تهديد مستمر متقدم

التهديد المستمر المتقدم ( APT ) هو تهديد خفي للأمن السيبراني، عادةً ما يتم التلاعب به من قبل دولة أو جماعة مدعومة من الدولة، حيث يحصل على وصول غير مصرح به إلى شبكة حاسوبية ويبقى غير مكتشف لفترة طويلة. ^{[ 1 ] [ 2 ]} في الآونة الأخيرة، قد يشير المصطلح أيضًا إلى جماعات غير مدعومة من الدولة تقوم بعمليات اختراق واسعة النطاق وموجهة لتحقيق أهداف محددة. ^{[ 3 ]}

عادةً ما تكون دوافع الجهات الفاعلة في مثل هذه التهديدات سياسية أو اقتصادية. ^{[ 4 ]} وقد سُجّلت حالات هجمات إلكترونية من قِبل جهات متطورة في جميع قطاعات الأعمال الرئيسية ، بهدف تحقيق أهداف محددة، سواءً كانت السرقة أو التجسس أو التخريب. وتشمل هذه القطاعات المستهدفة: الحكومة، والدفاع ، والخدمات المالية ، والخدمات القانونية ، والصناعة ، والاتصالات ، والسلع الاستهلاكية ، وغيرها الكثير. ^{[ 5 ] [ 6 ] [ 7 ]} وتستخدم بعض المجموعات أساليب التجسس التقليدية، بما في ذلك الهندسة الاجتماعية ، والاستخبارات البشرية ، والتسلل ، للوصول إلى موقع فعليّ لتمكين الهجمات على الشبكة. والهدف من هذه الهجمات هو تثبيت برامج خبيثة مُخصصة . ^{[ 8 ]}

أصبحت هجمات التهديدات المتقدمة المستمرة على الأجهزة المحمولة مصدر قلق حقيقي، حيث يتمكن المهاجمون من اختراق البنية التحتية السحابية والمتنقلة للتنصت على البيانات وسرقتها والتلاعب بها. ^{[ 9 ]}

يختلف متوسط ​​"مدة بقاء" الهجوم، أي الفترة التي يمر بها هجوم متقدم مستمر دون اكتشافه، اختلافًا كبيرًا بين المناطق. فقد أفادت شركة فاير آي أن متوسط ​​مدة البقاء لعام 2018 بلغ 71 يومًا في الأمريكتين ، و177 يومًا في أوروبا والشرق الأوسط وأفريقيا، و 204 أيام في منطقة آسيا والمحيط الهادئ . ^{[ 5 ]} تتيح هذه المدة الطويلة للمهاجمين وقتًا كافيًا لإتمام دورة الهجوم، ونشره، وتحقيق أهدافهم.

قد تختلف تعريفات مفهوم التهديد المتقدم المستمر (APT) بدقة، ولكن يمكن تلخيصها من خلال متطلباتها المحددة أدناه:

