تهدیدات سایبری و بهبود وضعیت راهبردهای دفاعی

(SOC: Security Operation Center مرکز عملیاتامنیت

واضح است که ظهور اینترنت نحوهتعاملات، تجارت و انتشار و تبادل اطلاعات را دگرگون کرده است. از اینترنت می‌توانتحت عنوان ( موتور خلاقیت ) یاد کرد، اماهمین موتور می‌تواند موجب شود تا تهدیدات سایبری با سرعت بیشتر از روش‌های دفاعسایبری پیشرفت کنند. از آنجا که تهدیدات سایبری ماهیتی پیچیده و دائماً در حال رشددارند، شبکه‌های دفاعی برای آنکه بتوانند همپای آن‌ها رشد کنند، با دشواری مواجههستند.

طراحی اصلی و اولیه اینترنت برپایه ارتباطات پایدار و نه امنیت صورت گرفته است. این موضوع همچنان به همین شکلمانده و تغییری در این واقعیت ایجاد نشده است. در نگاهی کلی می‌توان گفت اغلبسامانه‌های متصل به اینترنت، آسیب‌پذیر بوده، روش‌های دفاعی موجود ( پدافندهایمبتنی بر ایجاد فهرست‌های سیاه بر اساس امضای الکترونیک) تاریخ‌مصرف خود را از دستداده و اکثر راهبردهای امنیت سایبری کنونی ناکافی به نظر می‌آیند و فاصله میانتوان تهاجمی و توان تدافعی رو به روز بیشتر می‌شود. در حقیقت امنیت نتوانسته همپایتهدیدات رشد کرده و تکامل یابد.

حملاتی که این روزها صورت می‌گیرد،دقیقاً نظیر کسانی این حملات را ترتیب می‌دهند، بسیار پیچیده هستند. مجرمین سایبریبه طور مداوم بدافزارهای خاص خود را طراحی می‌کنند تا بر روش‌های دفاع سایبری غلبهکنند (طراحی بدافزاری هم که اخیراً به شرکت ها ( مقصد – هدف ) حمله میکنند ، طوریخواهند بود که بتوانند از اعلام خطر اغلببرنامه‌های آنتی‌ویروس جلوگیری کند). این عملیات ( سنجش ) که با هدف جلوگیری از شناسایی صورت می‌گیرد،اقدامی معمول است که به صورت روزمره انجام می‌شود و ابزارهای انجام این اقدامات بهسادگی در بازار سیاه جرائم اینترنتی در دسترس است. در مقابل، اغلب کاربران اینترنتاطلاعات اندکی از موارد امنیتی دارند. عوامل مختلفی نظیر وجود مهاجمین فرصت‌طلب وبا انگیزه‌های خاص، تمهیدات ضعیف امنیتی، تهدیدات داخلی و ناتوانی دولت و بخشخصوصی در سیاست‌گذاری و تعریف قوانین مربوط به امنیت سایبری، دست‌به‌دست هم دادهتا شبکه‌های مجازی بسیار آسیب‌پذیر باشند.

فضای مجازی اکنون به محیطی تبدیلشده که مردم بیش از آنکه از آن برای انتقال اطلاعات استفاده کنند، آن را برایذخیره موارد باارزش به کار می‌گیرند و این روندی است که روزبه‌روز در حال گسترشاست. فضای مجازی محیطی است با ارتباطات داخلی به شدت فراگیر که به صورت مداوم درحال تغییر هستند و همین امر دستیابی به برتری‌های امنیت ایستا را ناممکن می‌کند.فضای سایبری فضایی است منبعث از تمام دامنه‌هایی که از آن پشتیبانی می‌کند، اما درعین حال ویژگی‌هایی منحصربه‌فرد دارد که دفاع از آن را دشوار می‌کند.

تهدیدات امنیتی فضای سایبری هر روز در حال افزایش است

مهم‌ترینمنبع تهدید در فضای مجازی، گروه‌هایی هستند که با در اختیار داشتند منابع مالی،مأموریت یافته‌اند تا آنقدر به شبکه‌های یک شرکت یا دولت حمله کنند که بتوانند بهآن نفوذ کرده و به موارد مدنظرشان دست پیدا کنند. به این مهاجمین در اصطلاح تهدید دائمی پیشرفته (APT) اطلاق می‌شود APT ها معمولاً به خوبی تغذیه مالی شده، عموماً با دولت‌هاارتباط داشته و ابزارها و مهارت‌های پیچیده انجام هک را در اختیار دارند که دائماًهم در حال بهبود هستند. حرفه‌ترین APT ها عموماً در خانه‌های امن و محل‌هایی مستقر هستند کهخطر بازداشت یا تحت تعقیب قرار گرفتن آن‌ها را تهدید نمی‌کند. از همه مهم‌تر، APTراه‌هایی را برای فرار از سامانه‌هایمعمول دفاع سایبری مبتنی بر ( انطباق الگو ) برای شناسایی و سد راه تهدیدات، یافته‌اند.

