Zo werkt een cyberoorlog

Er is geen echte definitie van cyberoorlog, maar over het algemeen voeren staten digitale aanvallen uit op ander grondgebied door bijvoorbeeld de infrastructuur te hacken.

Tim Stevens licht dit toe.

‘Breed gesteld gaat het om het gebruik van het computernetwerk van een vijandige organisatie om het computernetwerk van een andere organisatie te verstoren of de toegang daartoe te belemmeren. Het zijn dus aanvallen op computersystemen en netwerken als onderdeel van een oorlogstactiek of -strategie.’

‘We denken vaak dat cyberoorlogsvoering gericht is tegen verschillende computernetwerken, waardoor die kwetsbaar worden voor aanvallen die zich verder over het netwerk kunnen verspreiden. Het kan echter ook een breder psychologisch, emotioneel of politiek effect hebben dat niet alleen technisch is.’

‘Doelwitten kunnen kritieke infrastructuur zijn of infrastructuur die afhankelijk is van een digitaal netwerk. De uiteindelijke impact zit dus in het hoofd van de burgers en beleidsmakers.’

Meer concreet kunnen de doelwitten bijvoorbeeld banken en overheidswebsites, stroomvoorzieningen, financiële software en verkeerscontrolecentra zijn.

Bedrijven kunnen ook te maken krijgen met industriële spionage, zoals beoefend wordt door landen als China, en misleidende informatie kan verkiezingen beïnvloeden, waarvan Rusland misbruik heeft gemaakt, legt Stevens uit.

’Het is in principe heel eenvoudig, want er is alleen maar iemand achter een toetsenbord nodig om ergens op een computernetwerk te komen. Maar daarna wordt het heel wat ingewikkelder: het is een langdurig proces dat veel voorbereiding, inlichtingen en datavergaring vergt.’

Volgens Tim Stevens kunnen computernetwerken in het algemeen op twee manieren aangevallen worden: ofwel door technische zwakheden, ofwel door social engineering, wat inhoudt dat er misbruik gemaakt wordt van de naïviteit of onoplettendheid van personen.

‘Met de technische zwakte zoek je meestal naar een fout in de software of hardware zelf waardoor je in een netwerk kunt komen.’

‘Bij social engineering zoek je een sociale zwakte die je kunt uitbuiten om in een systeem of netwerk te komen. Daarbij moet je bijvoorbeeld eerst de mailadressen vinden van de partij die je wilt aanvallen, zodat je ze van daaruit phishingmails kunt sturen, waarop ze hopelijk zullen reageren. Zo krijg je misschien het piepkleine beetje informatie dat je nodig hebt om op het netwerk in te loggen.’

‘Eenmaal binnen kun je je kwaadaardige code of software laten draaien om het netwerk over te nemen, zodat je specifieke acties kunt uitvoeren tegen specifieke doelwitten.’

Cyberoorlog en -veiligheid is al lang een onderwerp van discussie in allerlei landen als het gaat om oorlogvoering en defensiebeleid.

De NAVO en de EU werken bijvoorbeeld al jaren aan beleidslijnen en strategieën voor hun leden.

Tim Stevens benadrukt echter dat het uiteindelijk aan de landen zelf is om over de eigen cyberveiligheid te beslissen.

‘Het is altijd een grote uitdaging om vast te stellen wie cyberaanvallen heeft uitgevoerd en hoe we die partij ter verantwoording roepen. Een van de strategieën van de laatste jaren is het volgen van de actoren om uit te zoeken wie de aanvallen heeft uitgevoerd, maar daarna kan het lastig zijn om actie te ondernemen.’

‘Het gaat om inlichtingen die landen liever niet prijsgeven. Het is een spel tussen inlichtingendiensten. Het beschuldigde land zal gewoon elke betrokkenheid ontkennen, en als je het niet kunt bewijzen, kom je agressief over.’

‘Je kunt een cyberaanval niet vergelden met bijvoorbeeld een bomaanslag.’

Daarom ziet Tim Stevens het meest in cyberveiligheid.

‘Er is geen opperste veiligheid in cyberspace. Daarom moet je erop voorbereid zijn dat het op elk moment mis kan gaan. Je moet een actieplan klaar hebben, en nooit de aandacht laten verslappen.’