• متقدم  – يمتلك منفذو هذا التهديد طيفًا واسعًا من تقنيات جمع المعلومات الاستخباراتية. قد تشمل هذه التقنيات أساليب وتقنيات اختراق الحواسيب التجارية والمفتوحة المصدر، وقد تمتد لتشمل أجهزة استخبارات الدولة. مع أن بعض مكونات الهجوم قد لا تُعتبر "متقدمة" بشكل خاص (مثل مكونات البرمجيات الخبيثة المُولّدة من مجموعات بناء البرمجيات الخبيثة المتاحة بسهولة، أو استخدام مواد استغلال الثغرات الأمنية التي يسهل الحصول عليها)، إلا أن منفذيها عادةً ما يستطيعون الوصول إلى أدوات أكثر تطورًا وتطويرها حسب الحاجة. غالبًا ما يجمعون بين أساليب وأدوات وتقنيات استهداف متعددة للوصول إلى هدفهم واختراقه والحفاظ على الوصول إليه. كما قد يُظهر المنفذون تركيزًا مُتعمدًا على الأمن التشغيلي، مما يميزهم عن التهديدات "الأقل تقدمًا". ^{[ 3 ] [ 10 ] [ 11 ]}
• المثابرة  – يمتلك المشغلون أهدافًا محددة، بدلًا من السعي الانتهازي وراء المعلومات لتحقيق مكاسب مالية أو غيرها. هذا التمييز يعني أن المهاجمين يتلقون توجيهات من جهات خارجية. يتم الاستهداف من خلال المراقبة والتفاعل المستمرين لتحقيق الأهداف المحددة. لا يعني هذا وابلًا من الهجمات المتواصلة وتحديثات البرامج الضارة. في الواقع، عادةً ما يكون النهج "البطيء والمنخفض" أكثر نجاحًا. إذا فقد المشغل الوصول إلى هدفه، فإنه عادةً ما يعيد محاولة الوصول، وغالبًا ما ينجح. أحد أهداف المشغل هو الحفاظ على وصول طويل الأمد إلى الهدف، على عكس التهديدات التي تحتاج فقط إلى الوصول لتنفيذ مهمة محددة. ^{[ 10 ] [ 12 ]}
• التهديد  – تُشكل الهجمات المتقدمة المستمرة (APTs) تهديدًا نظرًا لقدرتها على التنفيذ وأهدافها. تُنفذ هذه الهجمات من خلال عمليات بشرية منسقة، وليس بواسطة برامج آلية عشوائية. يمتلك القائمون عليها هدفًا محددًا، وهم ماهرون، ولديهم دوافع قوية، ومنظمون، وممولون تمويلًا جيدًا. ولا يقتصر وجود هذه الجهات على الجماعات المدعومة من الدول. ^{[ 3 ] [ 10 ]}

أصدرت منظمات الاستجابة للطوارئ الحاسوبية في المملكة المتحدة والولايات المتحدة تحذيرات في عام 2005 من رسائل البريد الإلكتروني المُستهدفة والمُصممة بتقنيات الهندسة الاجتماعية، والتي تُحمّل برامج خبيثة لاستخراج معلومات حساسة . وقد استُخدمت هذه الطريقة خلال أوائل التسعينيات، ولا تُعدّ في حد ذاتها تهديدًا مستمرًا متقدمًا. ويُنسب مصطلح "التهديد المستمر المتقدم" إلى القوات الجوية الأمريكية في عام 2006 ^{[ 13 ]} ، حيث يُنسب ابتكاره إلى العقيد جريج راتراي ^{[ 14 ] .}

يُعدّ فيروس ستوكسنت الحاسوبي ، الذي استهدف أجهزة الحاسوب الخاصة بالبرنامج النووي الإيراني ، مثالاً على هجوم التهديد المستمر المتقدم. في هذه الحالة، قد تعتبر الحكومة الإيرانية مبتكري ستوكسنت تهديدًا مستمرًا متقدمًا. ^{[ 15 ]}

في أوساط أمن الحاسوب ، وبشكل متزايد في وسائل الإعلام، يُستخدم مصطلح "التهديد المستمر المتقدم" (APT) عادةً للإشارة إلى نمط طويل الأمد من استغلال شبكات الحاسوب المعقدة التي تستهدف الحكومات والشركات والناشطين السياسيين، وبالتالي، لنسبة سمات A وP وT إلى المجموعات التي تقف وراء هذه الهجمات. ^{[ 16 ]} قد يتحول التركيز في مصطلح "التهديد المستمر المتقدم" (APT) إلى القرصنة الإلكترونية نظرًا لتزايد حالاتها. فقد أفادت مجلة PC World بزيادة قدرها 81% في الهجمات الإلكترونية المتقدمة والموجهة بشكل خاص بين عامي 2010 و2011. ^{[ 17 ]}

استخدمت جهات فاعلة في العديد من الدول الفضاء الإلكتروني كوسيلة لجمع معلومات استخباراتية عن الأفراد والجماعات المستهدفة. ^{[ 18 ] [ 19 ] [ 20 ]} وتتولى قيادة الفضاء الإلكتروني الأمريكية مهمة تنسيق العمليات الهجومية والدفاعية للجيش الأمريكي في مجال الفضاء الإلكتروني . ^{[ 21 ]}

