لأكثر من عقد من الزمان، دأبت صناعة الأمن السيبراني على إسناد أسماء لمجموعات القرصنة المختلفة. بعض هذه المجموعات، مثل فانسي بير (Fancy Bear)، تجاوزت حدود الصناعة لتصبح معروفة على نطاق واسع بفضل هجماتها البارزة وأسمائها التي لا تُنسى. بينما تظل مجموعات أخرى معروفة فقط داخل مجتمع الأمن السيبراني.
في كثير من الأحيان، حتى الخبراء في الصناعة يجدون صعوبة في تتبع هذه المجموعات. ويعود ذلك جزئيًا إلى أن كل شركة تسمي مجموعات القرصنة بطريقة مختلفة. لهذا السبب، توجد موارد مثل هذا المورد، التي تحاول أن تكون مرجعًا شاملاً حيث يمكن لمتخصصي الأمن السيبراني والمسؤولين الحكوميين وصناع السياسات والصحفيين والجمهور الأوسع فهم من هو من.
في الشهر الماضي، أصبحت جوجل أحدث شركة تُعيد تنظيم نظام تسميتها لمجموعات القرصنة.
لقد ولت أيام APT1، APT41 أو APT أي رقم كان، وهو النظام الذي اعتمدته مانديانت (Mandiant)، التي كانت في السابق شركة أمن مستقلة وأصبحت الآن جزءًا من جوجل. كانت مانديانت أول من اعتمد مخطط تسمية.
من الآن فصاعدًا، أصبح نظام جوجل بسيطًا نسبيًا: ستحمل مجموعة القرصنة اسمًا أولًا لا يُنسى وعشوائيًا، وكلمة ثانية تشير حرفها الأول إلى بلد المنشأ: "كاسل" (Castle) للصين، "أيون" (Ion) لإيران، "نبتون" (Neptune) لكوريا الشمالية، و"ريليك" (Relic) لروسيا.
وفقًا لشين هانتلي (Shane Huntley)، كبير مسؤولي التكنولوجيا في مجموعة جوجل لاستخبارات التهديدات (Google Threat Intelligence Group)، وهو فريق الشركة الداخلي لمطاردة المتسللين، كان التجديد ضروريًا لإضفاء الوضوح على باحثي الأمن داخل الشركة وخارجها على حد سواء.
في أوائل العقد الثاني من الألفية، عندما بدأت الشركات في نشر تقارير عن الهجمات السيبرانية وتسمية المتسللين وراءها، صرح هانتلي لموقع تك كرانش (TechCrunch) بأنهم "لم يكونوا يتوقعون وجود هذا العدد الكبير من مجموعات التهديد كما هو الحال اليوم".
لقد أصبح من الصعب تتبع الجميع. تتتبع جوجل الآن أكثر من 5000 "تجمع نشاط" في عدة بلدان، وفقًا لجون هولتكويست (John Hultquist)، كبير المحللين في مجموعة جوجل لاستخبارات التهديدات. وقال هانتلي إن هناك عددًا قليلًا جدًا من الدول المتقدمة التي لا تمتلك قدراتها السيبرانية ومجموعات القرصنة الخاصة بها.
ولكن ما الهدف من تسمية مجموعات القرصنة؟ أوضح هانتلي أن الأمر ليس مجرد تمرين أكاديمي. الهدف هو الحصول على فهم أساسي لمن يهاجم من، وكيف يهاجمونهم. بهذه الطريقة، يمكن للمنظمات التعرف على التهديدات بسرعة أكبر، والاستعداد لمواجهتها، وإيقافها بشكل مثالي، أو على الأقل التحقيق في الحوادث على الفور.
كل ذلك، كما قال، ممكن فقط إذا قمت بتسمية المتسللين وتتبعهم باستمرار.
قال هانتلي: "إذا تعرضت للاختراق من قبلهم بالفعل أو كنت تتعامل مع حادث ما، فإن معرفة كيفية تصرف هذا الفاعل، وماذا يفعلون، وماذا فعلوا في الماضي، كل هذه التفاصيل تصبح ذات أهمية حاسمة للمساعدة في الاستجابة وأيضًا لتحديد مدى تغطيتك ضد هذه التهديدات".
إن معرفة كيفية تصرف المتسللين الحكوميين الكوريين الشماليين المعروفين باسم مجموعة لازاروس (Lazarus Group)، وما هي أهدافهم عادةً، ولمن يعملون، يمنح المدافعين نقطة انطلاق في التعامل مع هؤلاء المتسللين.
أوضح هانتلي أن تتبع المتسللين المدعومين من الدول، على الرغم من كونه تحديًا، أسهل من تتبع مجموعات الجريمة السيبرانية والمتسللين المأجورين. يميل المتسللون الحكوميون إلى امتلاك أهداف وأنشطة أكثر اتساقًا، بينما تضم مجموعات الجريمة السيبرانية أعضاء يأتون ويذهبون، وأحيانًا تتفكك، وهي بشكل عام أكثر غموضًا. وتميل مجموعات المتسللين المأجورين وصانعي برامج التجسس إلى امتلاك العديد من العملاء في أجزاء مختلفة من العالم، مما يجعل تتبعهم أصعب قليلًا.
من الانتقادات الشائعة كلما أُعلن عن نظام تسمية جديد: لماذا لا تستخدم جميع الشركات والمنظمات نفس الأسماء الرمزية؟ بينما يبدو هذا سؤالًا سهل الإجابة، فإن الواقع هو أن كل شركة لديها رؤية مختلفة قليلًا لكل مجموعة، بناءً على مجموعات بياناتها وقياساتها عن بعد. قال هانتلي إن هذا واقع لا مفر منه ولا يمكن تجنبه بمجرد مشاركة المزيد من المعلومات بين الشركات ومجموعات الباحثين.
قال: "لا أحد لديه رؤية مثالية. نحن نبني نموذجنا وأفضل فهم لدينا، لكننا لن نعرف كل شيء عما يحدث أبدًا".
من خلال توحيد مخطط التسمية لمجموعة تحليل التهديدات القديمة في جوجل، التي كان هانتلي يرأسها، ومانديانت، أصبح هناك الآن مخطط واحد أقل للحفظ على الأقل. أما بالنسبة لكل شيء آخر، فيمكن الرجوع إلى هذه القائمة الضخمة.
