تهديد مستمر متقدم

التهديد المستمر المتقدم  (APT) يُشير هذا المصطلح إلى نوع من الجهات الفاعلة الخبيثة التي تشن هجمات إلكترونية متطورة ومستمرة ضد شبكات الحاسوب والإنترنت، بهدف تحقيق وصول غير مصرح به والحفاظ على وجود خفي لفترة طويلة. وقد توسع الاستخدام الحديث لمصطلح "التهديد المستمر المتقدم" (APT) ليشمل أيضًا مجموعات مستقلة عن الدول، تقوم بتنفيذ حملات اختراق موجهة وواسعة النطاق تستهدف كيانات محددة ومعينة.

غالبًا ما تكون الدوافع وراء أنشطة هذه الجهات ذات طابع سياسي أو اقتصادي.

سجّل كل قطاع من قطاعات الأعمال الرئيسية حالات من الهجمات الإلكترونية التي نفذتها جهات متقدمة ذات أهداف محددة، سواء بغرض السرقة أو التجسس أو إحداث التعطيل. تشمل هذه القطاعات المستهدفة الحكومة والدفاع والخدمات المالية والخدمات القانونية والصناعية والاتصالات والسلع الاستهلاكية وغير ذلك الكثير. تستخدم بعض المجموعات ناقلات التجسس التقليدية، بما في ذلك استخدام أساليب الهندسة الاجتماعية، والاستخبارات البشرية، وعمليات التسلل.، للوصول إلى موقع مادي لتمكين هجمات الشبكة. الغرض من هذه الهجمات هو تثبيت برامج ضارة مخصصة.

أصبحت هجمات (التهديد المستمر المتقدم) APT التي تستهدف لأجهزة المحمولة أيضًا مصدر قلق مشروع في الآونة الأخيرة. حيث يتمكن المهاجمون من اختراق البنية التحتية السحابية والمحمولة بهدف التنصت وسرقة البيانات والتلاعب بها.

يختلف متوسط "زمن البقاء" — وهو الفترة التي يظل فيها هجوم APT دون اكتشاف — تفاوتًا كبيرًا بين المناطق الجغرافية.أفادت شركة FireEye بأن متوسط مدة البقاء في عام 2018 بلغ 71 يومًا في الأمريكتين، بينما وصل إلى 177 يومًا في منطقة أوروبا والشرق الأوسط وأفريقيا. وفي منطقة آسيا والمحيط الهادئ بلغ 204 يومًا. يتيح هذا الوقت الطويل للمهاجمين قدرًا كبيرًا من الوقت لاجتياز دورة الهجوم والانتشار وتحقيق أهدافهم.

 تعريف 
قد تختلف التعريفات الدقيقة لما يُعرف بالهجوم المستمر المتقدم (APT)، إلا أنه يمكن تلخيصها استنادًا إلى المتطلبات المُبيّنة أدناه:

 متقدم: يمتلك الفاعلون القائمون وراء التهديد مجموعة شاملة من تقنيات جمع المعلومات الاستخباراتية التي يمكنهم استخدامها."وقد تتضمن هذه التقنيات والأساليب أدوات تجارية ومفتوحة المصدر لاختراق أجهزة الحاسوب، وقد تمتد أيضًا لتشمل موارد وأدوات تابعة لأجهزة الاستخبارات الحكومية. تُعتبر المكونات الفردية للهجوم، على الرغم من أنها قد لا تصنف بالضرورة ضمن فئة "المتقدمة" (مثل وحدات برمجية خبيثة مُنشأة من مجموعات أدوات بناء برمجيات خبيثة ذاتية الصنع ومتوفرة على نطاق واسع، أو استخدام مواد استغلال يسهل الحصول عليها)،إلا أن مشغلي هذه الهجمات يتمتعون في الغالب بإمكانية الوصول إلى أدوات أكثر تطورًا، وقدرة على تطوير أدوات مخصصة لتلبية احتياجاتهم. كما أنهم غالبًا ما يدمجون بين عدة أساليب وأدوات وتقنيات استهداف لتحقيق هدفهم المتمثل في الوصول إلى النظام المستهدف واختراقه والحفاظ على القدرة على الوصول إليه بشكل مستمر. علاوة على ذلك، قد يُظهر هؤلاء المشغلون اهتمامًا مُتعمدًا بالأمن التشغيلي، وهو ما يميزهم عن التهديدات التي توصف بأنها "أقل تطورًا".
 يتميز هؤلاء المشغلون بوجود أهداف محددة يسعون لتحقيقها، بدلًا من اتباع نهج انتهازي للحصول على معلومات من أجل تحقيق مكاسب مالية أو أهداف أخرى غير محددة بدقة. يشير هذا التمييز إلى أن المهاجمين يتلقون توجيهات من جهات خارجية توجه أنشطتهم وأهدافهم. يتحقق الاستهداف من خلال عمليات مراقبة وتفاعل مستمرة تهدف إلى تحقيق الأهداف المحددة سلفًا. ولا يعني هذا بالضرورة شن موجة متواصلة من الهجمات أو تحديثات مستمرة للبرامج الضارة. في الواقع، غالبًا ما يكون اتباع نهج "بطيء وهادئ" أكثر فعالية في تحقيق الأهداف. وفي حال فقد المشغل القدرة على الوصول إلى هدفه، فإنه يسعى عادةً لاستعادة هذا الوصول، وينجح في أغلب الأحيان في ذلك. يتمثل أحد الأهداف الرئيسية للمشغل في الحفاظ على وصول طويل الأمد إلى الهدف المستَهدَف، وهو ما يختلف عن التهديدات الأخرى التي تحتاج فقط إلى الوصول لتنفيذ مهمة محددة ثم الانسحاب.
 تُعد هجمات التهديدات المتقدمة المستمرة (APT) مصدر تهديد كبير نظرًا لما تتمتع به من قدرة ونية على إلحاق الضرر. وتنفذ هذه الهجمات من خلال أفعال بشرية مُنسقة، على عكس البرمجيات الآلية العشوائية. يتميز مشغلو هذه الهجمات بوجود هدف محدد يسعون لتحقيقه، وهم يتمتعون بمهارة عالية، ولديهم دوافع قوية، فضلًا عن كونهم مُنظمين ويحظون بتمويل جيد. ولا يقتصر منفذو هذه الهجمات على الجماعات التي تتلقى دعمًا من الدول.

 التاريخ والأهداف 
في عام 2005، أصدرت منظمات CERT في كل من المملكة المتحدة والولايات المتحدة تحذيرات بشأن رسائل البريد الإلكتروني المستهدفة والمُصممة هندسيًا اجتماعيًا، والتي كانت تستخدم لإسقاط برمجيات حصان طروادة بهدف استخلاص معلومات حساسة. استُخدمت هذه الطريقة في أوائل تسعينيات القرن العشرين، ولا تُعدّ بذاتها تهديدًا مستمرًا متقدمًا. يُشار إلى أن مصطلح "التهديد المستمر المتقدم" (Advanced Persistent Threat) ظهر في وثائق القوات الجوية للولايات المتحدة في عام 2006. مع الاستشهاد بالعقيد جريج راتراي باعتباره الشخص الذي صاغ المصطلح.

تُعد دودة الحاسوب "ستوكسنت" (Stuxnet)، التي استهدفت الأنظمة الحاسوبية الخاصة للبرنامج النووي الإيراني، مثالًا بارزًا على هجمات التهديدات المتقدمة المستمرة. وفي هذه الحالة، قد تعتبر الحكومة الإيرانية أن مبتكري ستوكسنت يشكلون تهديداً مستمراً ومتقدماً.[ بحاجة لمصدر ] 

في أوساط مجتمع أمن الحاسوب، وبشكل متزايد في وسائل الإعلام، يُستخدم هذا المصطلح بشكل شبه دائم للإشارة إلى نمط طويل الأمد من عمليات استغلال متطورة لشبكات الحاسوب تستهدف الحكومات والشركات والناشطين السياسيين. وبناءً على ذلك، يُستخدم أيضًا لوصف المجموعات التي تقف وراء هذه الهجمات بصفات "المتقدمة" (Advanced) و"المستمرة" (Persistent) و"التهديد" (Threat).

