چگونه چارچوب زنجیره کشتار سایبری، دفاع شبکه را ساختار می‌بخشد

در ژوئیه ۲۰۲۰، شرکت لاکهید مارتین (Lockheed Martin) مقاله سفید و بنیادین ۱۴ صفحه‌ای خود را با موضوع «دفاع شبکه رایانه‌ای مبتنی بر اطلاعات» بازنشر کرد و چارچوبی را تثبیت نمود که یک توالی هدف‌گیری نظامی از دوران جنگ سرد را برای سرورهای سازمانی بومی‌سازی می‌کرد. این سند مفهومی را که از سال ۲۰۱۱ در محافل دفاعی در گردش بود، رسمیت بخشید: نفوذ سایبری یک رویداد منفرد نیست، بلکه یک توالی دقیق از وابستگی‌هاست.[1]

این چارچوب استدلال می‌کند که یک مهاجم برای رسیدن به هدف خود باید هر مرحله را با موفقیت و به ترتیب اجرا کند. اگر مدافع حتی یک حلقه از این زنجیره را بشکند، کل عملیات فرو می‌پاشد. مقاله اصلی لاکهید مارتین این موضوع را به‌عنوان یک استراتژی مدیریت ریسک تعریف کرد که «به مؤلفه تهدید در ریسک می‌پردازد و کاهش اثرات را در برابر توانایی‌ها، نیت و هدف‌گیری دشمن در بر می‌گیرد.»[1]

در حالی که مدل اصلی لاکهید هفت گام مجزا را ترسیم می‌کرد، دکترین امنیت شبکه مدرن - که با مهاجرت به زیرساخت‌های ابری هدایت می‌شود - غالباً واقعیت عملیاتی را در پنج مرحله اصلی خلاصه می‌کند: شناسایی، دسترسی اولیه، حرکت جانبی، فرماندهی و کنترل، و استخراج داده‌ها. این رویکرد ساختاری تعیین می‌کند که صنعت جهانی امنیت سایبری چگونه سرمایه و منابع خود را تخصیص می‌دهد.[2][5]

مرحله اول، یعنی شناسایی، کاملاً در خارج از شبکه هدف رخ می‌دهد. عوامل تهدید، اعتبارنامه‌های کارکنان را از رخنه‌های اطلاعاتی عمومی جمع‌آوری می‌کنند، دارایی‌های متصل به اینترنت را برای یافتن آسیب‌پذیری‌های اصلاح‌نشده اسکن می‌کنند و ردپای دیجیتال سازمان را نقشه‌برداری می‌کنند. از آنجا که این فعالیت بر زیرساخت‌های عمومی متکی است، گزینه‌های دفاعی به مشاهده و مدیریت سطح حمله خارجی محدود می‌شود.[3][6]

سازمان‌ها پلتفرم‌های اطلاعات تهدید را برای نظارت بر انجمن‌های دارک‌وب به‌منظور یافتن نام دامنه‌های خود مستقر می‌کنند و از اسکنرهای خودکار برای شناسایی سرورهای در معرض خطر پیش از دشمنان بهره می‌برند. هدف این است که سطح حمله در دسترس کاهش یابد و مهاجم مجبور شود منابع بیشتری را برای یافتن یک نقطه ورود مناسب صرف کند.[4][6]

مرحله دوم، شکاف میان آماده‌سازی و اجرا را پر می‌کند. دسترسی اولیه شامل جفت کردن یک تروجان دسترسی از راه دور یا پی‌لود باج‌افزار با یک بردار نفوذ است، مانند ایمیل فیشینگ هدفمند یا به‌روزرسانی نرم‌افزار شخص ثالث که آلوده شده است. در اینجا، وضعیت دفاعی به سمت انکار فعال تغییر می‌کند.[1][3]

درگاه‌های ایمیل، پیوست‌های اجرایی را حذف می‌کنند، در حالی که سیاه‌چاله‌های سیستم نام دامنه (DNS) ترافیک نشأت‌گرفته از آدرس‌های IP مخرب شناخته‌شده را مسدود می‌کنند. اگر تحویل موفقیت‌آمیز باشد، کد مخرب روی ماشین هدف اجرا شده و جای پایی برای خود ایجاد می‌کند. این همان لحظه‌ای است که محیط شبکه نقض می‌شود؛ واقعیتی که چارچوب‌های امنیتی مدرن فرض می‌کنند به‌طور اجتناب‌ناپذیری رخ خواهد داد.[2][4]

