لماذا تمنح شركات الأمن السيبراني أسماء رمزية لمجموعات القرصنة؟

الأسماء الرمزية موجودة لأن باحثي الأمن السيبراني يحتاجون إلى تسمية مشتركة دائمة لمجموعة من الأنشطة الخبيثة قبل وقت طويل من إثبات هويات قانونية فردية أو إجراء إسناد رسمي من جهات إنفاذ القانون . وكما شرح شين هانتلي، كبير مسؤولي التكنولوجيا في GTIG، في مقابلاته، يعمل الاسم الرمزي كـ«مرساة ثابتة» — مما يسمح للمحللين عبر مؤسسات وقارات وصناعات مختلفة بمشاركة المعلومات الاستخباراتية عن نفس الخصم فوراً . فالاسم المناسب يحول مجموعة منتشرة من عناوين IP وتوقيعات البرمجيات الخبيثة والتكتيكات المرصودة إلى كيان قابل للتتبع يمكن دراسته على مر السنين .

قبل أن تحصل مجموعة قرصنة على اسم دائم، تبدأ عادةً كمجموعة تتبع مؤقتة، تُسمى بتصنيف UNC (غير مصنف) ومعرف رقمي، مثل UNC1878 . فقط بعد تراكم أدلة كافية تتخرج المجموعة إلى اسم رمزي.

مشكلة التجزؤ: أسماء كثيرة جداً لنفس التهديد

لقد طغى نمو مشهد التهديدات على النهج القديم. أشار كبير المحللين في غوغل، جون هولتكويست، إلى أن الشركة تتعقب الآن أكثر من 5000 «مجموعة نشاط» عبر بلدان متعددة — وهو حجم يجعل أي تصنيف رقمي واحد غير قابل للتطبيق . مع هذا العدد من الكيانات، أصبحت أرقام APT المتسلسلة مربكة بدلاً من أن تكون مفيدة.

«في كثير من الأحيان، حتى المطلعون على الصناعة لا يستطيعون تتبعها،» قال هانتلي لـ TechCrunch . لكل بائع أمن تصنيفه الخاص. تستخدم مايكروسوفت أسماء مستوحاة من الطقس (Nobelium، Seashell Blizzard)، وتستخدم كراودسترايك أسماء حيوانات (Cozy Bear، Fancy Bear)، وتستخدم Palo Alto Networks نظامها الخاص (مثل Muddled Libra) . هذا التجزؤ يبطئ الاستجابة للحوادث لأن الفرق تضيع وقتاً في التوفيق بين التسميات بدلاً من احتواء الضرر . أوضح هانتلي أن جعل شركات مختلفة تتبنى نظاماً واحداً عالمياً ليس واقعياً، لأن لكل مؤسسة رؤية مختلفة، وبيانات مختلفة، واحتياجات تشغيلية مختلفة .

نظام التسمية الجديد من غوغل: اسم عشوائي + كلمة بلد

النظام الجديد لـ GTIG يستبدل تسلسل APT الرقمي القديم لمانديانت (APT1، APT41، إلخ) ويوحّد أساليب التسمية التي تطورت بشكل مستقل داخل فريق تحليل التهديدات في غوغل ومانديانت .

التركيبة الجديدة تتكون من جزئين :

• الكلمة الأولى — اسم عشوائي لا يُنسى يحدد المجموعة بشكل فريد. إذا كانت المجموعة تمتلك اسماً معروفاً من التقارير العامة (مثل Lazarus)، تحتفظ GTIG بهذا الاسم الراسخ .
• الكلمة الثانية — مؤشر فئة ثابت يشير حرفه الأول إلى بلد المنشأ المُقيّم أو نوع النشاط. رموز البلدان الأربعة المؤكدة هي :
  • Castle (قلعة) → الصين
  • Ion (أيون) → إيران
  • Neptune (نبتون) → كوريا الشمالية
  • Relic (أثر) → روسيا

النظام لا يقتصر على هذه الفئات الأربع؛ فقد بنت غوغل التصنيف لاستيعاب كلمات فئة إضافية حسب الحاجة . قال هانتلي إن التغيير صُمم ليجعل «من الأسهل للباحثين داخل الشركة وخارجها تحديد مجموعات التهديد المختلفة بوضوح» ويسمح للمدافعين بفهم أصل المهاجم ودوافعه ونوع نشاطه من النظرة الأولى .

التحدي الأعمق: تداخل الجهات الحكومية والإجرامية و«القراصنة المأجورين»

بينما يساعد الإصلاح في التسمية، فإنه لا يحل الصعوبة الأساسية في استخبارات التهديدات: الفصل الواضح بين التهديدات المتقدمة المستدامة التي ترعاها الدولة وعصابات الجرائم الإلكترونية وعمليات القرصنة المأجورة التجارية .

