سلسلة هجمات إلكترونية

سلسلة القتل السيبراني هي العملية التي ينفذ من خلالها المهاجمون الهجمات السيبرانية. ^{[ 2 ]} قامت شركة لوكهيد مارتن بتكييف مفهوم سلسلة القتل من المجال العسكري إلى أمن المعلومات ، مستخدمةً إياه كمنهجية لنمذجة الاختراقات على شبكة الحاسوب . ^{[ 3 ]} وقد لاقى نموذج سلسلة القتل السيبراني بعض القبول في أوساط أمن المعلومات. ^{[ 4 ]} ومع ذلك، فإن القبول ليس شاملاً، حيث يشير النقاد إلى ما يعتقدون أنها عيوب جوهرية في النموذج. ^{[ 5 ]}

في عام 2011، وصف علماء الحاسوب في شركة لوكهيد مارتن إطار عمل أو نموذجًا جديدًا يُعرف باسم "سلسلة قتل الاختراقات" لحماية شبكات الحاسوب. ^{[ 6 ]} وذكروا أن الهجمات قد تحدث على مراحل، ويمكن إحباطها من خلال ضوابط تُطبّق في كل مرحلة. ومنذ ذلك الحين، اعتمدت منظمات أمن البيانات "سلسلة القتل السيبراني" لتحديد مراحل الهجمات السيبرانية . ^{[ 7 ]}

تكشف سلسلة هجمات الإنترنت عن مراحل الهجوم الإلكتروني : من الاستطلاع الأولي إلى هدف تسريب البيانات . ويمكن استخدام هذه السلسلة كأداة إدارية للمساعدة في التحسين المستمر للدفاع الشبكي. ووفقًا لشركة لوكهيد مارتن، يجب أن تمر التهديدات بعدة مراحل في هذا النموذج، بما في ذلك:

1. الاستطلاع : يقوم المتسلل باختيار الهدف، والبحث عنه، ومحاولة تحديد نقاط الضعف في الشبكة المستهدفة.
2. التسليح: يقوم المتسلل بإنشاء سلاح برمجيات خبيثة للوصول عن بعد، مثل فيروس أو دودة، مصممة خصيصًا لواحدة أو أكثر من نقاط الضعف.
3. التسليم: يقوم المتسلل بنقل السلاح إلى الهدف (على سبيل المثال، عبر مرفقات البريد الإلكتروني أو مواقع الويب أو محركات أقراص USB).
4. الاستغلال: يتم تشغيل رمز البرنامج الخاص بالسلاح الخبيث، والذي يتخذ إجراءً على الشبكة المستهدفة لاستغلال الثغرة الأمنية.
5. التثبيت: يقوم برنامج خبيث بتثبيت نقطة وصول (مثل "باب خلفي") يمكن للمتسلل استخدامها.
6. التحكم والسيطرة: تُمكّن البرامج الضارة المتسلل من الوصول المستمر إلى الشبكة المستهدفة عبر "التحكم الكامل".
7. الإجراءات على الهدف: يتخذ المتسلل إجراءات لتحقيق أهدافه، مثل تسريب البيانات أو تدمير البيانات أو التشفير للحصول على فدية .

يمكن اتخاذ إجراءات دفاعية ضد هذه المراحل: ^{[ 8 ]}

1. الكشف: تحديد ما إذا كان هناك متسلل موجود.
2. الرفض: منع الكشف عن المعلومات والوصول غير المصرح به.
3. تعطيل: إيقاف أو تغيير حركة المرور الصادرة (إلى المهاجم).
4. التدهور: قيادة وسيطرة الهجوم المضاد.
5. الخداع: التدخل في القيادة والسيطرة.
6. يتضمن: تغييرات في تجزئة الشبكة

شمل تحقيق مجلس الشيوخ الأمريكي في اختراق بيانات شركة تارجت عام 2013 تحليلاً استناداً إلى إطار عمل سلسلة هجمات شركة لوكهيد مارتن. وقد حدد التحقيق عدة مراحل لم تمنع فيها الضوابط أو تكشف تطور الهجوم. ^{[ 1 ]}

قامت منظمات مختلفة بإنشاء سلاسل هجوم خاصة بها لمحاكاة التهديدات المختلفة. تقترح شركة فاير آي نموذجًا خطيًا مشابهًا لنموذج شركة لوكهيد مارتن. في سلسلة هجوم فاير آي، يتم التركيز على استمرارية التهديدات، حيث يؤكد هذا النموذج أن التهديد لا ينتهي بعد دورة واحدة. ^{[ 9 ]}