ترکیبضعف امنیتی شبکه‌ها و خلاقیت و تحرک مهاجمین منجر شده تا حملات سایبری روند رو بهرشدی داشته باشند. تنها در چند ماه اخیر، شرکت‌ها و بانک‌های بزرگ همگی از حملاتسایبری رنج برده‌اند (این فقط مواردی است که توسطمراکزعملیات امنیت – SOC رصد شدهاند ). در سال ۲۰۱3، سامانه (FireEye) بیشاز ۱۲ میلیون ارتباط بین سرورهای فرمان و کنترل و مجموعه‌هایآلوده را رصد کرد. هریک از این ارتباط‌ها نشان‌دهنده یک نفوذ به شبکه هستند. حملاتسایبری همچنین به طور مداوم از لحاظ پیچیدگی هم در حال رشد هستند. مهاجمین اکنون از حملاتچندمرحله‌ای استفاده می‌کنند که گاهی تا چند ماه به طول می‌انجامد یا اینکه ازالگوهای تازه‌ای برای حمله استفاده می‌کنند (مثلاً بدافزار را در یک سایت پرطرفدارکه کاربران شرکت هدف احتمالاً از آن استفاده می‌کنند، قرار می‌دهند).

آمار: روزانه ۹ هزار سایت جدید برای به دام انداختن کاربران ناآگاه ایجادمی‌شود.

پیچیدگی حملات سایبری را با یک مثال روشن میتوان کر د. در این حمله، مهاجمینتوانستند با استفاده از یک نقطه ضعف در شبکه بدافزاری را در آن جایگذاری کنند. این بدافزاراز طریق همین شبکه منتشر شد و به پایانه‌های فروش که مشتریان در سرتاسر کشور در آن‌هااز کارت‌های اعتباری خود استفاده می‌کردند، رسید. استفاده از پایانه‌های فروش موجبشد تا بدافزار بتواند سامانه‌های دفاعی و کنترل‌های داخلی شبکه را دور بزند. با وجود آنکه اطلاعات کارت‌هایاعتباری بعد از کشیده شدن رمزگذاری می‌شوند، اما این بدافزار طوری طراحی شده بودکه اطلاعات را در مرحله بین کشیده شدن کارت و رمزگذاری ثبت کرده و برای مهاجمینارسال می‌کرد. مهارت ترکیبی برنامه‌نویسی و اطلاع مهاجمین از روند عملیات تجاریموجب شد تا این برنامه بتواند بر شبکه‌های دفاعی مناسب این شرکت، غلبه کند

APT ها همچنین می‌توانند متخصص حملات موسوم به Zero- Day باشند که درآن از نقاط ضعفی استفاده می‌شود که سامانه‌های دفاعی از آن‌ها بی‌اطلاع بوده وبرای مقابله با حملات از این نقاط، آمادگی ندارند. این حملات اکنون بازار بسیارپررونقی دارند، به طوری که محققین بسیاری از کشورها نقاط آسیب‌پذیر را شناساییکرده و اطلاعات مربوط به آن‌ها را به مجرمین سایبری، دولت‌ها یا حتی شرکت‌هایتولیدکننده نرم‌افزار، برای فروش عرضه می‌کنند. ابزارهای حملات Zero- Day در دسترسبوده و به APT ها اجازه می‌دهند تا با استفاده از ابزارهای نرم‌افزاریجدید و غیرقابل‌شناسایی به IP های یک شبکه دستبرد زده یا آن شبکه را مختل کنند.

استخراج IP در شبکه‌ها همچنان اصلی‌ترینهدفی است که APT ها دنبال می‌کنند و مهاجمین این گروه‌ها تقریباً شرکت‌هایهیچ صنعتی را از گزند حملات خود بی‌نصیب نگذاشته‌اند. برخی حملات حتی تا سه سال همبه طول می‌انجامد و مهاجمین در تمام این مدت تمام اطلاعات ارزشمند را استخراج می‌کنند.برخی دیگر از حملات بیشتر شبه به )کیف قاپی ) هستند، که مهاجمین در عرض تنها چند دقیقه اطلاعاتباارزش را به دست می‌آورند.

APT ها از اطلاعات یک کارخانه برای ضربه زدن به همان مجموعهبهره می‌گیرند. به عنوان مثال، یکی از گروه‌های مجرم سایبری توانست به لیست بازرسیاز شرکت‌های فعال در صنعت کارت‌های اعتباری دسترسی پیدا کند، که مشخص می‌کرد وضعیتامنیتی شرکت‌های مختلف از لحاظ امنیت مبادلات کارت‌های اعتباری در چه سطحی است.این فهرست‌های بازرسی، نقاط ضعف سامانه‌های دفاعی شرکت‌های مختلف را مشخص کرده بودکه هکرها از آن‌ها برای افزایش کارایی و بهبود حملات خود از آن‌ها استفاده می‌کنند.

