cyber-warfare - Security Summit

SECURITY SUMMIT 2013
Milano, 12 marzo 2013
Cyber Conflicts: dalla Cyber Intelligence alla
Cyber Warfare
Scenari strategici, tecnici e legali
STEFANO MELE
RAOUL CHIESA
Chi siamo..
Stefano Mele
Avvocato specializzato in Diritto delle Tecnologie, Privacy, Sicurezza ed Intelligence.
Dottore di ricerca presso l’Università degli Studi di Foggia.
Vivo e lavoro a Milano, come “of Counsel” di Carnelutti Studio Legale Associato.
Collaboro presso le cattedre di Informatica Giuridica e Informatica Giuridica avanzata della
Facoltà di Giurisprudenza dell’Università degli Studi di Milano.
Esperto di cyber-security, cyber-terrorism e cyber-warfare.
 Consulente per organizzazioni nazionali ed estere;
 Direttore di Ricerca su “Cyber-security & Cyber-Intelligence” del Ce.Mi.S.S. (Centro
Militare di Studi Strategici);
 Siede al tavolo “CyberWorld” presso l’OSN (Osservatorio per la Sicurezza Nazionale) del
Ce.Mi.S.S.;
 Docente di “Intelligence e utilizzo delle informazioni per la gestione della sicurezza nei
Paesi a rischio” presso il Peace Operations Training Institute (POTI-UN);
 Coordinatore dell’Osservatorio “InfoWarfare e Tecnologie emergenti” dell'Istituto
Italiano di Studi Strategici ‘Nicolò Machiavelli’.
Chi siamo..
Raoul Chiesa
 Founder, Partner, Security Brokers
 Principal, CyberDefcon UK
 Senior Advisor on Cybercrime @ UNICRI (United Nations
Interregional Crime & Justice Research Institute)
 PSG Member @ ENISA (Permanent Stakeholders Group,
European Network & Information Security Agency)
 Founder, Member of the Steering Committee and Technical
Board, CLUSIT, Italian Information Security
Association)
 Steering Committee, AIP/OPSI, Privacy & Security Observatory
 Board of Directors, ISECOM
 Board of Directors, OWASP Italian Chapter
 Coordinator of the «Cyber World» WG @ Italian MoD
(CASD/OSN)
Cyber Conflicts: dalla Cyber Intelligence alla Cyber Warfare
 Lo scenario attuale
E’ una minaccia reale per la sicurezza nazionale?
Incremento esponenziale del numero degli attacchi
- Incremento degli “attori”
-




-
Mondo Hacktivist
Company to Company
Cyber Warriors (“outsourcing”)
Etc…
Innalzamento della qualità degli attacchi e degli obiettivi/bersagli
Cyber-attack per:
- Spionaggio elettronico
- Manipolazione delle informazioni
- Facilitare attacchi cinetici
- Cyber-warfare e cyber-weapons
Cyber Conflicts: dalla Cyber Intelligence alla Cyber Warfare
 Hacker’s Profiling Project V1.0 (2004-2012)
Cyber Conflicts: dalla Cyber Intelligence alla Cyber Warfare
 Cosa vediamo >2013? LOL!!!
Cyber Conflicts: dalla Cyber Intelligence alla Cyber Warfare
 Hacker’s Profiling Project V2.0 (2012-2015)
1. Wannabe Lamer
2. Script kiddie: under development (Web Defacers, DDoS, links with
distributed teams i.e. Anonymous….)
3. Cracker: under development (Hacking on-demand, “outsourced”;
links with Organized Crime)
4. Ethical hacker: under development (security researchers, ethical
hacking groups)
5. Quiet, paranoid, skilled hacker (elite, unexplained hacks?)
6. Cyber-warrior: to be developed
7. Industrial spy: to be developed (links with Organized Crimes &
Governments i.e. “The Comodo and DigiNotar” hacks?)
8. Government agent: to be developed (“N” countries..)
9. Military hacker: to be developed (India, China, N./S. Korea, etc.)
X. Money Mules? Ignorant “DDoSsers”? (i.e. LOIC by Anonymous)
Cyber Conflicts: dalla Cyber Intelligence alla Cyber Warfare
Source: ABN-AMRO & Dutch
National High-Tech Crime Unit
Cyber Conflicts: dalla Cyber Intelligence alla Cyber Warfare
Cyber Conflicts: dalla Cyber Intelligence alla Cyber Warfare
 «Fasi storiche» ed evoluzioni
Di che cosa abbiamo parlato sino a ieri?
Source: Andrea Zapparoli Manzoni, Security Brokers (Security Summit 2012)
Dal World Economic Forum
Dal World Economic Forum
Cyber Conflicts: dalla Cyber Intelligence alla Cyber Warfare
 Lo scenario attuale
 Reazione a livello internazionale
 Reazione Italiana
Cyber Conflicts: dalla Cyber Intelligence alla Cyber Warfare
 Vantaggi dall’uso del cyber-spazio come dominio di warfare
QUESTA SLIDE NON E’ DISPONIBILE
NELLA VERSIONE PUBBLICA :
AVRESTE DOVUTO PARTECIPARE AL
SECURITY SUMMIT!!! 