مع تزايد وتيرة حوادثها، قد يصبح مصطلح "التهديدات المستمرة المتقدمة" (APT) مرادفًا لعمليات القرصنة الحاسوبية بشكل عام. وقد أشارت مجلة "بي سي وورلد" (PC World) إلى زيادة قدرها 81% في الهجمات الحاسوبية الموجهة والمتقدمة بشكل خاص بين عامي 2010 و2011.

لقد استخدم الممثلون في العديد من البلدان الفضاء الإلكتروني كوسيلة لجمع المعلومات الاستخبارية عن الأفراد والمجموعات من الأفراد محل الاهتمام. تتولى القيادة السيبرانية للولايات المتحدة مهمة تنسيق العمليات السيبرانية الهجومية والدفاعية للجيش الأمريكي.

استخدمت جهات فاعلة تابعة لعدة دول الفضاء الإلكتروني كوسيلة لجمع معلومات استخبارية عن الأفراد والمجموعات التي تثير اهتمامها. وتتولى القيادة السيبرانية للولايات المتحدة مسؤولية تنسيق العمليات السيبرانية الهجومية والدفاعية للجيش الأمريكي.

زعمت مصادر عديدة انتماء بعض مجموعات التهديدات المستمرة المتقدمة (APT) إلى حكومات دول دول ذات سيادة أو عملها لصالح هذه الحكومات. تُواجه الشركات التي تحتفظ بكميات كبيرة من المعلومات الشخصية القابلة للتعريف (PII) مخاطر عالية من استهدافها من قبل التهديدات المستمرة المتقدمة (APT)، وتشمل هذه المخاطر ما يلي:

 الزراعة 
 طاقة
 المؤسسات المالية
 الرعاية الصحية
 التعليم العالي 
 تصنيع
 تكنولوجيا
 الاتصالات السلكية واللاسلكية
 مواصلات

قدمت دراسة أجرتها شركة Bell Canada تحليلًا معمقًا لبنية التهديدات المستمرة المتقدمة (APT)، وكشفت عن انتشارها الواسع في القطاع الحكومي الكندي والبنية التحتية الحيوية. وقد نُسبت مسؤولية هذه الهجمات إلى جهات فاعلة صينية وروسية.

 دورة الحياة 

تُشكل الجهات الفاعلة التي تقف وراء التهديدات المستمرة المتقدمة (APT) خطرًا متزايدًا ومتطورًا على الأصول المالية للمنظمات، وحقوق الملكية الفكرية، والسمعة المؤسسية ، وذلك من خلال اتباع عملية مستمرة أو ما يُعرف سلسلة قتل السيبراني:

 استهداف منظمات محددة: يركز المهاجمون على اختيار منظمات بعينها لتحقيق هدف محدد.
 محاولة الحصول على موطئ قدم في البيئة: تتضمن التكتيكات الشائعة استخدام رسائل البريد الإلكتروني الاحتيالية (Phishing) لاختراق الأنظمة الأولية.
 استخدام الأنظمة المخترقة كنقطة انطلاق: يتم استغلال الأنظمة التي تم اختراقها للوصول إلى أجزاء أخرى من الشبكة المستهدفة.
 نشر أدوات إضافية: يتم نشر برمجيات وأدوات أخرى تساعد في تحقيق الهدف النهائي للهجوم.
 تغطية المسارات: يسعى المهاجمون إلى إخفاء آثارهم للحفاظ على القدرة على الوصول إلى الأنظمة المخترقة في المستقبل.

