Offensive cybersecurity: حالات الاستخدام
أفضل مَن يجد نقاط الضعف جانبُ المدافع قبل أن يجدها خصمٌ لا يخبر أحدًا، وأفضل أن يجري ذلك تحت حوكمة المشتري لا حوكمة جهازٍ أجنبي. تُجري مجموعة الأمن السيبراني مشاركات فريقٍ أحمر ضد بيئاتٍ إنتاجية حية، من السفن في البحر إلى شبكات الدفع، مدعومةً ببحثٍ في الثغرات جرى الإفصاح عنه بمسؤولية عبر أنظمة البحرية والسكك والتحكم الصناعي. ويُعرَّف العمل الهجومي بما يُسمَح له بلمسه وبما يحدث حين يسوء، لا بمدى براعة الاستغلال، فالبراعة بلا انضباطٍ خطرٌ لا قدرة. وجد باحثوها عيوبًا مصنَّفة في أعلى مقياس الخطورة في أساطيل إنتاجية، ويحملون مُدخَلاتٍ على سجل NIST الأمريكي، وهو سجلٌّ لا يُدخَل إليه بالوصف بل بالاكتشاف المُثبت. وتجري كل مشاركةٍ تحت ضوابط قانونية وحوكمية صارمة، خاضعةً للمساءلة أمام المشتري وحده.
أين تُستخدَم
تبدأ مشاركة فريقٍ أحمر بتقرير ما يُختبَر ولِمَ قبل أي شيءٍ آخر: أي الأنظمة، وأي نتيجةٍ مهمة أو تجارية يلاحقها الخصم فعلًا، وما لا يُسمَح للمشاركة بلمسه عمدًا. فالنطاق المبهم ينتج اكتشافًا مبهمًا وانقطاعًا كان يمكن تفاديه، ولهذا يُرسَم الحدّ بوضوحٍ قبل أن يلمس أحدٌ لوحة مفاتيح. ويبقى العمل داخل قائمة الأهداف المتفَّق عليها، ولا تُلمَس الأنظمة خارج النطاق ولا الأطراف الثالثة التي لم تكن قطّ طرفًا في التصريح. وذلك انضباط الأهداف المصرَّح بها هو بالضبط الفرق الجوهري بين فريقٍ أحمر ومخترِقٍ حقيقي، وهو ما يجعل التمرين قابلًا للدفاع عنه بعده أمام أي جهةٍ تسأل.
قبل أن تجري أي مشاركة، يتفق الجانبان صراحةً على التوقيت والتقنيات المسموحة ومسار التصعيد وشروط التوقف ومَن يملك وحده سلطة إعلان توقفٍ فوري. واختبار إنتاجٍ حيّ، من سفينةٍ تبحر إلى نافذة تسويةٍ مصرفية، يعني أن أي اضطرابٍ عرضي حدثٌ حقيقي بعواقب حقيقية، فتوجد القواعد المكتوبة لتمنع التمرين من أن يصير هو الحادث الذي جاء ليختبر احتماله. وقليلٌ جدًا من الفرق يجرؤ على مهاجمة سفينةٍ في البحر أصلًا، وأقلّ منها بكثير يعرف ما يمكن عزله من أنظمتها دون إيقافها عن الحركة. وأي مورّدٍ مستعد لاختبار بنيةٍ حيوية حيّة دون تلك المحادثة الصريحة ينبغي رفضه.
يمكن أن تبلغ نمذجة التهديد واختبار الاختراق المواصفةَ نفسها لا سطحها، بما في ذلك وظائف شبكة 5G الفردية المبنيّة من معيار 3GPP. وبناء نموذج التهديد من المواصفة لا من ماسحٍ آلي هو كيف تطفو عيوب المنطق والواجهة التي يمرّ عليها اختبار اختراقٍ عام مباشرةً. فالماسح يجد ما يعرف كيف يبحث عنه، أما المواصفة فتكشف افتراضاتٍ خاطئة في التصميم ذاته. اختبار الاختراق يعدّد نقاط الضعف في نطاقٍ محدَّد سلفًا؛ والفريق الأحمر يلاحق هدفًا محددًا ويستخدم أي مسارٍ مصرَّح به يبلغه، بما في ذلك الناس والعملية لا التقنية وحدها. ويُجرى الاثنان هنا معًا، وعمق البحث خلفهما هو ما يجعل المحاكاة تعكس كيف تنكسر هذه البيئات فعلًا.