اینحملات هر روز در حال فراگیرتر شدن هستند. در این حملات، هکرها به سراغ شرکت‌هاییمی‌روند که از پروتکل های همچون (SSL) به منظور امن کردن مبادلات استفاده می‌کنند، و برایافزایش امنیت شبکه‌های خود به کار می‌گیرند. آن‌ها سپس با استفاده از فناوری‌ای کهبه آن دستبرد زده‌اند، به ده‌ها یا حتی صدها شرکت یا کاربری که از آن فناوری استفاده می‌کنند،هجوم می‌برند. گویی به یک کلیدسازی دستبرد زده و سپس با استفاده از شاه‌کلید ربوده‌شده،قفل صدها در را باز کنند. یکی از معروف‌ترین این حملات، حمله به شرکت ( RSA) تولیدکننده بزرگ نرم‌افزارهای رمزنگار، است. دراین حمله شرکت خود هدف اصلی نبوده، بلکه مهاجمین APT به این شرکت نفوذ کردند تا به فناوری تائید هویتی که درمؤسسات مالی، شرکت‌های دفاعی و دیگر فعالیت‌های مهم از آن استفاده می‌شد، دستیابند. در حملات بالادستی، استفاده هکرها از شناسه دیجیتالی که با شناسه محصولاصلی غیرقابل تمیز است، موجب می‌شود تا امنیت به کلی از بین برود.

دیگرروش حملات سایبری، روش موسوم به ( فیشینگ متمرکز – هدفمند) است. در این روش ازایمیل‌های آلوده به بدافزار برای فریب کاربران و نفوذ به سامانه‌های آن‌ها استفادهمی‌شود. ایمیل‌ها معمولاً به نظر قابل‌اعتماد می‌رسند و عموماً ویدئو یا یک فایلاکسل نیز به آن ضمیمه شده است. به محض آنکه کاربر برای دریافت فایل ضمیمه روی آنکلیک کند، بدافزار دانلود شده و وارد شبکه می‌شود. در یکی از موارد موفق برایمدیران یک نهاد ایمیل‌هایی تحت عنوان وسوسه‌برانگیز ( لیست پاداش‌های سال آینده )ارسال شد.

دریک مورد دیگر، باز کردن یک فایل ویدئویی با پسوند مثلاMPEG که به ایمیل ضمیمه شده بود، باعث می‌شد تا نرم‌افزارموسوم به ( key logger) روی دستگاه‌ها کپی شود که قادر خواهد بود تک‌ تک کلیدهایی را که کاربر روی کیبورد می‌فشارد،را ثبت کرده و برای مهاجمین بفرستد. هکرها با استفاده از همین اطلاعات به شناسههویتی‌ای که کاربران از آن برای ورود به شبکه شرکت استفاده می‌کردند، دست می‌یافتند.مهاجمین سپس با همین شناسه‌های هویتی معتبر، وارد شبکه شده و بدافزار مدنظر خود رابرای تخلیه اطلاعات مشخص از شبکه، روی آن نصب می‌کردند. تنها با همین روش خاص،تاکنون به بیش از 175 شرکت علمی و فناوری حمله شده است.

اینحملات می‌توانند در چند حمله، چند موج یا بخش به بخش صورت گیرند. APT هادر ابتدا به دنبال کد برنامه‌ای یا اطلاعات نرم‌افزاری هستند که به آن‌ها اجازهدهد به شبکه‌های شرکت دسترسی پیدا کنند. به محض آنکه توانستند به دسترسی‌های مدنظربرسند، برنامه خود را که به دنبال سرقت IP های ارزشمند است، در شبکه جاسازی کرده و آن را فعال می‌کنند.لازم به ذکر است که معمولاً در حملات سایبری تکوینی (که به صورت چند مرحله وتکاملی هستند)، مهاجمین باید خیلی بدشانس یا غیرحرفه‌ای باشند که گیر افتاده یاحتی شناسایی شوند. اغلب پیشرفته‌ترین مهاجمین، ناشناخته باقی می‌مانند.

ازبین مجموع حملات APT که ما از آن‌ها مطلع می‌شویم، ریشه بیش از ۹۰ درصدشان به چین می‌رسد. گروه‌های APT چینی بر سرقت IP ها و دیگر اطلاعات محرمانه تجاری متمرکز هستند. آن‌ها دربهره‌برداری از اطلاعات ارزشمند شبکه‌های دیگر، در جهان پیشرو هستند. زمانی بحثامنیت IP ها و اطلاعات محرمانه تجاری مطرح است، تغییر رویکرد چینمی‌تواند نقشی اساسی در پازل امنیت سایبری ایفا کند. گروه‌های چینی فعالانه صنایعگوناگون از جمله هوا و فضا، داروسازی، شیمی، خودروسازی و رسانه‌های سرتاسر جهان راهدف قرار می‌دهند. این حملات گاهی اوقات رسانه‌ای می‌شود، اما معمولاً از چشمجامعه به دور می‌ماند.

APT ها پیش از معمولاً تنها شرکت‌های دارای IP های ارزشمند را هدفقرار می‌دادند. در حالی که این گروه‌ها همچنان چنین شرکت‌هایی را هدف قرار می‌دهند،دامنه حملات آن‌ها گسترش یافته و همه شرکت‌های دارای اطلاعات مفید، IPیا سرمایه را نیز در برگرفته است.قربانیان این حملات تقریباً در همه‌جا و هر صنعتی، از شرکت‌های کوچک گرفته تامجموعه‌های بزرگ و در هر کشوری هستند.

بااین حال، تهدیدات امنیت سایبری تنها به چین محدود نمی‌شود. APT های روسی در مقایسه با چینی‌ها بسیار پیچیده‌تر بوده وروش‌های مورد استفاده آن‌ها فوق‌العاده ممتاز است. به عنوان نمونه، هکرهای روس باطور گسترده‌ای از رمزنگاری استفاده می‌کنند. آن‌ها با رمزنگاری بدافزار، حذف آن ازشبکه‌ها را دشوارتر کرده و ضمناً بر اقداماتی که برای شناسایی هکرهای چینی صورتگرفته، فائق می‌آیند.