زعمت مصادر عديدة أن بعض مجموعات التهديدات المتقدمة المستمرة (APT) تابعة لحكومات دول ذات سيادة أو أنها عملاء لها . ^{[ 22 ] [ 23 ] [ 24 ]} وتتعرض الشركات التي تحتفظ بكميات كبيرة من المعلومات الشخصية لخطر كبير من الاستهداف بواسطة التهديدات المتقدمة المستمرة، بما في ذلك: ^{[ 25 ]}

• الزراعة ^{[ 26 ]}
• طاقة
• المؤسسات المالية
• الرعاية الصحية
• التعليم العالي ^{[ 27 ]}
• تصنيع
• تكنولوجيا
• الاتصالات السلكية واللاسلكية
• مواصلات

قدمت دراسة أجرتها شركة بيل كندا بحثاً معمقاً حول بنية الهجمات الإلكترونية المتقدمة المستمرة، وكشفت عن وجود واسع النطاق لها في الحكومة الكندية والبنية التحتية الحيوية. وقد تم تحديد الجهات الفاعلة الصينية والروسية كمسؤولة عن هذه الهجمات. ^{[ 28 ]}

يشكل الفاعلون الذين يقفون وراء التهديدات المستمرة المتقدمة خطراً متزايداً ومتغيراً على الأصول المالية للمنظمات، والملكية الفكرية، وسمعتها ^{[ 29 ]} من خلال اتباع عملية مستمرة أو سلسلة قتل :

1. استهداف منظمات محددة لتحقيق هدف واحد
2. محاولة الحصول على موطئ قدم في البيئة (تشمل التكتيكات الشائعة رسائل البريد الإلكتروني التصيدية الموجهة )
3. استخدم الأنظمة المخترقة كوسيلة للوصول إلى الشبكة المستهدفة
4. نشر أدوات إضافية تساعد في تحقيق هدف الهجوم
5. تغطية المسارات للحفاظ على إمكانية الوصول للمبادرات المستقبلية

في عام 2013، قدمت شركة مانديانت نتائج أبحاثها حول الهجمات الصينية المزعومة باستخدام أسلوب APT بين عامي 2004 و2013 ^{[ 30 ]} والتي اتبعت دورة حياة مماثلة:

• الاختراق الأولي – يتم باستخدام الهندسة الاجتماعية والتصيد الاحتيالي الموجه ، عبر البريد الإلكتروني، باستخدام فيروسات اليوم الصفر . ومن طرق الإصابة الشائعة الأخرى زرع برامج ضارة على موقع ويب من المرجح أن يزوره موظفو الضحية. ^{[ 31 ]} 
• ترسيخ موطئ قدم – زرع برامج إدارة عن بعد في شبكة الضحية، وإنشاء أبواب خلفية وأنفاق شبكية تسمح بالوصول الخفي إلى بنيتها التحتية. 
• تصعيد الامتيازات - استخدام الثغرات الأمنية واختراق كلمات المرور للحصول على امتيازات المسؤول على جهاز الكمبيوتر الخاص بالضحية وربما توسيعها إلى حسابات مسؤول مجال ويندوز . 
• الاستطلاع الداخلي – جمع معلومات عن البنية التحتية المحيطة، وعلاقات الثقة، وبنية نطاق ويندوز . 
• التحرك بشكل جانبي - توسيع نطاق التحكم ليشمل محطات العمل والخوادم وعناصر البنية التحتية الأخرى، وإجراء عمليات جمع البيانات عليها. 
• الحفاظ على التواجد – ضمان استمرار التحكم في قنوات الوصول وبيانات الاعتماد التي تم الحصول عليها في الخطوات السابقة. 
• إتمام المهمة – استخراج البيانات المسروقة من شبكة الضحية. 

