روابط عمومی شرکت ایدکو (توزیع‌کننده‌ی محصولات کسپرسکی در ایران)؛ فناوری به طور فزاینده‌ای هر زاویه‌ی جامعه‌ی ما را تحت کنترل خود درآورده و همین باعث شده مفهوم امنیت سایبری برای تمامی دولت‌ها به یک موضوع مهم حاکمیتی تبدیل شود. قابلیت‌های سایبریِ تهاجمی به دلیل ماهیت نامتقارن‌شان توسط بسیاری از شرکت‌هایی که برای رقابت با نیرومندترین ملل جهان -در سطح نظامی یا اقتصادی- منابع نداشته‌اند مورد استفاده قرار گرفته‌اند. بیشتر درگیری‌ها و تنش‌های بین‌دولتیِ مدرن و امروزی نیز در چنین فضای سایبری رخ می‌دهد و ما قویاً بر این باوریم که این رویه در آینده نیز همچنان ادامه خواهد داشت.
چنین درگیری‌هایی می‌تواند بر اساس اهداف مهاجم (در راستای تضعیف روحیه رقبا) انواع و اقسام مختلفی داشته باشد. در این مقاله قرار است تمرکز خود را منحصراً روی دو درگیری خاص بگذاریم: 1) جنگ سایبری برای اهداف اطلاعاتی و 2) خرابکاری و تداخل در سیستم‌های راهبردی به منظور جلوگیری از حوزه اختیارات دولت برای نظارت یا طرح‌ریزیِ قدرت.
فضای سایبری و اطلاعات
اقداماتی جهت جمع‌آوری اطلاعات از طریق ابزارهای فنی سال‌هاست سندپردازی می‌شود. از نمونه‌های اولیه آن می‌توان به کمپین بدنام Moonlight Maze ساخت سال 1996 اشاره کرد؛ جایی که مهاجمین در آن بسیاری داکیومنت سرقت کردند. بیست و پنج سال بعد، کسپرسکی بیش از صد گروه را ردیابی کرد که عملیات‌های مشابهی را انجام می‌دادند. و حالا چند دلیل برای شیوع این جنس عملیات‌ها:
- ابزارهای امنیتی تهاجمی خیلی راحت مورد دسترسی قرار می‌گیرند. نرم‌افزار نفوذی که درست به پیچیدگی فریم‌ورک‌های ساخت عاملین APT است به تدریج برای عموم نیز به صورت رایگان عرضه می‌شود که عبارت است از اثبات مفهوم‌هایی برای دسترسی به دستگاههای هدف، ایمپلنت‌های منبع باز بدافزار برای ایجاد پایداری و کلی ابزار که اجازه‌ی حرکت جانبی در داخل شبکه‌های نقض‌شده را می‌دهند. تازه‌واردهای بازی سایبری از تجربه بدست‌آمده نیاکان خود و نیز تحقیقات انجام‌شده توسط این صنعت به طور کل بهره می‌برند و همین بدان‌ها کمک می‌کند تا با هزینه‌ای بسیار معقول عملیات‌های خود را راه بیاندازند.
بازاری موفق و در حال رشد حول محور امنیت تهاجمی شکل گرفته؛ جایی که در آن شرکت‌ها ابزارها و یا حتی خدمات مغرضانه و کلاهبردارانه ارائه می‌دهند. آن‌هایی که به تعامل در خصوص فعالیت‌هایشان تمایل دارند قسم می‌خورند که کسب و کارشان فقط با دولت‌های دموکراتیک پیش خواهد رفت؛ اما این را هم باید گفت که عملیات‌های آنها تحت هیچ نظارتی قرار نمی‌گیرد (پس می‌توانند هر دروغی را سر هم کنند).
سختی تخصیص فنی مطمئنِ حملات سایبری تضمین می‌دهد مفسدان با پیامدهای دیپلماتیک بسیار محدودی مواجه می‌شوند. چندتایی کشور هست که در خصوص مشارکت‌های سایبری اصول عمومی یا راهبردهای مخصوص دارند؛ هرچند این داکیومنت‌ها همیشه هم پاسخ‌هایی تمام و کمال در خصوص اینکه چطور کشورها واکنش نشان خواهند داد (خصوصاً در مورد حملات سایبری که مگسک تهدیدشان روی امنیت ملی است)، چه راهکارهایی برای مقابله اتخاد خواهند کرد، چه زمان حملات سایبری خاصیت کاربرد اجباری پیدا می‌کند ارائه نمی‌دهند. اولین نمونه‌های چنین خط‌مشی در آمریکا دیده شد که در آن قید شده بود ماده 51 روی فضای سایبری اعمال نمی‌شود. فرانسه نیز چنین سیاستی را پیشه کرده است. چند کشور دیگر نیز موضع‌های رسمی خود را در خصوص کاربرد قانون بین‌المللی برای فضای سایبری منتشر کردند (استونیا، استرالیا، اتریش، جمهوری چک، فنلاند، هلند و انگلستان).