اگرگروه‌های APT چینی تمرکز خود را روی سرقت IP ها گذاشته‌اند، همتایان روس و اروپای شرقی‌شان، بیشتر برجرائم مالی متمرکزند. قربانیان این گروه را هم در تقریباً تمام صنایع مختلف می‌توانیافت. این گروه‌ها مشخصاً مدیران مالی و ممیزهای حساب‌های شرکت‌ها را هدف قرار می‌دهندتا به اطلاعات خصوصی در مورد وضعیت مالی، سود یا طرح‌های شرکت‌ها دست یابند. اینهکرها به دنبال اطلاعاتی خاص مربوط به شرکت‌های سهامی هستند تا از این اطلاعاتبرای معامله یا تأثیرگذاری بر قیمت سهام شرکت استفاده کنند. یکی از موارد نگران‌کنندهاین است که هکرهای روس از این روش برای دستکاری در بازار سهام به نحوی که قابل‌تشخیصنباشد، استفاده می‌کنند.

بهگفته اقایD.d-w از شرکت FireEye ) ( اگر شما ذخیره‌ای از IP ها دارید، بدانید جزو اهداف هستید. ما این را دربیمارستان‌ها و مراکز درمانی دیده‌ایم. ما این را به وضوح در بانکداری مشاهده می‌کنیم.ما این را در اندیشکده‌ها می‌بینیم. این را در شرکت‌های تولیدی شاهدیم. ما اینموضوع را در بخش انرژی مشاهده می‌کنیم. تقریباً در تمام بخش‌های همه کشورها ماشاهدیم که حملاتی برای نفوذ و سرقت IP ها، اطلاعات و سرمایه، صورت می‌گیرد. بنابراین، این امربه موضوعی جهانی بدل شده است.

رویکردهای دفاعی بایدهمپای مهاجمین رشد کنند

APT ها فرصت‌طلب و خلاق هستند. اگر یک نهاد به خوبی محافظتشده باشد، آن‌ها به دنبال شرکای تجاری، حسابداران یا شرکت‌های حقوقی خارج از ایننهاد که توان دفاعی کمتری دارند، می‌روند و از شبکه‌های آن‌ها به عنوان راهیجایگزین برای نفوذ و دست یافتن به اطلاعاتی که می‌خواهند، استفاده می‌کنند. شبکه‌هایشرکت‌ها معمولاً از مسیر شرکت‌های ارائه‌دهنده دامنه یا خدمات‌دهنده به شبکه، موردهدف قرارگرفته و ضربه می‌خورند. به عنوان نمونه، ارتش الکترونیک سوریه برای نفوذ به New YorkTimesاز مسیر شرکت خدمات‌دهندهبه سایت، استفاده کرد. شرکت‌های حقوقی هم اهداف خوبی برای دست یافتن به اطلاعاتمحرمانه شرکت‌ها از جمله مجوزها، شرکا یا دارایی‌ها، هستند.

تهدید APT ها تنها به اطلاعاتمنحصر نبوده و می‌تواند به تغییرات فیزیکی نیز منجر شود. انجام تخریب‌های فیزیکیدر مقایسه به سرقت ساده اطلاعات، نیازمند حجم بسیار بیشتری از پیچیدگی‌های برنامه‌نویسیو اطلاعات در مورد هدف است. این حملات همچنین در مقایسه با ابزارهایی که در حالحاضر برای حملات معمول استفاده می‌شوند، به ابزارهایی بسیار گران‌قیمت‌تر نیازدارند. با این حال، اکنون تعداد کشورهایی که به چنین مهارت‌هایی دست‌یافته‌اند، روبه افزایش است. در حالی که ایجاد اثرات فیزیکی به دلیل منابع و مهارت‌های بیشتریکه نیاز دارند، همچنان کاری دشوار است، اما اکنون تعداد فزاینده‌ای از گروه‌ها بهمهارت لازم برای انجام حملات مختل‌کننده یا تخریب‌گر که می‌تواند ایمنی عمومی یاامنیت ملی را در معرض خطر قرار دهد، دست‌یافته یا در حال دست یافتن هستند.

دفاع سایبری نتوانسته بهاندازهها پیشرفت کند

APT ها منابع، پشت‌کار و مهارت‌های لازم برای طراحی حملاتپیچیده و فائق آمدن بر سامانه‌های دفاعی و جلوگیری از شناخته شدن را دارند. شبکهبسیاری از شرکت‌ها در حالی مورد حمله و دستبرد قرارگرفته که حتی خود آن شرکت نیزاز این موضوع بی‌اطلاع است. APT ها با بهره‌گیری از هماهنگی ضعیف و اجرای ناقص تمهیداتاولیه امنیت سایبری در شرکت‌ها، به تهدیدی جدی برای امنیت سایبری بدل شده‌اند.تمهیدات ضعیف دفاعی بدان معنی است که APT ها می‌توانند بدون آنکه قربانی بفهمد، همواره با یکالگوی مشخص با موفقیت به شبکه نفوذ کرده و به اطلاعات آن دستبرد بزنند.