في عام 2013، نشرت شركة Mandiant نتائج أبحاثها حول الهجمات التي يُزعم أنها صينية واستخدمت أسلوب التهديدات المستمرة المتقدمة (APT) بين عامي 2004 و2013 [1]، وقد اتبعت هذه الهجمات دورة حياة مماثلة تتضمن المراحل التالية:

 التسوية الأوليةيتم تنفيذها عن طريق استخدام الهندسة الاجتماعية والتصيد الاحتيالي عبر البريد الإلكتروني، باستخدام فيروسات اليوم صفر . كانت طريقة العدوى الشائعة الأخرى هي زرع البرامج الضارة على موقع ويب من المحتمل أن يزوره موظفو الضحية.
 تأسيس موطئ قدمزرع برامج إدارة عن بعد في شبكة الضحية، وإنشاء أبواب خلفية وأنفاق تسمح بالوصول الخفي إلى البنية التحتية الخاصة بها.
 تصعيد الامتيازاتاستخدام الثغرات الأمنية وكسر كلمة المرور للحصول على امتيازات المسؤول على جهاز الكمبيوتر الضحية وربما توسيعها إلى حسابات مسؤول مجال Windows .
 الاستطلاع الداخليجمع المعلومات حول البنية التحتية المحيطة، وعلاقات الثقة، وبنية مجال Windows .
 التحرك جانبيًاتوسيع نطاق التحكم إلى محطات العمل والخوادم وعناصر البنية التحتية الأخرى وإجراء حصاد البيانات عليها.
 الحفاظ على الحضورضمان استمرار التحكم في قنوات الوصول وبيانات الاعتماد المكتسبة في الخطوات السابقة.
 إكمال المهمةاستخراج البيانات المسروقة من شبكة الضحية.

في الحوادث التي قامت شركة مانديانت بتحليلها، بلغ متوسط فترة سيطرة المهاجمين على شبكة الضحية حوالي عام واحد، ووصلت أطول مدة إلى ما يقارب خمس سنوات.ويُزعم أن عمليات الاختراق هذه نُفذت بواسطة وحدة جيش التحرير الشعبي رقم 61398 التابعة لجيش التحرير الشعبي الصيني، والتي تتخذ من مدينة شنغهاي مقرًا لها. وقد نفى مسؤولون صينيون أي ضلوع لهم في هذه الهجمات.[2]

كما كشفت تقارير سابقة صادرة عن شركة سيكديف (SecDev) عن تورط جهات صينية في هجمات مماثلة.

 استراتيجيات التخفيف 
نظرًا لوجود عشرات الملايين من أشكال البرامج الضارة المختلفة، فإن حماية المؤسسات من التهديدات المستمرة المتقدمة (APT) تُعد مهمة بالغة الصعوبة. وعلى الرغم من الطبيعة الخفية لأنشطة التهديدات المستمرة المتقدمة وصعوبة اكتشافها، فإنه يمكن رصد حركة مرور الشبكة المرتبطة بها على مستوى طبقة الشبكة باستخدام أساليب تحليل متطورة. ومع ذلك، فإن التحليل العميق لسجلات الأحداث وربطها من مصادر متنوعة قد يكون محدود الفائدة في الكشف عن أنشطة التهديدات المستمرة المتقدمة، وذلك لصعوبة التمييز بين الأنشطة الخبيثة وحركة المرور المشروعة. وقد أظهرت التقنيات والأساليب الأمنية التقليدية عدم فعاليتها في اكتشاف هجمات التهديدات المستمرة المتقدمة أو الحد منها. أدى تبني استراتيجيات الدفاع السيبراني النشط، التي تعتمد على تطبيق معلومات استخبارات التهديدات السيبرانية على أنشطة البحث عن الخصوم وملاحقتهم (البحث والإصلاح والإنهاء)، إلى زيادة ملحوظة في فعالية اكتشاف التهديدات المستمرة المتقدمة (APT) والتعامل معها. وتُعد نقاط الضعف السيبرانية الناجمة عن الأخطاء البشرية (Human-Introduced Cyber Vulnerabilities - HICV) حلقة ضعف سيبرانية لا تحظى بالفهم الكافي ولا يتم التخفيف من آثارها بشكل فعال، مما يجعلها تشكل وسيلة هجوم مهمة.

