Így működik az FBI kibervédelmi akciócsoportja, a CAT

A kibertámadások és behatolások kivizsgálásában vezető szövetségi ügynökségként az FBI létrehozott egy speciális csoportot – a Cyber Action Team-et (CAT).

A rosszindulatú kibertevékenység világszerte veszélyezteti a közbiztonságot, valamint a nemzeti és gazdasági biztonságot. A bűnözők olyan szervezeteket vesznek célba, mint az iskolák, kórházak, áram- és közműszolgáltatók, valamint más, a közösségeket kiszolgáló kritikus infrastruktúrával rendelkező szervezetek.

A kibertámadások és behatolások kivizsgálásában vezető szövetségi ügynökségként az FBI létrehozta a CAT-ot, amelyet órákon belül képes a világban bárhol bevetni, hogy reagáljon az e kritikus szolgáltatások elleni nagyobb kiberfenyegetésekre és támadásokra. A 65 tagból álló CAT egy olyan gyorsreagálású nyomozócsoport, amely az FBI területi irodáinak és központjainak különleges ügynökeiből, informatikusaiból, hírszerzési elemzőiből és informatikai szakembereiből áll.

„A helyszínen segítünk a megtámadottaknak, amelyek között lehetnek nemzeti kormányzati szervezetek, magánvállalatok, vagy akár külföldi partnerhálózatok is, amelyeket az ellenség veszélyeztetett” — mondta Scott Ledford, a CAT és a Advanced Digital Forensics Team (ADF) vezetője. „A mi feladatunk az, hogy segítsünk a nyomozás lefolytatásában – digitális bizonyítékokat gyűjtünk, és rosszindulatú szoftvereket keresünk, azonosítunk és visszafejtünk. Segítünk az áldozatnak abban is, hogy megértse, mikor és hogyan kerültek veszélybe, feltárjuk a behatolás minden aspektusát, azzal a végső céllal, hogy azonosítsuk a felelősöket.”

2016-ban írták alá a 41. számú elnöki irányelvet

A CAT-ot 2005-ben hozták létre az FBI területi irodáiban a számítógépes behatolásokkal kapcsolatos nyomozások számának és összetettségének növekedésére válaszul. Abban az időben nem minden területi iroda rendelkezett a kifinomult számítógépes behatolások megfelelő kivizsgálásához és kivizsgálásához szükséges kiberszakértelemmel rendelkező személyzettel.

„Nem mindig volt átfedés aközött, hogy milyen nyomozásokért volt felelős az FBI, és milyen típusú bűncselekmények történtek” – magyarázta Ledford. „A kiberbűnözés abban az időben egyre nagyobb fenyegetést jelentett, ezért szükségessé vált, hogy egyes területi irodák megkerestek minket, és egyre gyakrabban kérdeztek, hogy ismerünk-e olyan kiberszakértőt, aki tudna segíteni nekünk egy nyomozásban?”

Ahogy a csapat formalizálta folyamatait és bővült, 2016-ban aláírták a 41. számú, „Az Egyesült Államok kiberincidensek koordinálása” című elnöki irányelvet, amely meghatározza a szövetségi kormányzatnak a kormányzati vagy magánszektorbeli szervezeteket érintő kiberincidensekre adott válaszának elveit. Az FBI-t nevezték ki a kiberfenyegetésekre való reagálási tevékenységek vezető szövetségi ügynökségévé.

„Nyomozati szempontból az FBI egyedülálló. Mi vagyunk azon kevés ügynökségek egyike az amerikai kormányzatban, amely egyszerre rendelkezik bűnüldözési és kémelhárítási hatáskörrel” — mondta Ledford. „És ezek a hatáskörök, valamint az amerikai nép belénk vetett bizalma segít bennünket abban, hogy a nemzetbiztonsági és bűnügyi nyomozói készségek, szakértelem és erőforrások egyedülálló keverékét nyújtsuk a vegyes válaszlépések végrehajtásához és a nyomozás elősegítéséhez, függetlenül attól, hogy az a tengerentúlra vagy az Egyesült Államokban egy tárgyalóterembe vezet-e minket.””

A CAT ügyeinek nagy része általában abból áll, hogy az FBI azonosít egy olyan szervezetet, amelynél a behatolás olyan összetett vagy nagyszabású, hogy a helyi területi iroda további segítséget kér. Egyszer például a CAT egy olyan egészségügyi vállalatot vizsgált, amelyet egy külön behatolásvizsgálat során veszélyeztetettként azonosítottak. A CAT válasza segített azonosítani a hálózatukban lévő számos veszélyeztetett rendszert és fiókot. A vállalatnál a CAT megszüntette a fenyegetést – és megakadályozta, hogy a kihasználják a rosszfiúk a hálózatuk gyengeségeit. A CAT  a Külügyminisztériumtól, a Nemzetbiztonsági Tanácstól és a Fehér Háztól is kap felkéréseket, hogy segítsen más országoknak, ha kibertámadás éri azokat.

„Lehet, hogy egy olyan országról van szó, amely nem rendelkezik olyan erőforrásokkal vagy szakértelemmel, mint az Egyesült Államok kormánya, és ezért segítséget kérnek” — mondta Ledford. „Segítséget kérhet egy NATO– vagy nem NATO-szövetséges ország is: Nagy pofont kaptunk, és nincs megfelelő személyzetünk, erőforrásunk, szakértelmünk, hogy reagáljunk erre a helyzetre. Tudnának segíteni nekünk ebben?”

Egy másik esetben a CAT a tengerentúlra települt, hogy incidensreagálási támogatást nyújtson egy NATO-szövetségesnek, amely egy pusztító kibertámadás célpontja volt. A CAT reagált, és az amerikai partnerekkel együttműködve meghatározta a kezdeti behatolás módját, azonosította az érintett hálózatokat, összegyűjtötte és elemezte a digitális bizonyítékokat, és végül egy külföldi kormánynak tulajdonította a behatolást. A NATO-szövetséges megszakította a diplomáciai kapcsolatokat a külföldi kormánnyal, bezárta a külföldi kormány országon belüli nagykövetségét, és kiutasította őket az országból.„Van néhány tehetséges emberünk, akik minden egyes nap keményen dolgoznak… Megtiszteltetés velük dolgozni” – mondta Ledford.