اقدامات جاسوسی سایبری در هر نوع ملتی علیه هر نوع عاملی دیده شده است (سازمان‌های دولتی و غیردولتی، شرکتهای چندملیتی، کسب و کارهای کوچک و افراد). در این اقدامات جاسوسی سعی می‌شود اطلاعات از هر جنس و ماهیتی جمع‌آوری شود (تکنولوژیکی، نظامی و راهبردی). گرچه عاملین تازه‌وارد خیلی سریع دارند شکاف مهارتی خود را پر می‌کنند اما بیشتر طرف‌های پیشرفته نیز دارند بواسطه برتری تکنولوژیکی به قابلیت‌های جهانی نظارتی دست پیدا می‌کنند. این شامل توسعه استانداردهایی برای زیرساخت‌های ارتباطی فردا و تضمین بکارگیری‌شان در مقیاس جهانی نیز می‌شود.
توصیه‌ها
- هیچ کشوری در جهان این قدرت فنی را ندارد که از حملات سایبری جلوگیری کند؛ فرقی ندارد در طی این حملات سایبری مستقیماً کشور مورد هدف قرار گیرد یا صنعتش.
- ظاهراً در کوتاه‌مدت، تنها توافقات دوجانبه (برای مثال توافق دوجانبه بین چین و آمریکا در سال 2015) تعداد رخدادها را به طور چشمگیری کاهش می‌دهد.
- در طولانی مدت هم باید تعداد زیادی متخصص آموزش ببینند تا بتوانند با در اختیار داشتن منابع کافی برای دفاع از بخش خصوصی به طور کارامدی با تهدیدهای سایبری مقابله کنند.
- ابزارهای بین‌المللی فعلی از جمله توافقات Wassenaar به حد کافی برای جلوگیری از سود بردن شرکت‌ها از قبال فروش ابزارهای حمله و آسیب‌پذیری‌ها فریم‌ورک قانونی و الزامی ارائه نمی‌دهند.
- جامعه‌ی بین‌المللی می‌بایست برای ساخت استانداردهای آتی راهی پیدا کنند. رقابت بین دولت‌ها برای تضمین نظارت روی سطوح بعدی فناوری می‌تواند به بالکانیزاسیون[1] فضای دیجیتال منجر شود.
- شرکتهای خارجی خصوصاً آن‌هایی که در حال توسعه‌ی تجهیزات شبکه‌ای خود هستند و یا داده‌های حساسی را مدیریت می‌کنند در صورتی که بخواهند تحت نظارتی دقیق قرار گیرند فقط می‌توانند برای خود اعتماد بخرند.
- دولت‌ها می‌بایست قانونی را تصویب کنند که بر اساس آن جزئیات تعهدات هر شرکتی که قصد شرکت در پروسه‌ی خرید عمومی کالاهای دیجیتال قید شود: دسترسی کد منبع، اثبات رسمی نرم‌افزار، انجام ممیزی توسط طرف‌سومی مورد اعتماد.
خرابکاری
اینکه درگیری‌های فضای سایبری در جهانی مجازی رخ می‌دهد دلیل نمی‌شود قلمروی فیزیکی تحت‌الشعاع قرار نگیرد. بخش اعظمی از فعالیت بشر این روزها به فناوری اطلاعات وابسته است و همین یعنی فعالیت بشر می‌تواند توسط عامل دوم یعنی فناوری اطلاعات خراب و مختل شود. در قانون فرانسه فهرستی از موارد آورده شده که باید در مقابل سرمایه‌گذاری‌های خارجی محافظت شوند: انرژی، توزیع آب، حمل و نقل، بهداشت و مخابرات. خیلی راحت می‌شود دید هر یک از آنها توسط سیستم‌های کامپیوتری –در بردارنده‌ی تارگت‌هایی با ارزش بالا برای طرف متخاصم- تنظیم می‌شوند.
از آنجایی که عملیات‌های تخریب‌گر، توانایی دولت را در حکمرانی زایل کرده یا نمی‌گذارد دولت اقتصاد مملکت را مدیریت کند برای یک حاکمیت تهدید بسیار بزرگی محسوب می‌شوند. در بیشتر موارد افراطی، حملاتی که در فضای سایبری رخ می‌دهند می‌توانند بستری فراهم کنند برای عملیات‌های سنتی نظامی؛ برای مثال با غیرفعال کردن سیستم‌های امنیتی یا دستگاههای ارتباطی که معمولاً به سازمان‌دهی و واکنش تدافعی کمک می‌کنند.