اقدامات متقابل در این مرحله به‌شدت بر عوامل تشخیص و پاسخ نقطه پایانی (EDR) متکی است. این سیستم‌ها رفتارهای ناهنجار را زیر نظر می‌گیرند، مانند تلاش یک پردازشگر متن استاندارد برای اجرای یک اسکریپت پاورشل (PowerShell)، و به‌طور خودکار دستگاه آلوده را از شبکه گسترده‌تر قرنطینه می‌کنند.[6]

پس از نصب، بدافزار مرحله فرماندهی و کنترل (C2) را آغاز می‌کند. دارایی در معرض خطر با یک سرور خارجی که توسط مهاجم اداره می‌شود ارتباط برقرار می‌کند تا دستورالعمل‌های بعدی را دریافت کرده و ابزارهای اضافی را دانلود کند. اختلال در این کانال C2 تمرکز اصلی مدافعان شبکه است، زیرا بدافزار بدون ارتباط با اپراتور خود غیرفعال باقی می‌ماند.[5]

تیم‌های امنیتی از تحلیل ترافیک شبکه برای تشخیص رفتار سیگنال‌دهی (Beaconing) استفاده می‌کنند؛ پینگ‌های خروجی منظم و خودکاری که نشان می‌دهند یک میزبان آلوده در جستجوی دستورالعمل است. برای فرار از شناسایی، تهدیدات پیشرفته و مستمر (APT) اغلب ترافیک C2 خود را از طریق خدمات ابری قانونی هدایت کرده یا ارتباطات را رمزنگاری می‌کنند.[3][4]

مدافعان با اجرای بازرسی SSL با این رمزنگاری مقابله می‌کنند؛ فرآیندی که ترافیک خروجی را در فایروال رمزگشایی و تحلیل کرده و پیش از انتقال مجدداً رمزنگاری می‌کند. اگر اتصال C2 قطع شود، زنجیره کشتار شکسته شده و مهاجم باید جای پای جدیدی ایجاد کند.[3][6]

مراحل نهایی شامل حرکت جانبی و هدف نهایی مهاجم است. در کمپین‌های اخاذی مالی، این به معنای حرکت از ایستگاه کاری آلوده اولیه برای یافتن پایگاه‌های داده حساس، و به دنبال آن استخراج آن داده‌ها و استقرار باج‌افزار برای رمزنگاری نسخه‌های محلی است.[2][5]

دفاع در این مرحله پایانی بر بخش‌بندی داخلی و اصل حداقل دسترسی متکی است. اگر یک ایستگاه کاری بازاریابیِ آلوده نتواند ترافیک را به پایگاه داده منابع انسانی هدایت کند، حمله مهار می‌شود. معماری امنیتی مایکروسافت تأکید می‌کند که تغییر به سمت دورکاری، محیط سنتی شبکه را از بین برده و این مراحل بعدی را به میدان نبرد حیاتی تبدیل کرده است.[2]

این تکامل ایجاب می‌کند که مدافعان با ذهنیت «فرض بر نفوذ» عمل کنند. مراکز عملیات امنیت به‌جای تمرکز کامل منابع بر مرحله تحویل، اکنون اثربخشی خود را با «زمان ماندگاری» (Dwell Time) می‌سنجند؛ یعنی مدتی که یک مهاجم در طول مرحله حرکت جانبی بدون شناسایی در داخل شبکه باقی می‌ماند.[4][6]

از آنجا که ابزارهای حمله خودکار مانع ورود عوامل تهدید را کاهش می‌دهند، حجم نفوذها همچنان در حال افزایش است. پاسخ دفاعی بر ادغام هوش مصنوعی در خط لوله تشخیص متکی است و زمان بین یک سیگنال C2 و قرنطینه خودکار را از چند ساعت به چند میلی‌ثانیه کاهش می‌دهد.[5][7]