Cyber Conflicts: dalla Cyber Intelligence alla Cyber Warfare
 Criticità del cyber-spazio come dominio di warfare
QUESTA SLIDE NON E’ DISPONIBILE
NELLA VERSIONE PUBBLICA :
AVRESTE DOVUTO PARTECIPARE AL
SECURITY SUMMIT!!! 
Cyber Conflicts: dalla Cyber Intelligence alla Cyber Warfare
 Ulteriori criticità del cyber-spazio
QUESTA SLIDE NON E’ DISPONIBILE
NELLA VERSIONE PUBBLICA :
AVRESTE DOVUTO PARTECIPARE AL
SECURITY SUMMIT!!! 
Abbiamo già le risorse necessarie?
Abbiamo già le risorse necessarie?
Source: “Hackers in the national cyber security”, Csaba Krasznay, HP: Hacktivity 2010, Hungary.
Building your OWN Cyber Army?
I.
Understand, Identify, List, and Own your weapons.
I.
Focus on goals and constrictions. Rules of engagement?
II. Get soldiers to use them.
I.
II.
You don’t need a lot of real hackers, ya know?
Consider «co-sourcing» for focused black ops.
III. Set up specialized units.
I.
II.
Reverse Engineers, Coders, Cryptologists
Telcos, legacy systems & networks, Finance, SCADA & IA, Satellite, Pure Hardware
Hackers, Military/IC experts. Don’t forget your own Robert Redford as in Spy Game
and a SoB… Ah, and the Lucky Guy!
IV. Teach them a methodology.
I.
II.
This is up to you.
Pay attention to the Attribution.
V. Get more weapons and update them.
I.
Hacking and Underground events, inner-circles & closed loops, black market and
underground market, international trading chances.
VI. Think about new scenarios.
I.
While hunting for old stuff…
Dal Cyber Crime alle Cyber Weapons?
• Botnet & drone
armies
• Server hacking
• DDoS
• Encryption
• Trojans & Worms
• Extortion & Ransom
• Malware
• Man in the Middle
© 2009-2013 Jart Armin, Raoul Chiesa
Cyber Weapons…
• Black Energy
• Cluster Bomb
• Stuxnet
• Cruise Missile
© 2009-2013 Jart Armin, Raoul Chiesa
Cyber Weapons…
• Black Energy
Multiple targets, loud
and noisy
• Massive DDoS
• Loss of digital
communication
• Cloning of state
communications
• Create confusion
• Stuxnet
Laser Guided, precision,
and stealth
• Compromise
infrastructure
• Industrial Sabotage
• Loss of confidence in
systems
• Create confusion
© 2009-2013 Jart Armin, Raoul Chiesa
Metodologie di «cyber attacks» (US DoD, Marzo 2012)
Source: Saalbach, Cyberwar Methods & Practice
Metodologie di «cyber attacks» (e counter-attack),
Hacker’s Perspective
Source: Jim Geovedi, Security
Brokers, Indonesia
0-days Market
Black Market
(Cybercrime)
Black Market
(underground
)
Software
Rel x.y.z
0-day
Patch
Software
«Bug»
Vendor
CERT (ICS-CERT)
National Institutions
0-days Market
Source: Forbes, “Shopping For Zero-Days: A Price List For Hackers’ Secret Software Exploits”,
2012, in
http://www.forbes.com/sites/andygreenberg/2012/03/23/shopping-for-zero-days-an-price-list-forhackers-secret-software-exploits
0-day: is everything for the money?
Voi che dite?
0-days Market
0-days Market
Outsourced to
(Black) Ops
Cyber Conflicts: dalla Cyber Intelligence alla Cyber Warfare
• Aspetti legali delle cyber-weapon
Cos’è dal punto di vista giuridico una cyber-arma?
 La normativa italiana non definisce ancora in maniera chiara e diretta cosa
debba intendersi per cyber-weapon
 Medesima situazione si rileva a livello internazionale (Dictionary of
Military and Associated Terms)
 A livello ontologico, un’arma può essere anche un concetto puramente
astratto e non per forza materiale, ovvero, per ciò che rileva ai fini di questa
ricerca, può certamente essere considerato come arma un insieme di
istruzioni informatiche, come ad esempio un programma, un algoritmo,
una parte di codice e così via, che, utilizzate in determinati contesti con lo scopo
di colpire e danneggiare specifici soggetti e/o oggetti, possono assumere la
caratteristica di cyber-armi.
Cyber Conflicts: dalla Cyber Intelligence alla Cyber Warfare
• Aspetti legali delle cyber-weapon
Cos’è dal punto di vista giuridico una cyber-arma?
 Nonostante l’immaterialità di questo genere di armi, ciò su cui
realmente occorre porre l’attenzione sono tre elementi:
1.
2.
3.
il contesto,
lo scopo, e
il soggetto/oggetto soccombente
Gli unici utili, nei fatti, a qualificare o meno – sempre a livello ontologico
– questo genere di armi.