هذه الفئات تتداخل بشكل كبير عملياً. تتبنى المجموعات المرتبطة بالدولة أحياناً تكتيكات الفدية الإجرامية لتوليد الإيرادات أو إخفاء أصولها . تبيع المجموعات الإجرامية الوصول والأدوات للجهات المدعومة من الحكومة. تعمل شركات القرصنة المأجورة في كلا العالمين. غالباً ما يكون الأفراد والأدوات والتأثيرات غير قابلة للتمييز .

أشار هولتكويست إلى أن أكثر من 5000 مجموعة نشاط تتعقبها غوغل تشمل جهات حكومية ومجرمي إلكتروني وبائعي برمجيات تجسس مأجورين — والحدود غير واضحة باستمرار . يزيد التصيد المدعوم بالذكاء الاصطناعي وأدوات الاستطلاع الآلية من تعقيد الأمور، مما يجعل التمييز بين عملية استخباراتية مدعومة من الدولة وعصابة جريمة مالية أكثر صعوبة .

يساعد نظام التسمية الجديد من غوغل من خلال تضمين سياق بلد المنشأ مباشرة في تسمية كل مجموعة، لكنه لا يستطيع حل الغموض الأساسي: قد تعمل مجموعة كوحدة تجسس تدعمها الدولة في حملة وككيان فدية مستقل في أخرى، كما أن المجموعات غالباً ما تغير علامتها التجارية أو تشارك في البنية التحتية .

الخلاصة

توفر الأسماء الرمزية مفردات مشتركة حاسمة لتتبع الخصوم عبر صناعة الأمن السيبراني. لكن أنظمة التسمية غير المتسقة بين البائعين خلقت ارتباكاً خطيراً. نظام غوغل الجديد المكون من كلمتين — اسم عشوائي أول مقترن بكلمة بلد ثانية — يعالج هذا التجزؤ بشكل مباشر لتتبعها الخاص لأكثر من 5000 مجموعة نشاط. هذا التغيير يسهل على المدافعين فهم من يواجهون بسرعة. ومع ذلك، تبقى الصعوبة العميقة في فصل الجهات الحكومية عن المجرمين والمرتزقة تحدياً تشغيلياً مستمراً لا يمكن لأي إصلاح تسمية حله بالكامل.

لماذا تمنح شركات الأمن السيبراني أسماء رمزية لمجموعات القرصنة؟

الأسماء الرمزية موجودة لأن باحثي الأمن السيبراني يحتاجون إلى تسمية مشتركة دائمة لمجموعة من الأنشطة الخبيثة قبل وقت طويل من إثبات هويات قانونية فردية أو إجراء إسناد رسمي من جهات إنفاذ القانون . وكما شرح شين هانتلي، كبير مسؤولي التكنولوجيا في GTIG، في مقابلاته، يعمل الاسم الرمزي كـ«مرساة ثابتة» — مما يسمح للمحللين عبر مؤسسات وقارات وصناعات مختلفة بمشاركة المعلومات الاستخباراتية عن نفس الخصم فوراً . فالاسم المناسب يحول مجموعة منتشرة من عناوين IP وتوقيعات البرمجيات الخبيثة والتكتيكات المرصودة إلى كيان قابل للتتبع يمكن دراسته على مر السنين .

قبل أن تحصل مجموعة قرصنة على اسم دائم، تبدأ عادةً كمجموعة تتبع مؤقتة، تُسمى بتصنيف UNC (غير مصنف) ومعرف رقمي، مثل UNC1878 . فقط بعد تراكم أدلة كافية تتخرج المجموعة إلى اسم رمزي.

مشكلة التجزؤ: أسماء كثيرة جداً لنفس التهديد

لقد طغى نمو مشهد التهديدات على النهج القديم. أشار كبير المحللين في غوغل، جون هولتكويست، إلى أن الشركة تتعقب الآن أكثر من 5000 «مجموعة نشاط» عبر بلدان متعددة — وهو حجم يجعل أي تصنيف رقمي واحد غير قابل للتطبيق . مع هذا العدد من الكيانات، أصبحت أرقام APT المتسلسلة مربكة بدلاً من أن تكون مفيدة.