1. الاستطلاع: هذه هي المرحلة الأولية التي يجمع فيها المهاجم معلومات حول النظام أو الشبكة المستهدفة. قد يشمل ذلك البحث عن الثغرات الأمنية، ودراسة نقاط الدخول المحتملة، وتحديد الأهداف المحتملة داخل المؤسسة.
2. الاختراق الأولي: بمجرد أن يجمع المهاجم معلومات كافية، يحاول اختراق النظام أو الشبكة المستهدفة. قد يشمل ذلك استغلال الثغرات الأمنية في البرامج أو الأنظمة، أو استخدام أساليب الهندسة الاجتماعية لخداع المستخدمين، أو استخدام طرق أخرى للحصول على الوصول الأولي.
3. إنشاء ثغرة أمنية: بعد الحصول على الوصول الأولي، غالبًا ما يُنشئ المهاجم ثغرة أمنية أو نقطة دخول دائمة إلى النظام المخترق. وهذا يضمن أنه حتى في حال اكتشاف الاختراق الأولي ومعالجته، سيظل بإمكان المهاجم استعادة الوصول.
4. الحصول على بيانات اعتماد المستخدم: بعد اختراق النظام، قد يحاول المهاجم سرقة بيانات اعتماد المستخدم. وقد يشمل ذلك تقنيات مثل تسجيل ضغطات المفاتيح، والتصيد الاحتيالي ، أو استغلال آليات المصادقة الضعيفة.
5. تثبيت أدوات متنوعة: قد يقوم المهاجمون بتثبيت أدوات أو برامج ضارة متنوعة على النظام المخترق لتسهيل المزيد من عمليات الوصول، وجمع البيانات، أو التحكم. قد تشمل هذه الأدوات برامج التجسس التي تسمح بالوصول عن بُعد (RATs)، وبرامج تسجيل ضغطات المفاتيح، وأنواع أخرى من البرامج الخبيثة.
6. تصعيد الامتيازات / التنقل الجانبي / تسريب البيانات: بمجرد دخول المهاجم إلى النظام، يسعى إلى رفع امتيازاته للسيطرة بشكل أكبر على الشبكة. وقد يتنقل جانبياً داخل الشبكة، محاولاً الوصول إلى أنظمة أكثر أهمية أو بيانات حساسة. يشمل تسريب البيانات سرقة المعلومات القيّمة ونقلها خارج الشبكة.
7. الحفاظ على التواجد: تركز هذه المرحلة على هدف المهاجم المتمثل في الحفاظ على وجود طويل الأمد داخل البيئة المخترقة. ويحقق ذلك من خلال التهرب المستمر من الكشف، وتحديث أدواته، والتكيف مع أي إجراءات أمنية يتم تطبيقها.

من بين الانتقادات الموجهة لنموذج سلسلة هجمات الإنترنت الذي وضعته شركة لوكهيد مارتن كأداة لتقييم التهديدات والوقاية منها، أن المراحل الأولى تحدث خارج الشبكة المحمية، مما يصعب معه تحديد الهجمات في هذه المراحل أو التصدي لها. ^{[ 10 ]} وبالمثل، يُقال إن هذه المنهجية تعزز استراتيجيات الدفاع التقليدية القائمة على حماية المحيط الخارجي للشبكة ومنع البرامج الضارة. ^{[ 11 ]} وقد لاحظ آخرون أن سلسلة هجمات الإنترنت التقليدية غير مناسبة لنمذجة التهديد الداخلي . ^{[ 12 ]} وهذا يُعدّ إشكالية خاصة بالنظر إلى احتمالية نجاح الهجمات التي تخترق محيط الشبكة الداخلية، ولهذا السبب "تحتاج المؤسسات إلى وضع استراتيجية للتعامل مع المهاجمين داخل جدار الحماية. عليها أن تعتبر كل مهاجم عميلًا داخليًا محتملًا". ^{[ 13 ]}

طُوِّرت سلسلة القتل الموحدة عام 2017 على يد بول بولز بالتعاون مع فوكس-آي تي ​​وجامعة ليدن، وذلك لتجاوز الانتقادات الشائعة الموجهة لسلسلة القتل السيبرانية التقليدية، من خلال دمج وتوسيع سلسلة القتل الخاصة بشركة لوكهيد مارتن وإطار عمل MITRE ATT&CK (وكلاهما مبني على نموذج "الدخول، البقاء، والتحرك" الذي وضعه جيمس تابرفيل وجو فيست). تُعدّ النسخة الموحدة من سلسلة القتل ترتيبًا منظمًا لـ 18 مرحلة هجوم فريدة قد تحدث في هجوم سيبراني شامل ، يشمل الأنشطة التي تحدث خارج الشبكة المحمية وداخلها. وبذلك، تتجاوز سلسلة القتل الموحدة قيود النطاق التي تعاني منها سلسلة القتل التقليدية، وتتغلب على الطبيعة غير المرتبطة بالوقت للتكتيكات في إطار عمل MITRE ATT&CK. ويمكن استخدام النموذج الموحد لتحليل ومقارنة الهجمات السيبرانية الشاملة التي تشنها التهديدات المستمرة المتقدمة ، والدفاع ضدها . ^{[ 14 ]} تم نشر ورقة بيضاء لاحقة حول سلسلة القتل الموحدة في عام 2021. ^{[ 15 ]}

• سكوبيك، فلوريان؛ باهي، تيميا (2020). "تحت راية زائفة: استخدام الأدوات التقنية لتحديد مصدر الهجمات الإلكترونية" . الأمن السيبراني . 3 (1): 8. doi : 10.1186/s42400-020-00048-4 . ISSN 2523-3246 .