ماداریم در مورد یک روند سایبری صحبت می‌کنیم. در واقع بهتر از آن تحت عنوان یک )خط دفاعی ( سایبری یادکنیم. ( خط دفاعی ماژینو) استحکاماتی بود که فرانسوی‌ها هزینه زیادی برای ایجاد آنکردند، اما آلمان نازی به سادگی توانست در جنگ جهانی دوم از آن عبور کند. بسیاریاز ساختارهای امنیتی دفاعی کنونی نیز مشترکات زیادی با این خط دفاعی دارند. آن‌ها سفت‌وسخت، انعطاف‌ناپذیر و بیش‌ازحدپیچیده هستند. افزایش لایه‌های ایستا و مشابه هم، به هیچ وجه به معنی افزایش امنیتنیست. یک معماری دفاعی مبتنی بر رویکردهای ایستا که از امضای دیجیتال واستانداردهای انطباقی استفاده می‌کند، چیزی است که هکرها می‌توانند هر بار بر آنغلبه کنند.

اغلبشرکت‌ها وقتی می‌فهمند مورد حمله قرارگرفته‌اند که ماه‌ها از آن حمله گذشته وعموماً هم یک شرکت ثالث است که آن‌ها را از این موضوع مطلع می‌کند. بخش اعظم حملاتموفق تنها به تکنیک‌های ابتدایی نیاز دارند و اغلب آن‌ها را می‌توان تنها بااستفاده هماهنگ و مداوم از تمهیدات نسبتاً ابتدایی پیشگیرانه، متوقف کرد. یکی ازدلایلی که جرائم سایبری تا این حد گسترش یافته، این است که مهاجمین برای انجام یکحمله موفق، لازم نیست چندان تلاشی انجام دهند.

باید به سمت روش‌های دفاعیپویا حرکت کرد

اغلبسامانه‌های دفاعی کنونی پایه محور هستند وشرکت‌ها تنها از خود دفاع می‌کنند. این در حالی است که در رویکرد پدافند پویا، روش‌هایمورد استفاده هم کلی‌نگر است، به این معنی که تمام مجموعه از حمله شرکای تجاری وتأمین‌کنندگان مواد اولیه را مدنظر داشته، و پویا بوده و دقیقاً همپای تهدیدات،روندی تکاملی دارند. اغلب روش‌های پدافندی چندلایه ایستا که توسط بسیاری از شرکت‌هاو با استفاده از برنامه‌های مختلف به کار گرفته شده‌اند، نمی‌توانند در برابر روش‌هایمبتنی بر مهندسی اجتماعی نظیر ( فیشینگ هدف‌اند) و ( (Zero day مؤثر باشند. یک ساختارامنیتی چندلایه معمولی که لایه‌های آن از روش‌های متداول انطباق الگو یا امضایدیجیتال استفاده می‌کنند، نظیر سامانه‌های شناسایی و ممانعت، فایروال‌ها و دروازه‌هایدیجیتال، تنها به ایجاد یک حس غلط امنیت، منجر می‌شوند.

اطلاعاتمراکزعملیات امنیت ( SOC : Security Operation Center ) نشان می‌دهند که APT ها ممکن است به شبکه‌های بیش از 90 درصد شرکت‌ها و دولت‌ها نفوذ کرده باشند. مدل استفادهاز آنتی‌ویروس برای رسیدن به امنیت سایبری، اکنون به شدت تحت‌فشار است. زمانی شرکت‌هایتولیدکننده آنتی‌ویروس اولین بار ایجاد شدند، باید تنها به دنبال الگوها یا نشانه‌هاییبودند که نشان‌دهنده بروز حمله است، و با ایجاد یک امضای دیجیتال، فایل‌ها را برایشناسایی حمله رصد کنند. این شرکت‌ها در طول سال‌های طولانی الگوهای بیشتری تولید وفایل‌های بیشتری را رصد کرده‌اند. استفاده از مشخصه‌های دیجیتال و ایجاد فهرست‌هایسیاه به آن معنی است که ما بیش از ۶۰میلیون شناسه تهدیدات سایبری را در هر سیستم قرار داده‌ایم؛ با این حال حملاتهمچنان با سرعت خیره‌کننده، به پیش می‌روند.

درگذشته، بلافاصله چند روز بعد از آنکه بدافزاری ظاهر می‌شد، مشخصه‌ای برای شناساییو مسدود کردن آن از سوی شرکت‌ها تولید می‌شد. اما در چند سال اخیر، سرعت ظهوربدافزارهای جدید و تعداد بالای حملاتی که انجام می‌دهند موجب شده تا آنتی‌ویروس‌هادر موضع ضعف قرار گیرند. مهاجمین می‌توانند با دسترسی به لیست مشخصه‌های یک شرکتبه طور کامل سپر دفاعی آن شرکت را دور بزنند.