در سال‌های آتی می‌توانیم موارد زیر را انتظار داشته باشیم:
- حملاتی که در فوق بدان‌ها اشاره شد شیوع و گستردگی بیشتری پیدا خواهند کرد. تأثیر این عملیات‌ها اکنون مشهود است و باید انتظار چنین حملاتی را در درگیری‌های آتی داشت.
- برخی اقدامات خرابکاری برای مختل کردن روابط دیپلماتیک بین دو کشور رخ خواهند داد.
- تحمیل یا تلافی‌جویی دیپلماتیک ممکن است در قالب خرابکاری رخ دهند و قابلیت‌های سایبری نیز حکم اهرم فشاری بین دو کشور خواهند داشت. برای مثال، زیرساخت حیاتی می‌تواند غیرفعال شود و یا شرکتهای محلی می‌توانند به نشانه‌ی ابراز نارضایتی از مسند قدرت به زیر کشیده شوند.
توصیه‌ها
به منظور ارتقای سطح پایداری سایبری و کاهش تأثیر خرابکاری موارد زیر را توصیه می‌کنیم:
- دولت‌ها باید اصول و قوانینی منتشر کنند که دیدگاهشان در خصوص مشارکت‌های فضای سایبری مشخص شود. همچنین بر اساس این اصول باید تعیین گردد پروسه انتسابِ حملات سایبری از چه میزان قطعیتی برخوردار است.
- مطمئن شوید سیستم‌های حیاتی منحصراً روی شبکه‌هایی قرار دارند که به اینترنت وصل نیستند. یوجین کسپرسکی پیشرو در مفهوم ایمنی سایبری[2] برای مقاوم‌سازی هر چه بیشتر زیرساخت، توصیه‌هایی بیشتری ارائه داده است.
- قوانین مشارکت‌های سایبری در سطح بین‌المللی و نیز نحوه‌ی پیاده‌سازی‌شان برای جلوگیری از حملات مخرب (که زیرساخت غیرنظامی را مورد هدف قرار می‌دهد) باید شفاف‌سازی گردد. همچنین خواهانیم دولت‌ها شفاف‌سازی کنند که درگیری‌های سایبری چطور می‌توانند تنش‌زدایی شوند؟
- باید رویکردی فعالانه اتخاذ کرد؛ رویکردی که هدفش شناسایی نفوذی‌ها در نهادهای راهبردی است (صِرفِ پیشگیری از نفوذی‌ها کافی نیست). یک عملیات تخریب‌گر بعد از نقض‌شدن شبکه قربانی به ماه‌ها آماده‌سازی نیاز دارد. در طی این بازه زمانی مدافعان فرصت دارند مهاجمین را شناسایی کرده و پیش از اینکه آسیب اصلی را بزنند آنها را مهار کنند.
نتیجه‌گیری
شاید تصور اینکه جامعه بین‌المللی می‌تواند در همین لحظه در سر قوانین جنگ سایبری به توافق برسد ساده‌لوحانه باشد. در طی قرن گذشته جهان سعی داشته تعداد قوانین قابل‌قبول برای درگیری‌های نظامی تعریف و تحدید کند اما گرچه خسارات جنگ سنتی را براحتی می‌توان تخمین زد، ماهیت جنگ‌های سایبری طوریست که این پروسه را دشوار می‌کند: مجموعه اطلاعات و سرقت‌های داده نامحسوس صورت می‌گیرد؛ کمپین‌های اطلاعاتی همیشه هم مورد شناسایی قرار نمی‌گیرند و خرابکاری نیز شاید فرقش با رخدادی غیرتعمدی مشخص نشود.
[1]بالکانی شدن یا تجزیه شدن، به تقسیم یک کشور چندقومی یا چندملیتی به کشورهای کوچکی گفته می‌شود که از لحاظ قومیتی همگن و یکدست هستند که در متن این اصطلاح برای فضای سایبری و دیجیتال به کار رفته است.
[2] cyber immunity
منبع: کسپرسکی آنلاین (ایدکو)
کسپرسکی اسم یکی از بزرگترین شرکتهای امنیتی و سازنده آنتی ویروس است که برخی از کاربران اشتباهاً این شرکت و محصولات آنتی ویروس آن را با عناوینی نظیر کسپرسکای،کاسپرسکی، کسپراسکای، کسپراسکای، و یا کاسپراسکای نیز می‌شناسد. همچنین لازم به ذکر است مدیرعامل این شرکت نیز یوجین کسپرسکی نام دارد.