 مجموعات APT 

 الصين 

 وحدة جيش التحرير الشعبي الصيني ٦١٣٩٨ (المعروفة أيضًا باسم APT1)
 وحدة جيش التحرير الشعبي الصيني ٦١٤٨٦ (المعروفة أيضًا باسم APT2)
 باك آي (المعروفة أيضًا باسم APT3)[1]
 ريد أبولو (المعروفة أيضًا باسم APT10)
 نمبريد باندا (المعروفة أيضًا باسم APT12)
 ديبوت دوغ (المعروفة أيضًا باسم APT17)[2]
 ديناميت باندا أو سكانديوم (المعروفة أيضًا باسم APT18، وهي وحدة تابعة لبحرية جيش التحرير الشعبي الصيني)[3]
 فريق كودوسو (المعروف أيضًا باسم APT19)
 ووكاو (المعروفة أيضًا باسم APT20)[4][5]
 APT22 (المعروفة أيضًا باسم Suckfly)[6]
 APT26 (المعروفة أيضًا باسم Turbine Panda)[7]
 APT 27[8]
 وحدة جيش التحرير الشعبي الصيني ٧٨٠٢٠ (المعروفة أيضًا باسم APT30 و نايكون)
 الزركونيوم[9] (المعروف أيضًا باسم APT31 وViolet Typhoon)
 APT40
 التنين المزدوج (يُعرف أيضًا باسم APT41، أو مجموعة وينتي، أو الباريوم، أو أكسيوم)
 سباموفلاج (يُعرف أيضًا باسم جسر التنين أو العاصفة 1376)
 هافنيوم[
 لايتباسين (يُعرف أيضًا باسم UNC1945)
 تروبيك تروبر
 فولت تايفون
 فلاكس تايفون
 تشاركل تايفون (يُعرف أيضًا باسم الكروم)
 سالمون تايفون (يُعرف أيضًا باسم الصوديوم)
 سالت تايفون (يُعرف أيضًا باسم غوست إمبيرور أو فيموس سبارو)
 ليمينال باندا
 ميرور فيس

 إيران 

 القطة الساحرة (المعروفة أيضًا باسم APT35)
 فريق Elfin (المعروف أيضًا باسم APT33)
 Helix Kitten (المعروف أيضًا باسم APT34)
 قطة رائدة 
 قطة ريمكس (المعروفة أيضًا باسم APT39 أو ITG07 أو Chafer) 

 كوريا الشمالية 

 كيمسوكي
 مجموعة لازاروس (المعروفة أيضًا باسم APT38)
 ريكوشيه تشوليما (المعروف أيضًا باسم APT37)

 روسيا 

 الدب الهائج
 الدب المريح (المعروف أيضًا باسم APT29)
 الدب الفاخر (المعروف أيضًا باسم APT28)
 فين7
 Gamaredon  (يُعرف أيضًا باسم الدب البدائي ) 
 دودة الرمل (المعروفة أيضًا باسم APT44)
 الدب السام 

 ديك رومى 

 StrongPity (المعروف أيضًا باسم APT-C-41 أو PROMETHIUM ) 

 الولايات المتحدة 

 مجموعة المعادلات 

 أوزبكستان 

 SandCat، المرتبط بجهاز أمن الدولة وفقًا لشركة Kaspersky 

 فيتنام 

 OceanLotus (المعروف أيضًا باسم APT32 ) 

 الهند 

 أبين 
 يُعرف فريق TAI أيضًا باسم فريق Anonymous India.[ بحاجة لمصدر ]

 تسمية 
قد تقوم منظمات متعددة بتعيين تسميات مختلفة لنفس الجهة الفاعلة في مجال التهديدات المستمرة المتقدمة. ونظرًا لاحتمالية امتلاك الباحثين المستقلين لتقييماتهم الخاصة والمتباينة لمجموعة APT معينة، فإن شركات مثل كراودسترايك و

كاسبرسكي لاب و Mandiant و مايكروسوفت، وغيرها، لديها أنظمة تسمية داخلية خاصة بها. وقد تشير الأسماء المستخدمة بين المنظمات المختلفة إلى مجموعات متداخلة ولكنها في نهاية المطاف مختلفة، وذلك بناءً على البيانات المتنوعة التي تم جمعها وتحليلها من قبل كل منظمة.

