نَسب التهديدات وتتبع الحملات

تحاول عملية إسناد التهديد تحديد الجهة التي نفذت الهجوم: جهة فاعلة تابعة لدولة محددة، أو مجموعة إجرامية، أو جماعة من الناشطين الإلكترونيين. ويساعد الإسناد في اتخاذ قرارات استراتيجية، مثل الاستجابة السياسية وإنفاذ القانون، لكن الإسناد عالي الثقة صعب، وغالبًا ما يظل من معلومات الاستخبارات المصنفة.

تشمل أدلة الإسناد مؤشرات تقنية، مثل تشابه الشيفرة والبنية التحتية المشتركة وأدوات C2، وأنماطًا تشغيلية، مثل الاستهداف والتوقيت والتركيز على قطاعات معينة، وسياقًا استراتيجيًا، مثل الدافع الجيوسياسي، واستخبارات بشرية، مثل تصريحات الجهة الفاعلة ونشاطها في المنتديات، واستخبارات الإشارات الواردة من الوكالات الحكومية.

يقارن تحليل تداخل الشيفرة سمات الملفات الثنائية للبرمجيات الخبيثة، مثل التشابه على مستوى الدوال باستخدام BinDiff، وثوابت السلاسل النصية الفريدة، ولغة رسائل الخطأ، وآثار المصرّف، وإعادة استخدام الشيفرة من أدوات البناء المشتركة. تعيد مجموعات APT استخدام الشيفرة عبر الحملات، مما ينشئ بصمات قابلة للربط حتى بين عائلات مختلفة من البرمجيات الخبيثة.

يعيد المهاجمون استخدام البنية التحتية، مثل عنوان IP واحد لخادم C2 يستضيف حملات متعددة، وشهادات SSL المعاد استخدامها عبر نطاقات مختلفة، وتفضيلات ASN، وأنماط موفري الاستضافة. ويربط DNS السلبي البنية التحتية عبر الزمن، فعندما يُحلّ نطاق C2 من إحدى الحملات إلى عنوان IP استُخدم في حملة أخرى، فهذا يربط بين الحملتين.

توثّق مجموعات MITRE ATT&CK تكتيكات وأساليب وإجراءات (TTPs) الجهات الفاعلة المعروفة في مجال التهديدات. وتساعد مقارنة TTPs المرصودة في حادثة ما بملفات مجموعات ATT&CK في تحديد الجهات الفاعلة المحتملة. ولا توجد TTP واحدة فريدة، إذ يتطلب الإسناد تجميع أساليب وأدوات متداخلة.

يزرع المهاجمون المتطورون أدلة زائفة عمدًا، مثل سلاسل شيفرة بلغة خاطئة، أو بنية تحتية تتداخل مع بنية جهات فاعلة أخرى معروفة، أو توقيت يتوافق مع نشاط معروف لمجموعة أخرى. لا تنسبوا الهجوم استنادًا إلى مؤشر واحد، فالرايات الكاذبة تستهدف تحديدًا أساليب الإسناد القائمة على مؤشر واحد.

تختلف اصطلاحات التسمية لدى المورّدين: تستخدم Mandiant أرقام APT، مثل APT28، وتستخدم Microsoft موضوعات الطقس، مثل Midnight Blizzard، وتستخدم CrowdStrike أسماء الحيوانات، مثل Fancy Bear. وقد تحمل الجهة الفاعلة نفسها أكثر من 10 أسماء. وتوحّد مجموعات MITRE ATT&CK الأسماء المستعارة للجهة الفاعلة نفسها عبر تقارير المورّدين.

يؤطر نموذج الماسة كل عملية تسلل بأربع سمات: الخصم، والقدرة، مثل البرمجية الخبيثة أو TTP، والبنية التحتية، مثل عناوين IP ونطاقات C2، والضحية. وتنشئ العلاقات بين السمات رسمًا بيانيًا لتتبع الحملات. ويكشف الانتقال من أي سمة عن الحوادث المرتبطة ونشاط الجهة الفاعلة.

تمتد حملات APT لأشهر أو سنوات. وتتبعوا الحملات من خلال أنماط الاستهداف المتسقة، مثل استهداف القطاع نفسه، وتطور البرمجيات الخبيثة، مثل الإصدارات الجديدة من العائلة نفسها، وأنماط تدوير البنية التحتية، واتساق TTPs. ويكشف رسم الخط الزمني عبر الحوادث مراحل الحملة وتطور أهدافها.

تشمل مستويات الثقة الاستخباراتية: منخفضة، عند وجود بضعة مؤشرات ضعيفة؛ ومتوسطة، عند وجود مؤشرات تقنية متعددة ومؤيدة بعضها لبعض؛ وعالية، عند توافر أدلة تقنية وتشغيلية وسياقية يؤكدها باحثون مستقلون. وقد يتضمن الإسناد الحكومي معلومات استخباراتية مصنفة لا ترد في التقارير العامة، مما يرفع مستوى الثقة المعلن فوق ما يدعمه التحليل التقني وحده.

يؤثر الإسناد العلني في السياسات وإنفاذ القانون واستجابة القطاع. وقد يؤدي الإسناد المبكر أو الخاطئ إلى حوادث دبلوماسية وتوجيه الموارد الدفاعية إلى مسار غير صحيح. ويتطلب الإسناد المسؤول معايير صارمة للأدلة، والإقرار بوجود عدم يقين، وتحديث الاستنتاجات عند ظهور أدلة جديدة.

يجمع إسناد التهديد بين تشابه شيفرة البرمجيات الخبيثة، وتحليل إعادة استخدام البنية التحتية، وربط TTPs بمجموعات ATT&CK، ونموذج الماسة لبناء ملفات تعريف للجهات الفاعلة تستند إلى الأدلة. ويتطلب الإسناد عالي الثقة مصادر أدلة متعددة ومستقلة، والوعي بعمليات الراية الكاذبة، وضبط مستوى الثقة بما يتناسب مع الأدلة.