливих атак нульового дня / шкідливого програмного забезпечення, призначених для ведення кібервійни?
• Майбутні наступальні кампанії, швидше за все, вже розгорнуті і в даний час працюють. Як можна виявити і ізолювати їх?
• Чи існує і що собою представляє правомірність в рамках міжнародного (і гуманітарного) права в питанні використання / загрози застосування ядерної зброї в якості відплати проти використання кіберзброї?
• Чи можливе створення механізму контролю над кібервооруженіямі? Якщо так, то скільки часу це займе, беручи до уваги що система контролю над ядерною зброєю створювалася десятиліттями?
• Чи є СБ ООН як і раніше кращим установою для здійснення глобального контролю над кібервооруженіямі?
• Якщо так, чи повинні постійні члени РБ ООН відкрито розкрити всі кіберзброя, щоб уникнути Армагеддона в кіберпросторі?