تستخدم شركات الأمن السيبراني منذ سنوات أسماء رمزية لمجموعات القرصنة بهدف تنظيم المعلومات وتسريع فهم سلوك الفاعلين خلف الهجمات الإلكترونية. ومع ذلك، ومع تزايد عدد المجموعات وتنوع أساليبها وتحوّلها السريع بين موجات الهجوم، أصبح من الصعب على الباحثين والخبراء مواكبة كمّ الأسماء والتصنيفات التي تعتمدها جهات مختلفة، خاصة عندما تشير أكثر من شركة إلى المجموعة نفسها بطرق متباينة.
في هذا السياق، أعلنت جوجل تحديث نظام تسمية مجموعات القرصنة الذي تعمل به ضمن معلومات التهديدات. ويهدف التغيير إلى زيادة الاتساق والوضوح في طريقة توصيف المجموعات، بحيث يصبح تتبعها ومقارنتها عبر الزمن أسهل وأكثر دقة. يأتي هذا التطوير بعد سنوات من الاعتماد على تسميات بارزة مثل APT1 وAPT41، وهي أسماء كانت مرتبطة بنظام تتبع طوّرته شركة Mandiant قبل أن تصبح جزءًا من جوجل.
## نظام التسمية الجديد: اسم عشوائي يتبعه مؤشر على بلد المنشأ
يعتمد النظام الذي تتبناه جوجل على منح كل مجموعة قرصنة اسمًا أوليًا عشوائيًا وسهل التذكر، يتبعه اسم ثانٍ يشير الحرف الأول منه إلى البلد الذي يُعتقد أن المجموعة مرتبطة به. ووفقًا للطرح الذي قدمته الشركة، تتضمن التصنيفات الجديدة أسماء مرتبطة بعدد من الدول مثل الصين وإيران وكوريا الشمالية وروسيا.
تمنح هذه البنية الباحثين ميزة مهمة: فهي لا تكتفي بوصف المجموعة، بل تعطي مؤشراً سريعاً حول الجهة التي يُرجّح أن المجموعة تعمل لصالحها أو ترتبط بها جغرافيًا. ومع توسع جهود التتبع عالميًا، يصبح هذا النوع من الترميز مساعدة عملية لتجميع القرائن وتحويلها إلى فهم مؤسسي يمكن البناء عليه.
## لماذا جوجل تُجري هذا التحديث؟ نمو “مشهد التهديدات” وصعوبة حفظ الصورة الكاملة
يُعَدّ التفسير الأساسي وراء قرار جوجل هو النمو الكبير في عدد مجموعات التهديد التي تتابعها. ومع مرور الوقت، تتزايد البيانات حول الأساليب والأدوات ونطاق الاستهداف، كما تتنوع الأسماء المستخدمة من قبل شركات الأمن المختلفة، ما قد يؤدي إلى ضبابية في تحديد ما إذا كانت التسميات تشير إلى الشيء نفسه أم إلى كيانات مختلفة.
وتشير جوجل إلى أنها تتعقب حاليًا أكثر من 5 آلاف “مجموعة نشاط” مرتبطة بعدة دول، وهو رقم يعكس مدى اتساع وتعقيد مشهد التهديدات الإلكتروني حول العالم. كما ترى الشركة أن عدد الدول التي تمتلك قدرات إلكترونية وتُنشئ مجموعات تهديد بشكل مستقل أقل مما قد يتوقعه البعض، وأن جزءًا من الهجمات قد يرتبط بعوامل تنظيمية أو دعم أو تبادل خبرات بين كيانات مختلفة.
## ما قيمة تسمية المخترقين لشركات الأمن والمؤسسات المستهدفة؟
لا تقتصر أهمية تسمية مجموعات القرصنة على تنظيم المصطلحات أو تسهيل العمل الأكاديمي، بل تمتد إلى بناء سجل مستمر وشامل لكل مجموعة. هذا السجل يتضمن معلومات مثل:
– أساليب الهجوم (TTPs) وكيفية تنفيذها.
– الأدوات والبرمجيات الخبيثة المستخدمة أو التي تمت ملاحظتها.
– نوعية الأهداف التي تستهدفها المجموعة في السابق.
– أنماط تطور الهجمات مع الوقت.
