لماذا تطلق شركات الأمن السيبراني أسماء رمزية على قراصنة الإنترنت؟

ستوك نيوز –  على مدار أكثر من عقد، اعتادت صناعة الأمن السيبراني إطلاق أسماء رمزية على مجموعات القرصنة المختلفة.

بعض هذه الأسماء، مثل Fancy Bear، تجاوزت أوساط الأمن السيبراني ووصلت إلى الجمهور العريض بفضل الهجمات البارزة التي نفذتها وسهولة تذكر أسمائها، بينما لا تزال مجموعات أخرى معروفة فقط للمتخصصين في القطاع.

وفي كثير من الأحيان، يجد حتى العاملون في مجال الأمن السيبراني صعوبة في متابعة هذه الأسماء، ويرجع ذلك جزئيًا إلى أن كل شركة تتبع نظامًا مختلفًا في تسمية مجموعات القرصنة، بحسب تقرير نشره موقع “تك كرانش” واطلعت عليه “العربية Business”.

ولهذا ظهرت موارد وقواعد بيانات تحاول أن تكون مرجعًا موحدًا يساعد خبراء الأمن السيبراني والمسؤولين الحكوميين وصناع السياسات والصحفيين والجمهور عمومًا على فهم هوية كل مجموعة والتمييز بينها.

وفي الشهر الماضي، أصبحت “غوغل” أحدث الشركات التي تعيد صياغة نظامها لتسمية مجموعات القرصنة.

فقد انتهى عصر أسماء مثل APT1 وAPT41 وغيرها من التسميات التي تعتمد على الأرقام، وهو النظام الذي تبنته شركة Mandiant عندما كانت لا تزال شركة مستقلة للأمن السيبراني، قبل أن تصبح جزءًا من “غوغل”.

وكانت “Mandiant” من أوائل الشركات التي اعتمدت نظامًا محددًا لتسمية مجموعات التهديدات.

أما النظام الجديد لدى “غوغل” فأصبح أكثر بساطة نسبيًا؛ إذ ستحمل كل مجموعة قرصنة اسمًا أول عشوائيًا وسهل التذكر، إلى جانب كلمة ثانية يشير الحرف الأول منها إلى بلد المنشأ.

على سبيل المثال، يشير Castle إلى الصين، وIon إلى إيران، وNeptune إلى كوريا الشمالية، وRelic إلى روسيا.

وقال شين هانتلي، كبير مسؤولي التكنولوجيا في Google Threat Intelligence Group، فريق الشركة المتخصص في تعقب القراصنة والتهديدات الإلكترونية، إن إعادة تصميم نظام التسمية كانت ضرورية لتوفير قدر أكبر من الوضوح للباحثين الأمنيين داخل الشركة وخارجها.

وأوضح هانتلي أنه في أوائل العقد الماضي، عندما بدأت الشركات في نشر تقارير عن الهجمات الإلكترونية وتسمية القراصنة الذين يقفون وراءها، “لم نتوقع أن يصبح عدد مجموعات التهديدات بهذا الحجم الذي نراه اليوم”.

ومع مرور الوقت، أصبح من الصعب تتبع جميع هذه المجموعات.

ووفقًا لجون هولتكيست، كبير المحللين في Google Threat Intelligence Group، تتابع “غوغل” حاليًا أكثر من 5 آلاف “مجموعة نشاط” في عدد من الدول.

وأشار هانتلي إلى أن عدد الدول المتقدمة التي لا تمتلك قدرات سيبرانية ومجموعات قرصنة خاصة بها أصبح محدودًا للغاية.

لماذا نحتاج إلى أسماء للقراصنة؟

لكن ما الهدف من إطلاق أسماء رمزية على مجموعات القرصنة في الأساس؟

يقول هانتلي إن الأمر لا يتعلق بمجرد تصنيف أكاديمي، بل يهدف إلى بناء فهم أساسي لمن يهاجم من، وكيف ينفذ الهجمات.

ويساعد ذلك المؤسسات على التعرف على التهديدات بسرعة أكبر، والاستعداد لها، وإيقافها إن أمكن، أو على الأقل التحقيق في الحوادث في وقت أقصر.

ويرى هانتلي أن تحقيق ذلك يتطلب تسمية القراصنة وتتبع نشاطهم بصورة متسقة.

وقال: “عندما تتعرض لهجوم فعلي منهم أو تتعامل مع حادث أمني، فإن معرفة سلوك الجهة المهاجمة، وما تفعله، وما فعلته في الماضي، تصبح جميعها معلومات بالغة الأهمية للمساعدة في الاستجابة للحادث، وكذلك تحديد مدى جاهزيتك لمواجهة هذه التهديدات”.

على سبيل المثال، فإن معرفة طريقة عمل القراصنة الحكوميين في كوريا الشمالية المعروفين باسم Lazarus Group، وأهدافهم المعتادة، والجهات التي يعملون لصالحها، تمنح فرق الدفاع نقطة انطلاق عند التعامل مع هذه المجموعة.

القراصنة الحكوميون أسهل في التتبع

وأوضح هانتلي أن تتبع القراصنة المدعومين من حكومات، رغم صعوبته، أسهل نسبيًا من تعقب العصابات الإجرامية الإلكترونية والقراصنة الذين يعملون مقابل المال.

ويرجع ذلك إلى أن القراصنة الحكوميين عادةً ما تكون لديهم أهداف وأنشطة أكثر اتساقًا، في حين تتغير تركيبة المجموعات الإجرامية باستمرار؛ إذ ينضم إليها أعضاء ويغادرونها آخرون، وقد تنقسم بعض المجموعات إلى كيانات أصغر، ما يجعل طبيعتها أكثر غموضًا وصعوبة في التتبع.

أما مجموعات القراصنة الذين يعملون مقابل أجر وشركات تطوير برامج التجسس، فعادةً ما تتعامل مع عدد كبير من العملاء في مناطق مختلفة حول العالم، ما يجعل تتبع أنشطتها أكثر تعقيدًا.

لماذا لا تتفق الشركات على أسماء موحدة؟

ومن أكثر الانتقادات شيوعًا عند الإعلان عن أي نظام جديد لتسمية مجموعات القرصنة سؤال يبدو منطقيًا: لماذا لا تستخدم جميع الشركات والمؤسسات الأسماء الرمزية نفسها؟

لكن الإجابة، وفق هانتلي، ليست بهذه البساطة. فكل شركة تمتلك رؤية مختلفة قليلًا لكل مجموعة، استنادًا إلى البيانات التي تجمعها ومصادر الرصد والمعلومات المتاحة لديها.

ويرى أن هذا الاختلاف أمر لا مفر منه، ولا يمكن حله ببساطة عبر تبادل المزيد من المعلومات بين الشركات ومجموعات الباحثين.

وقال هانتلي: “لا أحد يمتلك رؤية كاملة. نحن نبني نموذجنا الخاص وأفضل فهم ممكن لدينا، لكننا لن نعرف أبدًا كل ما يحدث”.

ومع توحيد نظام تسمية مجموعات القرصنة الذي كانت تستخدمه Threat Analysis Group التابعة لـ “غوغل”، والتي كان هانتلي يرأسها، مع نظام “Mandiant”، أصبح لدى الباحثين الآن نظام واحد أقل يتعين عليهم تذكره.

أما بقية الأسماء والرموز، فلا يزال أمام المتخصصين قائمة ضخمة من أسماء مجموعات القرصنة التي تتطلب المتابعة والتدقيق المستمر.