Cyber Conflicts: dalla Cyber Intelligence alla Cyber Warfare
• Aspetti legali delle cyber-weapon
Cos’è dal punto di vista giuridico una cyber-arma?
 Una cyber-arma è:
“un’apparecchiatura, un dispositivo ovvero qualsiasi insieme di
istruzioni informatiche dirette a danneggiare un sistema informatico
o telematico avente carattere di infrastruttura critica, le sue
informazioni, i dati o i programmi in esso contenuti o ad esso
pertinenti, ovvero di favorire l’interruzione, totale o parziale, o
l’alterazione del suo funzionamento”.
[S. MELE – “Cyber-weapon: aspetti giuridici e strategici”, 2012]
Cyber Conflicts: dalla Cyber Intelligence alla Cyber Warfare
• Aspetti legali delle cyber-weapon
Cos’è dal punto di vista giuridico una cyber-arma?
Sulla base di questo assunto, Stuxnet è certamente una cyber-weapon in
quanto è:
 un insieme di istruzioni informatiche, sotto forma di programma
eseguibile/worm
 creato appositamente per alterare illecitamente il funzionamento (scopo)
 di un’infrastruttura critica (oggetto soccombente)
 attraverso un attacco informatico (contesto)
Houston, we’ve got a problem….. It’s named ATTRIBUTION!!
„The greatest challenge is finding out
who is actually launching the attack“.
Major General Keith B. Alexander,
Commander US CYBERCOM / NSA, testimony May 8th 2009,
„Cyberspace as a Warfighting Domain” – US Congress
„Attribution is not really an issue“.
Senior DoD official, 2012 Aspen Strategy Group
Attribution:
tactical level = irrelevant
operational level = helpful
strategic level = important
political (board) level = critical
© Alexander Klimburg 2012
Uh…. Cosa succederebbe se…..?
Non-state proxies and
“inadvertent Cyberwar Scenario:
QUESTA SLIDE NON E’ DISPONIBILE
NELLA VERSIONE PUBBLICA :
AVRESTE DOVUTO PARTECIPARE AL
SECURITY SUMMIT!!! 
© Alexander Klimburg 2012
Cyber Conflicts: dalla Cyber Intelligence alla Cyber Warfare
Case study: se malware come Stuxnet o Shamoon avessero avuto come
principale obiettivo un’infrastruttura critica italiana, come avremmo
qualificato giuridicamente l’atto?
Case study: se malware come Flame, Duqu o il recentissimo Rocra avessero
avuto come principale obiettivo le informazioni riservate italiane, come
avremmo qualificato giuridicamente l’atto?
Tra il dire ed il fare…. C’è di mezzo un oceano!
Most CNE attacks are non-state,
but they are state directed, affiliated, or tolerated …
and virtually all of them depend on the non-state for support
• „dummy list“ of „ID-10T“ for phishing
• equipment to mimic target network
• dummy run on similar network
• sandbox zerodays
• purchase 0-days / certificates
• purchase skill-set
• bespoke payload / search terms
• background info on organisation (orgchart etc)
• Primer for sector-specific social-engineering
• proxy servers
• banking arrangements
• purchase attack-kits
• rent botnets
• find (trade!) good C&C server
Alexander Klimburg 2012
•Purchase L2/L3 system data
Cyber Conflicts: dalla Cyber Intelligence alla Cyber Warfare
• Spionaggio elettronico e il rapporto di Mandiant..
Cyber Conflicts: dalla Cyber Intelligence alla Cyber Warfare
• Spionaggio elettronico e il rapporto di Mandiant..
 Considerazioni sullo spionaggio
 Considerazioni sul rapporto
Cyber Conflicts: dalla Cyber Intelligence alla Cyber Warfare
Riflessioni conclusive
Il mondo di oggi (?)
Strategic
Communication
„Military
cyber ops“
„Information
Warfare”
“Cyberpower“
„Strategic cyber
ops“
Cyberespionage (CI)
CNO
CNA/CNE
CND
National Crisis
Management
OPSEC
PSYOPS
EW
MilDec
„Information
CyberDiplomacy
Internet
Governance
Operations“
© Alexander Klimburg 2012
Per ridere…. (?)
OUT 
Single operational pic
Autonomous ops
Broadcast information push
Individual
Stovepipes
Task, process, exploit, disseminate
Multiple data calls, duplication
Private data
Perimeter, one-time security
Bandwidth limitations
Circuit-based transport
Single points of failure
Separate infrastructures
Customized, platform-centric IT
IN 
Situational awareness
Self-synchronizing ops
Information pull
Collaboration
Communities of Interest
Task, post, process, use
Only handle information once
Shared data
Persistent, continuous IA
Bandwidth on demand
IP-based transport
Diverse routing
Enterprise services
COTS based, net-centric capabilities
Scouting elite hacker parties?
SECURITY SUMMIT 2013
Cyber Conflicts: dalla Cyber Intelligence alla Cyber Warfare
Scenari strategici, tecnici e legali
.. grazie per l’attenzione..
DOMANDE??
STEFANO MELE
http://www.stefanomele.it
[email protected]
RAOUL CHIESA
http://www.security-brokers.com
[email protected]