«في كثير من الأحيان، حتى المطلعون على الصناعة لا يستطيعون تتبعها،» قال هانتلي لـ TechCrunch . لكل بائع أمن تصنيفه الخاص. تستخدم مايكروسوفت أسماء مستوحاة من الطقس (Nobelium، Seashell Blizzard)، وتستخدم كراودسترايك أسماء حيوانات (Cozy Bear، Fancy Bear)، وتستخدم Palo Alto Networks نظامها الخاص (مثل Muddled Libra) . هذا التجزؤ يبطئ الاستجابة للحوادث لأن الفرق تضيع وقتاً في التوفيق بين التسميات بدلاً من احتواء الضرر . أوضح هانتلي أن جعل شركات مختلفة تتبنى نظاماً واحداً عالمياً ليس واقعياً، لأن لكل مؤسسة رؤية مختلفة، وبيانات مختلفة، واحتياجات تشغيلية مختلفة .

نظام التسمية الجديد من غوغل: اسم عشوائي + كلمة بلد

النظام الجديد لـ GTIG يستبدل تسلسل APT الرقمي القديم لمانديانت (APT1، APT41، إلخ) ويوحّد أساليب التسمية التي تطورت بشكل مستقل داخل فريق تحليل التهديدات في غوغل ومانديانت .

التركيبة الجديدة تتكون من جزئين :

• الكلمة الأولى — اسم عشوائي لا يُنسى يحدد المجموعة بشكل فريد. إذا كانت المجموعة تمتلك اسماً معروفاً من التقارير العامة (مثل Lazarus)، تحتفظ GTIG بهذا الاسم الراسخ .
• الكلمة الثانية — مؤشر فئة ثابت يشير حرفه الأول إلى بلد المنشأ المُقيّم أو نوع النشاط. رموز البلدان الأربعة المؤكدة هي :
  • Castle (قلعة) → الصين
  • Ion (أيون) → إيران
  • Neptune (نبتون) → كوريا الشمالية
  • Relic (أثر) → روسيا

النظام لا يقتصر على هذه الفئات الأربع؛ فقد بنت غوغل التصنيف لاستيعاب كلمات فئة إضافية حسب الحاجة . قال هانتلي إن التغيير صُمم ليجعل «من الأسهل للباحثين داخل الشركة وخارجها تحديد مجموعات التهديد المختلفة بوضوح» ويسمح للمدافعين بفهم أصل المهاجم ودوافعه ونوع نشاطه من النظرة الأولى .

التحدي الأعمق: تداخل الجهات الحكومية والإجرامية و«القراصنة المأجورين»

بينما يساعد الإصلاح في التسمية، فإنه لا يحل الصعوبة الأساسية في استخبارات التهديدات: الفصل الواضح بين التهديدات المتقدمة المستدامة التي ترعاها الدولة وعصابات الجرائم الإلكترونية وعمليات القرصنة المأجورة التجارية .

هذه الفئات تتداخل بشكل كبير عملياً. تتبنى المجموعات المرتبطة بالدولة أحياناً تكتيكات الفدية الإجرامية لتوليد الإيرادات أو إخفاء أصولها . تبيع المجموعات الإجرامية الوصول والأدوات للجهات المدعومة من الحكومة. تعمل شركات القرصنة المأجورة في كلا العالمين. غالباً ما يكون الأفراد والأدوات والتأثيرات غير قابلة للتمييز .

أشار هولتكويست إلى أن أكثر من 5000 مجموعة نشاط تتعقبها غوغل تشمل جهات حكومية ومجرمي إلكتروني وبائعي برمجيات تجسس مأجورين — والحدود غير واضحة باستمرار . يزيد التصيد المدعوم بالذكاء الاصطناعي وأدوات الاستطلاع الآلية من تعقيد الأمور، مما يجعل التمييز بين عملية استخباراتية مدعومة من الدولة وعصابة جريمة مالية أكثر صعوبة .

يساعد نظام التسمية الجديد من غوغل من خلال تضمين سياق بلد المنشأ مباشرة في تسمية كل مجموعة، لكنه لا يستطيع حل الغموض الأساسي: قد تعمل مجموعة كوحدة تجسس تدعمها الدولة في حملة وككيان فدية مستقل في أخرى، كما أن المجموعات غالباً ما تغير علامتها التجارية أو تشارك في البنية التحتية .

الخلاصة

توفر الأسماء الرمزية مفردات مشتركة حاسمة لتتبع الخصوم عبر صناعة الأمن السيبراني. لكن أنظمة التسمية غير المتسقة بين البائعين خلقت ارتباكاً خطيراً. نظام غوغل الجديد المكون من كلمتين — اسم عشوائي أول مقترن بكلمة بلد ثانية — يعالج هذا التجزؤ بشكل مباشر لتتبعها الخاص لأكثر من 5000 مجموعة نشاط. هذا التغيير يسهل على المدافعين فهم من يواجهون بسرعة. ومع ذلك، تبقى الصعوبة العميقة في فصل الجهات الحكومية عن المجرمين والمرتزقة تحدياً تشغيلياً مستمراً لا يمكن لأي إصلاح تسمية حله بالكامل.