أعادت جوجل تنظيم نظامها الخاص بتسمية جماعات القرصنة الإلكترونية، في خطوة تستهدف تسهيل تتبع القراصنة وفهم أنماط هجماتهم، بعدما أصبح تعدد الأسماء المستخدمة من شركات الأمن السيبراني المختلفة مصدرًا للارتباك حتى بين المتخصصين.
طبيعة نظام جوجل في تتبع القراصنة
وتعتمد جوجل في نظامها الجديد على أسماء عشوائية يسهل تذكرها، يتبعها اسم ثانٍ يرمز إلى الدولة التي تنطلق منها مجموعة القرصنة. ويشير حرف البداية في الاسم الثاني إلى بلد المنشأ، إذ تستخدم الشركة Castle للجماعات المرتبطة بالصين، وIon لإيران، وNeptune لكوريا الشمالية، وRelic لروسيا.
ويأتي هذا التغيير بعد سنوات من استخدام نظام يعتمد على تسميات مثل APT1 وAPT41، وهو النظام الذي تبنته شركة Mandiant قبل أن تصبح جزءًا من جوجل.
تزايد أعداد جماعات القرصنة
ومع توسع نطاق عمليات القرصنة وتزايد أعداد الجماعات والجهات الفاعلة في مجال الهجمات الإلكترونية، أصبح من الصعب الحفاظ على نظام تسمية بسيط وموحد يمكن للباحثين متابعته بسهولة.
وتتبع جوجل حاليًا أكثر من 5 آلاف مجموعة أو نشاط إلكتروني في عدد من الدول، في مؤشر على الحجم المتزايد للمشهد السيبراني العالمي، في ظل امتلاك معظم الدول المتقدمة قدرات إلكترونية وجماعات قادرة على تنفيذ عمليات اختراق واستهداف رقمي.
أهداف نظام التسمية الجديد
ويهدف نظام التسمية الجديد إلى منح الباحثين والمؤسسات الأمنية نقطة مرجعية واضحة عند التعامل مع الهجمات، بحيث يمكن تحديد الجهة المسؤولة عن الهجوم، ومراجعة أساليبها السابقة، وفهم أهدافها، ثم استخدام هذه المعلومات لتسريع اكتشاف التهديدات والاستجابة لها.
وتكتسب هذه المعلومات أهمية خاصة عند وقوع اختراق فعلي، إذ يساعد التعرف على سلوك المجموعة المهاجمة في تحديد الأدوات والأساليب التي قد تستخدمها، ومعرفة الأهداف المحتملة، وتقييم الإجراءات الدفاعية اللازمة لاحتواء الهجوم والتحقيق في ملابساته.
ولا تقتصر أهمية تتبع جماعات القرصنة على معرفة أسمائها، بل تمتد إلى بناء سجل متكامل لأنشطتها. فعلى سبيل المثال، يوفر فهم أساليب جماعات مرتبطة بالحكومة الكورية الشمالية، مثل مجموعة Lazarus، أساسًا يمكن للمدافعين عن الأنظمة الاعتماد عليه عند رصد مؤشرات مشابهة أو محاولة تحديد الجهة التي تقف وراء هجوم معين.
القراصنة الحكوميون أسهل في التتبع
وتواجه جوجل تحديات أكبر عند تتبع مجموعات الجرائم الإلكترونية والقراصنة الذين يعملون مقابل المال، مقارنة بالجماعات المدعومة من حكومات.
فالجماعات الحكومية غالبًا ما تتحرك وفق أهداف أكثر ثباتًا وتتبنى أنماطًا متكررة، بينما تتغير تركيبة العصابات الإلكترونية باستمرار، وقد ينفصل أفرادها أو يعيدون تشكيل مجموعاتهم ويظهرون تحت هويات جديدة.
كما يمثل القراصنة الذين يقدمون خدماتهم لجهات مختلفة، إلى جانب شركات برامج التجسس، تحديًا إضافيًا للباحثين، بسبب تعدد العملاء والعمليات في مناطق ودول مختلفة، ما يجعل تحديد هوية المجموعة وتتبع نشاطها أكثر تعقيدًا.
اختلاف أسماء جماعات القرصنة
ويظل اختلاف أسماء جماعات القرصنة بين شركات الأمن السيبراني مشكلة قائمة، إذ تطلق كل شركة أحيانًا اسمًا مختلفًا على المجموعة نفسها. ويرجع ذلك إلى أن كل جهة أمنية تبني تقييماتها اعتمادًا على بيانات وأدوات رصد ومصادر معلومات مختلفة، وبالتالي قد ترى جانبًا مختلفًا من نشاط المجموعة ذاتها.
وتقر جوجل بأن أي شركة لا تمتلك رؤية كاملة للمشهد السيبراني، وأن تحديد هوية جماعات القرصنة وربط أنشطتها ببعضها يعتمد على أفضل المعلومات المتاحة في كل وقت، وليس على صورة كاملة ونهائية.
توحيد نظام التسمية
وبتوحيد نظام التسمية المستخدم سابقًا من جانب فريق Threat Analysis Group التابع لجوجل مع نظام Mandiant، تقلل الشركة عدد أنظمة التسمية التي يتعين على الباحثين التعامل معها، في محاولة لجعل تتبع الجهات المهاجمة أكثر وضوحًا، خصوصًا مع استمرار نمو عدد جماعات القرصنة وتنوع أهدافها وأساليبها.