عدموجود مدیریت هماهنگ هم دیگر مسئله‌ای است که دفاع در برابر APT ها را دشوارتر می‌کند. مدیریت هماهنگ در واقع قوانین وتفاهماتی است که بر اقدامات هماهنگ بیم شرکت‌ها و دولت‌ها علیه APT ها حاکم است. مدیریتهماهنگ ضعیف موجب می‌شود تا دولت‌ها و نهادها در همکاری برای مقابله با APT ها با دشواری بیشتریروبرو شوند. در چنین فضایی است که حتی حملات غیرپیچیده و ابتدایی هم می‌توانندموفق باشند. نبود هماهنگی بین مدافعین، موضوعی است که از نبود مدیریت هماهنگ نشأتمی‌گیرد. در واقع مدیریت هماهنگ با ایجاد ساختارهای لازم برای همکاری‌های دفاعی،زمینه را برای یک رویکرد جامع در امنیت سایبری فراهم می‌کند. ناتوانی در ایجاد یکساختار مدیریت هماهنگ بین شرکت‌ها و دولت منجر به این معنی است که به عنوان حجمبالایی از حملات شناسایی نشده و امکان پیش‌گیری و مبارزه با آن فراهم نمی‌شود. درصورتی که شبکه لایه‌های دفاعی کافی را نداشته باشد، در آن صورت نبود هماهنگی مناسبجزو اصلی‌ترین مشکلات امنیت سایبری خواهد بود.

ها

چیزیکه به طور خلاصه می‌توان گفت، این است که رقبای APT ما افرادی هستند ماهر و خلاق که در برابر خطوط دفاعی‌ایقرارگرفته‌اند که برای مهارشان بسیار ضعیف هستند. سال‌هاست که این وضعیت ادامهیافته، اما نباید اجازه داد این وضعیت به امری دائمی بدل شود. با وجود آنکه هیچراه‌حل قطعی برای دستیابی به امنیت سایبری کامل وجود ندارد، اما می‌توان با ایجاد مراکزعملیاتامنیت برای سازمان ها و شرکت های حد وسط – پیشرفته و همچنین مراکز دفاعی – دولتی –نظامی – صنعتی و هماهنگی در سطوح بین‌المللی، ملی و شرکتی، میزان تهدید APT ها را کاهش داده وامنیت سایبری را بالا برد. راهکارهایی که پیشنهاد میشوند : در ۵ ردیف دسته‌بندی می‌شود: رویه‌ها، تبعات، فناوری، مدیریتو نیروی انسانی.

اقدامات پیشگیرانه سایبرینقطه شروع است

هیچشرکت یا آژانسی نمی‌تواند بدون آنکه در ابتدا برخی اصول اولیه مراقبتی را رعایتکند، از پس تهدیدات سایبری برآید. بسیاری از حملات را می‌توان با اجرای برایتمهیدات ساده امنیتی، ناکام گذاشت. یک نمونه خوب برای تمهیدات اولیه، بسته موسومبه راهبردهای ۳۵ گانه کاهش تهدید استرالیا است. یک نمونه دیگر، بستهموسوم به ۲۰ تمهید امنیتی مؤثر در دفاع سایبری موسسه SANS است.این راهبردهای مقابله با ریسک می‌تواند به شرکت‌ها کمک کند که از پس اغلب تهدیداتسایبری شناخته شده برآمده و در عین حال هزینه‌های دفاعی خود را کاهش دهند. راهبردهایکاهشی همچنین می‌توانند به پایین آمدن تهدیدات داخلی سازمان‌ها نیز کمک کنند.گزارش چارچوب امنیت سایبری موسسه ملی استاندارد و فناوری که به دستور اجرایی 2014 رئیس‌جمهور اوباما و با هدف تهیه لیستی از تماماقداماتی که شرکت‌ها می‌توانند برای بالا بردن امنیت شبکه‌هایشان انجام دهند،ایجاد شد. این لیست موقعیتی را فراهم می‌کند تا تمهیدات اولیه به پایه‌ای برایامنیت سایبری بدل شوند.

اینتمیهدات اولیه امنیتی باید همراه با نظارت و مراقبت مداوم به اجرا گذاشته شوند. بهعنوان مثال اقدامات ساده‌ای چون کسب اطمینان از اینکه تمام نرم‌افزارهای نصب‌شدهروی دستگاه‌ها، از لحاظ امنیتی به روز شده‌اند. چک کردن مداوم موارد دفاعی موجب می‌شودتا نقاط ضعف پیش از آنکه مهاجمین بتوانند از آن استفاده کنند، شناسایی شوند. میزانکارایی کنترل‌ها و تمهیدات امنیتی به میزان توانایی کاربر برای استفاده بهینه ازآن‌ها بستگی دارد. متخصصان امنیت اطلاعات اغلب به این نتیجه می‌رسند که در بسیاریاز موارد، موفقیت حملات بیش از آنکه نتیجه استفاده مهاجمین از روش‌های پیچیدهباشد، ناشی از اجرای نادرست تمهیدات امنیتی از سوی قربانی بوده است. در مجموع،باید گفت حتی پیچیده‌ترین راهبردهای دفاعی هم اگر به درستی از سوی کاربر موردنظارت قرار نگرفته و به اجرای مناسبشان بی‌توجهی شود، در برابر حملات مغلوب می‌شوند.