يقوم CrowdStrike بتصنيف الحيوانات حسب الدولة القومية أو فئة أخرى، مثل "القط الصغير" لإيران و"العنكبوت" للمجموعات التي تركز على الجرائم الإلكترونية. وقد أطلقت شركات أخرى أسماء على مجموعات بناءً على هذا النظام  على سبيل المثال، تم تسمية Rampant Kitten بواسطة Check Point وليس CrowdStrike.

تتبع شركة كراودسترايك نظامًا لتصنيف الجهات الفاعلة في مجال التهديدات المستمرة المتقدمة (APT) بناءً على ارتباطها بدول قومية أو فئات أخرى، حيث تطلق عليها أسماء حيوانات، مثل تسمية مجموعات إيران بـ "القط الصغير" (Kitten)، وتسمية المجموعات التي تركز على الجرائم الإلكترونية بـ "العنكبوت" (Spider).وقد تبنت شركات أخرى هذا النظام في تسمية المجموعات، فعلى سبيل المثال، أطلقت شركة Check Point اسم "Rampant Kitten" على مجموعة معينة، وليس شركة CrowdStrike.

تعتمد شركة Dragos في تسمية مجموعات التهديدات المستمرة المتقدمة (APT) على أسماء المعادن.

 تستخدم شركة Mandiant نظامًا لتسمية مجموعات التهديدات المستمرة المتقدمة (APT) يعتمد على اختصارات مرقمة ضمن ثلاث فئات رئيسية: APT، وFIN (للمجموعات ذات الدوافع المالية)، وUNC (للمجموعات غير المصنفة حاليًا). ينتج عن هذا النظام تسميات مثل FIN7. وتتبع شركات أخرى أنظمة مماثلة، مثل Proofpoint التي تستخدم الاختصار TA، وIBM التي تستخدم الاختصارين ITG وHive.

اعتادت شركة مايكروسوفت استخدام أسماء عناصر من الجدول الدوري لتسمية مجموعات التهديدات المستمرة المتقدمة (APT)، وكانت هذه الأسماء تُكتب غالبًا بأحرف كبيرة (مثل البوتاسيوم). إلا أنه في أبريل 2023، قامت مايكروسوفت بتغيير نظام التسمية الخاص بها، وأصبحت تستخدم أسماء مستوحاة من الظواهر الجوية (مثل فولت تايفون).

 انظر أيضا 
 التجسس الإلكتروني.
 عملية أورورا.
 برامج التجسس.
 ستوكسنت.
 الوحدة 8200.

 ملحوظات 

 تنشط مجموعة Gamaredon منذ عام 2013، وعلى عكس معظم التهديدات المستمرة المتقدمة (APT)، فإنها تستهدف على نطاق واسع مستخدمين في جميع أنحاء العالم (بالإضافة إلى تركيزها على ضحايا محددين، خاصة المنظمات الأوكرانية). ويبدو أنها تقدم خدمات لهجمات متقدمة مستمرة أخرى؛ فعلى سبيل المثال، هاجمت مجموعة التهديد InvisiMole أنظمة مختارة كانت Gamaredon قد اخترقتها وتركت بصماتها عليها في وقت سابق.

 مراجع 

 روابط خارجية 

 قوائم مجموعات APT

 Mandiant: مجموعات التهديدات المستمرة المتقدمة
 قام مجتمع أمان MITRE ATT&CK بتتبع صفحات المجموعة الدائمة المتقدمة

تصنيف:حرب سيبرانية
تصنيف:اختراق (حماية الحاسوب)
تصنيف:تجسس