في الحوادث التي حللتها شركة مانديانت، بلغ متوسط ​​فترة سيطرة المهاجمين على شبكة الضحية عامًا واحدًا، بينما بلغت أطول فترة  ما يقارب خمس سنوات. ^{[ 30 ]} يُزعم أن عمليات الاختراق نُفذت من قبل الوحدة 61398 التابعة لجيش التحرير الشعبي الصيني ، ومقرها شنغهاي . وقد نفى المسؤولون الصينيون أي تورط لهم في هذه الهجمات. ^{[ 32 ]}

وقد كشفت تقارير سابقة صادرة عن جهاز الأمن السيبراني (Secdev) عن تورط جهات صينية في هذه العملية. ^{[ 33 ]}

يوجد عشرات الملايين من أنواع البرمجيات الخبيثة، ^{[ 34 ]} مما يجعل حماية المؤسسات من الهجمات المتقدمة المستمرة (APT) تحديًا بالغ الصعوبة. ورغم أن أنشطة هذه الهجمات تتسم بالتخفي وصعوبة الكشف عنها، إلا أنه يمكن رصد حركة مرور الشبكة الخاصة بالتحكم والسيطرة المرتبطة بها على مستوى طبقة الشبكة باستخدام أساليب متطورة. وتُعد تحليلات السجلات المعمقة وربطها من مصادر متعددة ذات فائدة محدودة في الكشف عن أنشطة هذه الهجمات، إذ يصعب التمييز بين البيانات غير المرغوب فيها والبيانات المشروعة. وقد أثبتت تقنيات وأساليب الأمن التقليدية عدم فعاليتها في الكشف عن هذه الهجمات أو التخفيف من آثارها. ^{[ 35 ]} وقد حقق الدفاع السيبراني النشط فعالية أكبر في الكشف عن هذه الهجمات وملاحقتها (الاكتشاف، والإصلاح، والإنهاء) عند تطبيق معلومات التهديدات السيبرانية في أنشطة البحث عن الخصوم وملاحقتهم. ^{[ 36 ] [ 37 ]} وتُعد الثغرات السيبرانية التي يُدخلها الإنسان (HICV) حلقة ضعف سيبرانية غير مفهومة جيدًا وغير مُعالجة بشكل كافٍ، مما يُشكل ناقلًا رئيسيًا للهجوم. ^{[ 38 ]}

قد تُطلق منظمات متعددة أسماءً مختلفة على الجهة الفاعلة نفسها. ونظرًا لاحتمالية وجود تقييمات متباينة لدى الباحثين المستقلين لمجموعة التهديد المتقدم المستمر (APT)، فإن شركات مثل كراود سترايك ، وكاسبرسكي ، ومانديانت ، ومايكروسوفت ، وغيرها، لديها أنظمة تسمية داخلية خاصة بها. ^{[ 100 ]} وقد تشير الأسماء المستخدمة بين المنظمات المختلفة إلى مجموعات متداخلة، ولكنها في نهاية المطاف مختلفة، استنادًا إلى بيانات متنوعة تم جمعها.

تُصنّف شركة كراود سترايك الحيوانات حسب الدولة أو فئة أخرى، مثل "القطة" لإيران و"العنكبوت" للمجموعات التي تُركّز على الجرائم الإلكترونية. ^{[ 101 ]} وقد سمّت شركات أخرى مجموعاتها بناءً على هذا النظام - على سبيل المثال، سمّت شركة تشيك بوينت مجموعة رامبانت كيتن بدلاً من كراود سترايك. ^{[ 102 ]}

تستند دراغوس في تسمية مجموعات APT إلى المعادن. ^{[ 100 ]}

تُخصّص شركة مانديانت اختصارات مرقمة في ثلاث فئات: APT وFIN وUNC، مما ينتج عنه أسماء APT مثل FIN7 . ومن الشركات الأخرى التي تستخدم نظامًا مشابهًا: بروفبوينت (TA) وآي بي إم (ITG وHive). ^{[ 100 ]}

اعتادت مايكروسوفت على تسمية العناصر من الجدول الدوري ، وغالبًا ما كانت تُكتب بأحرف كبيرة (مثل بوتاسيوم )؛ وفي أبريل 2023، غيّرت مايكروسوفت نظام التسمية الخاص بها لاستخدام أسماء مستوحاة من الطقس (مثل فولت تايفون). ^{[ 103 ]}

قوائم مجموعات APT

• مانديانت: مجموعات التهديد المستمر المتقدمة
• رصد مجتمع أمن MITRE ATT&CK صفحات المجموعات الدائمة المتقدمة