برای افزایشامنیت، باید از روش‌های سنتی فاصله گرفت

وقتآن رسیده که روش معمول تائید هویت کنار گذاشته شود. شرکت‌ها باید به استفاده ازشیوه ( نام کاربری - کلمه عبور) برای تأمین امنیت موارد باارزش، پایان دهند.برنامه‌هایی که رمز عبور را شکسته یا حدس می‌زنند، به وفور در بازار سیاه جرائمسایبری یافت می‌شوند و APT ها نیز به ابزارهای حتی پیشرفته‌تر و پیچیده‌تر دسترسیدارند. بسیاری از حملات مهاجمین، به دلیل ضعیف بودن رمز عبور است که با موفقیتهمراه می‌شود. از این رو، به روش‌های پیشرفته‌تری برای تائید هویت نیاز است. البتهاین امر همواره به دلیل بالا رفتن هزینه‌ها و همچنین دشوارتر شدن دسترسی کارکنانبا مخالفت‌هایی همراه است؛ درست همانطور که بیشتر کردن قفل‌های درها با مخالفتمواجه می‌شود. اگر شرکتی همچنان به استفاده از روش قدیمی ( نام کاربری - کلمه عبور) برای محافظت از اطلاعات باارزش ادامهدهد، انگار درهای شرکت را بدون قفل و نگهبان، به حال خود رها کرده است( نسبتبه تائید صحت هویت , جدیت به خرج دهید ).

ها

وقتی بحث تعیین شناسایی مسئول حملات مطرح است، می‌بینیمکه ما پیشرفت‌های زیادی را داشته‌ایم، حتی از ۵ سال قبل تا الان. اکنون در بسیاری از موارد (و البته نهدر همه آن‌ها) می‌توانیم بگویم که چه کسی عامل حمله بوده است. همین امر به مااجازه می‌دهد تا در رویکرد خود برای یافتن راهکارهای جلوگیری از تهدیدات سایبری،متمرکزتر عمل کنیم. داشتن توانایی مشخص کردن عامل حمله، این فرصت را فراهم می‌کندتا جرایمی برای مهاجمین در نظر گرفته شود و نتیجتاً هر حمله تبعاتی مشخص را برایعوامل آن داشته باشد. وقتی در حال حاضر تقریباً هیچ جریمه و تنبیهی برای ایجادبدافزارها وجود ندارد، چرا مهاجمین باید از اعمال خود دست بردارند؟ قطعاً بایدجریمه‌ها یا تبعاتی دیگر برای مهاجمین وجود داشته باشد.

استفادهاز رویکردهای حقوقی برای هزینه‌دار کردن اعمال APT ها، یکی از مواردی است که تاکنون به ندرت به آن پرداختهشده است. شاید برای یک شرکت مقدور نباشد که مهاجمین را تحت پیگرد قرار دهد، امامقامات کشوری می‌توانند با استفاده از ابزارهای ایجاد شده برای تروریسم، منع گسترشو جرائم برون مرزی برای مقابله با APT ها استفاده کنند. خودداری از ارائه ویزا، محدود کردنتراکنش‌های مالی و همچنین تحت پیگرد قرار دادن افراد دخیل یا منتفع از جاسوسیسایبری از جمله این ابزارهاست. این‌ها ابزارهایی هستند که امتحان خود را پس داده ومی‌توان از آن‌ها برای مقابله با گروه‌های شناخته‌شده APT استفاده کرد.

هیاهوییکه در مورد جاسوسی آژانس امنیت ملی آمریکا به راه افتاده، از ارزش اقدامات قانونینمی‌کاهد. بسیاری از کشورها در جهان دست به جاسوسی سایبری می‌زنند. این کشورها نمی‌خواهندآژانس امنیت ملی آمریکا را به دادگاه بکشانند، چراکه این کار بدعتی تازه بنا می‌گذاردکه بعدها می‌تواند آژانس‌های اطلاعاتی خود آن‌ها را نیز گرفتار کند. حتی اگر همه APT ها هم ارتباط نزدیکی بادولت کشورهای میزبان داشته باشند، اما آن‌ها همچنان شخصیت‌های حقیقی‌ای هستند کههم بر اساس قوانین فردی مرتکب جرم شده و هم بر خلاف جاسوسی، حتی بر اساس قوانینملی خود نیز که مخالف سرقت اطلاعات مالی و IP است، مرتکب تخلف شده‌اند. وقتی بحث جرائم اینترنتی درمیان است، جهان باید به امان دادن به APT ها پایان دهد.