عند وقوع حادث إلكتروني، تساعد معرفة المجموعة المرجّحة في تقديم “نقطة بداية” لفرق الاستجابة للحوادث. فبدلًا من البدء من الصفر، يمكن مقارنة سلوك الهجوم بالعمليات السابقة المنسوبة لنفس المجموعة أو المجموعات القريبة، والتدقيق في الأدوات والتقنيات التي تتكرر لديها. وبذلك تزيد احتمالات تحديد مصدر الهجوم واتجاهه، وتسريع خطوات الاحتواء ومنع التكرار.
ومن الأمثلة التي غالبًا ما تُذكر في مجتمع الأمن السيبراني مجموعة “لازاروس” المرتبطة بكوريا الشمالية. فكون المجموعة معروفة على نطاق واسع يساعد المدافعين على تكوين صورة أولية عندما تظهر هجمات تحمل سمات مشابهة، ثم توجيه التحقيقات والتحقق من الأدلة وفقًا للأنماط التاريخية.
## لماذا لا تكون عملية التتبع دائمًا سهلة؟ تحديات تختلف باختلاف نوع المجموعة
رغم فائدة الأسماء الرمزية في التتبع، فإن تحديد المجموعات واستمرارية ربطها بالجهات المنسوبة إليها ليس عملية ثابتة أو سهلة. فهناك عوامل تجعل التتبع أكثر تعقيدًا، مثل:
– المجموعات الحكومية: غالبًا يمكن تتبعها بدرجة أكبر بسبب تكرار الأهداف ووجود أساليب معتادة، على الرغم من أن ذلك لا ينفي قدرتها على تغيير أدواتها.
– المجموعات الإجرامية: تميل إلى التغير بسرعة؛ قد ينضم أفراد جدد، أو تتفكك المجموعة لتظهر كيانات أصغر، ما يربك استمرارية السجل.
– “القرصنة مقابل المال”: عند العمل مقابل عائدات، قد تتبدل الأطراف المستفيدة وتتعدد “الزباين” أو العملاء في مناطق مختلفة، فتتغير أهداف الهجوم ويصعب بناء صورة ثابتة.
– شركات برامج التجسس: عادةً ما تتعامل مع عملاء متنوعين، ما يوسع نطاق الاستخدامات ويزيد احتمال اختلاف السلوك بحسب الزبون أو المشروع.
## لماذا لا توحّد كل الشركات أسماء المجموعات؟ اختلاف البيانات والرؤية
قد يبدو توحيد الأسماء بين شركات الأمن حلًا منطقيًا، لكن الواقع أكثر تعقيدًا. فكل شركة تعتمد على مجموعة مختلفة من البيانات والمصادر، مثل:
– ما تجمعه من أنظمتها وبيئات عملائها.
– ما تراه عبر منصات الرصد والاستعلامات الداخلية.
– نوعية التهديدات التي تُبلغ عنها الجهات التي تتعاون معها.
لذلك قد تختلف رؤيتها لطبيعة المجموعة ونطاق نشاطها. فبينما قد تربط شركة ما “حملة” بمجموعة محددة بناءً على قرائن معينة، قد ترى شركة أخرى أن القرائن تشير إلى كيان مختلف أو إلى مرحلة مختلفة من النشاط نفسه.
## معلومات إضافية: كيف يساعد النظام الجديد فرق الدفاع عمليًا؟
يساهم النظام الأحدث في تقليل الالتباس بين التسميات، خاصة عند العمل عبر فرق متعددة أو عند مقارنة التقارير بين مزوّدين مختلفين. كما يخلق معيارًا أكثر انتظامًا يساعد على:
– تقليل وقت التحليل الأولي بعد الحوادث.
– تحسين قابلية المقارنة عبر الزمن بين تقارير التهديدات.
– تعزيز فهم “الفئة الجغرافية” المرتبطة بالهجمات، ولو على شكل مؤشر أولي.
في النهاية، الهدف من تحديث التسمية ليس “الحسم المطلق” لهوية كل مجموعة، بل تحسين طريقة تنظيم المعرفة حول التهديدات وجعل الوصول إليها أقرب للمنهجية والوضوح، بما يدعم التحقيقات والاستجابة ويُحسن الاستعداد للهجمات المستقبلية.
التعليقات