يُحكَم على عمل التحكم الصناعي بضبط النفس بقدر ما يُحكَم عليه بالوصول، لأن التقنية نفسها التي تثبت نقطةً قد تعثر بعمليةٍ حيّة يترتب على تعثّرها ضرر. وتمتد الإفصاحات عبر أنظمة البحرية والسكك والتحكم الصناعي، بما في ذلك ثغرات معتمَدة على سجل NIST الأمريكي واكتشافاتٌ بلغت أقصى تصنيف خطورةٍ متاح في أساطيل إنتاجية. والطريقة الصحيحة للحكم على فريقٍ أحمر قبل توظيفه هي النظر إلى ما وجده بالفعل لا إلى كيف يصف منهجيته على الورق، لأن سجل إفصاحٍ ضد أنظمةٍ حقيقية دليلٌ ملموس، وبيان منهجٍ مصقولٍ مهما بدا محكمًا ليس كذلك. واتّساع الخط الأمامي والبحث العميق في نظامٍ بعينه نوعان مختلفان من الأدلة يستحق كلٌّ منهما الموازنة على شروطه.
يُغذَّى كل اكتشافٍ من مشاركةٍ هجومية عائدًا إلى المنصات الدفاعية، فيصير هجومٌ أُثبت مرةً واحدة دفاعًا يُصان بعدها على الدوام لا واقعةً تُنسى. فالتقييم ليس تقريرًا يعلوه الغبار؛ إنه المُدخَل الحيّ الذي يُبقي الحماية مواكبةً لما يعرفه الخصم فعلًا. والاختبار الهجومي والعمليات الدفاعية وجهان لانضباطٍ واحد، وشراء الاثنين عبر قناةٍ واحدة خاضعة للمساءلة يعني أن الاختبار يغذّي الدفاع مباشرةً بدل أن يظلّ حبيس تقرير مقاولٍ منفصل لا يقرأه المدافع. وتُختبَر البيئات الحيوية عادةً سنويًا على الأقل وبعد أي تغييرات نظامٍ كبيرة، لكن المتابعة تهمّ أكثر من الوتيرة المجدولة: يهاجم الفريق الأحمر، ثم تقود الاكتشافات التحصين، ثم تسبر المشاركة التالية أعمق مما بلغته السابقة.
تقرير فريقٍ أحمر خريطةٌ مفصّلة لكيفية هزيمة نظامٍ وطني، فسؤال مَن غيرك يستطيع قراءته ينتمي إلى العقد المكتوب لا إلى افتراضٍ حسن النية. فالمختبِر يتعلم بالضبط أين دُفنت الجثث وأين تكمن أضعف نقاطك، ولهذا تتردد دولٌ كثيرة، وبحقّ، في السماح لشركةٍ منحازةٍ لجهةٍ أجنبية ببروفة هجماتٍ على أشدّ أنظمتها حساسية. وهذه القدرة مستقلة غير منحازة، بلا تعرّضٍ سياسي لمنظومة قوةٍ كبرى ولا حكومةٍ ثالثة لها صفةٌ لطلب نسخةٍ من النتائج؛ ولا تسافر الاكتشافات أبعد مما يقرّره المشتري وحده. ولا يُنشَر نموذجٌ تجاري هنا، لأن أي رقمٍ يُذكَر قبل نطاقٍ مكتوبٍ مقابل البيئة الفعلية ليس إلا تخمينًا، إذ يتغير حجم العمل بحسب ما يُختبَر وكيف.