یکروش دیگر ایجاد هزینه و تبعات برای مهاجمین که البته مشکلاتی دارد، اما اخیراً بهصورتی جدی مورد بحث و توجه قرارگرفته، انجام حملات تلافی‌جویانه به مهاجمین است.به این روش برخی اوقات، دفاع فعال گفته می‌شود. به طور کلی، آنچه که یک شرکت برایمحافظت از خود در شبکه‌اش انجام می‌دهد، نظیر قرار دادن اطلاعات غلط در شبکهداخلی، تله‌گذاری و یا ایجاد توانایی ردگیری و کنترل استفاده از IP همگی مواردی است که جزوسیاست‌های داخلی آن شرکت یا قوانین کشور به شمار می‌آید و دینی برای آن نهاد ایجادنمی‌کند. اما، اگر یک شرکت برای تلافی حملات از خود از شبکه‌اش خارج شده و به خصوصوارد شبکه‌ای در خارج از کشور شود، خود را در معرض تهدید قوانین بین‌المللی قرارداده و ممکن است مدیون شناخته شود. علاوه بر این، از آنجا که ایالات متحده تلاشکرده تا روسیه و چین را به همکاری در زمینه اجرای قوانین مبارزه با جرائم سایبریتشویق کند، به سختی می‌تواند در برابر درخواست‌های خارجی برای همکاری در زمینهتحقیق در مورد جرائم سایبری آمریکایی‌هایی که حملات تلافی‌جویانه انجام داده‌اند،ایستادگی کند. همچنین اقدامات تلافی‌جویانه که افراد رأساً دست به آن می‌زنند، درصورت خارج شدن از کنترل و ضرر زدن به شخص ثالثی که خطایی مرتکب نشده بوده، بهصورتی جدی با ریسک مدیون شدن فرد مواجه است. بسیاری از شرکت‌ها به شدت وسوسه می‌شوندتا دست به حملات تلافی‌جویانه بزنند، اما آن‌ها پیش از هر اقدامی باید به دقت بهتبعات لو رفتن احتمالی خود فکر کند و بعد این ریسک را بپذیرند.

بهترینراه برای کنترل تقاضا برای حملات تلافی‌جویانه، این است که دولت‌ها سیاست‌هایقاطعانه‌تری برای مقابله و برخورد با APT ها در پیش بگیرند. این بدان معنی نیست که دولت‌ها به هماعلام جنگ کنند، بلکه به این معنی است که به طور کامل از مجموعه ابزارهایدیپلماتیک، تجاری و قانونی‌ای که در اختیار دارند، در راستای ایجاد تبعات واقعیبرای مهاجمین استفاده کنند؛ آن هم در محیطی که تبعات حملات به طور سنتی آنقدرمحدود است که تقریباً به چشم نمی‌آیند. جایگزین این روش هم این است که برخوردیمنفعلانه داشته و اجازه دهیم افراد قربانی شوند.

بهره بگیری از فناوری‌هایجدید

در بازار فناوری‌های موثری در زمینه امنیت سایبری وجود دارد، اماپیشرفت‌هایی که اخیراً صورت گرفته، شانس کاهش فاصله میان توان تهاجمی و دفاعی راافزایش داده است. روش‌هایی چون کلان‌داده، رایانش ابری و نرم‌افزار به عنوان سرویس (SaaS) می‌تواننددیگر در حد یک شعار باقی نمانند. فناوری‌هایی که پشت این روش‌هاست، نوع جدیدی ازدفاع سایبری را معرفی می‌کند. استفاده از سامانه‌های مجازی برای بررسی فایل‌ها پیشاز آنکه به شبکه هدف منتقل شوند، روش جدید و امیدوارکننده‌ای برای استفاده ازفناوری است. روش‌های بسیار دیگری هم وجود دارد که می‌تواند به ما در فاصله گرفتهاز روش‌های منفعلانه کمک کنند. ایجاد استانداردهایی برای رویارویی با تهدیداتپیشرفته و گسترش همکاری‌های داخلی بین سرویس‌دهندگان مختلف، می‌تواند فناوریپیشرفته‌ای را ایجاد کند که تاکنون هرگز دیده نشده است.و در انتها ایجاد مراکز عملیات امنیت پیشرفته که چتریمیباشند که تمامی باید ها را در خود جا داده اند.

لازمهکاهش میزان تهدیدات، بررسی دقیق معماری اینترنت، کاربری‌ها و برنامه‌هاست تا بتواننقاط ضعف آن‌ها را شناسایی کرد. در حال حاضر، نقاط ضعف به طرز شرم‌آوری آشکار ومتعدد هستند، که دلیل اصلی این امر عموماً ضعف در توسعه و انجام عملیات سنجش است.برای تغییر این روند، لازم است تا در طرز فکر تولیدکنندگان نرم‌افزار، تغییر ایجادشود. یکی از موضوعاتی که باید مورد بحث قرار گیرد، این است که آیا برای رسیدن بهامنیت بهتر نیاز است که چارچوبی قابل‌اتکاتر برای شرکت‌های دخیل در تولید و فروشنرم‌افزار، تعریف شود یا خیر؟!

قرار الگویتهدیدات و حملات

درحال حاضر، شرکت‌های بزرگ و کوچک هریک تنها از بخشی از اطلاعات مربوط به پازل امنیتسایبری دسترسی دارند. اکنون آگاهی وضعی ما در مورد تهدیدات سایبری بسیار ناقص و ازهم گسیخته است. اطلاعات ما در مقایسه با اطلاعاتی که مجموعه‌های مختلف در موردتهدیدات سایبری دارند، بسیار محدود است. اگر ما بتوانیم تمام اطلاعاتی را که شرکت‌هاو آژانس‌های مختلف در اختیار دارند، کنار هم بگذاریم، دانش ما نسبت به APT ها و به تبع آن توانمانبرای دفاع از خود در برابر آن‌ها به میزان بسیار زیادی افزایش می‌یابد.

درحال حاضر همکاری میان شرکت‌ها با هم و با دولت‌ها در زمینه امنیت سایبری با موانعقانونی، تجاری و معاملاتی مواجه است. موضوعات مربوط به عدم اط