جوجل توحّد تصنيف مجموعات الاختراق: 5000 كيان تحت نظام جديد

مقدمة تحليلية

غيّرت جوجل نظام تسمية مجموعات الاختراق السيبراني في يوليو 2026، لتُنهي بذلك اعتمادها على نظام Mandiant السابق الذي بدأ العمل به في أوائل العقد الثاني من الألفية. يهدف هذا التغيير إلى إضفاء وضوح على جهود تعقب أكثر من 5,000 "تجمع نشاط" إجرامي واستخباراتي، وهي الأرقام التي أصبحت تتجاوز القدرة على المتابعة بنظام التسمية القديم APT1 وAPT41. أكد Shane Huntley، كبير مسؤولي التكنولوجيا في Google Threat Intelligence Group، أن هذه الخطوة ضرورية لتبسيط عملية البحث والتحقيق الأمني، سواء داخل الشركة أو لدى الأطراف الخارجية، وذلك بعد عقد كامل من الفوضى في تسميات التهديدات السيبرانية. تعكس هذه المراجعة اعترافاً متأخراً بتعقيد المشهد الذي لم يتم توقعه عند بدء نشر تقارير الهجمات وتسمية المخترقين في أوائل عام 2010.

التحليل التقني

اعتمد نظام جوجل الجديد تصنيفاً نسبياً يجمع بين البساطة والرمزية. سيُمنح كل تجمع اختراق اسمًا أولًا عشوائيًا يسهل تذكره، يتبعه اسم ثانٍ يشير حرفه الأول إلى بلد المنشأ. فمثلاً، تشير كلمة Castle إلى الصين، وIon إلى إيران، وNeptune إلى كوريا الشمالية، بينما Relic ترمز إلى روسيا. يُعد هذا تحولًا جذريًا عن منهج Mandiant الذي اعتمدت عليه الصناعة لعقود، والذي كان ينسب الأرقام التسلسلية لمجموعات التهديد المتقدم المستمر (APT). كانت Mandiant، التي أصبحت الآن جزءًا من جوجل، الرائدة في هذا المجال، لكن عدد المجموعات المتزايد جعل نظامها القديم غير عملي.

وفقاً لـ John Hultquist، كبير المحللين في Google Threat Intelligence Group، تتعقب جوجل حاليًا أكثر من 5,000 "تجمع نشاط" في عدة دول، وهي أرقام يؤكد Huntley أنها تتضمن كافة الدول المتقدمة تقريباً التي تمتلك قدرات سيبرانية خاصة بها. الغاية من تسمية هذه المجموعات تتجاوز مجرد الممارسة الأكاديمية؛ إنها تهدف إلى إنشاء أساس مشترك لفهم هوية المهاجمين وكيفية تنفيذهم للهجمات. يتيح هذا الفهم للمنظمات التعرف على التهديدات بشكل أسرع، والاستعداد لها، ووقفها، أو على الأقل التحقيق في الحوادث على الفور.

آلية التصنيف وديناميكيات التعقب

شدد Huntley على أن معرفة سلوك الجهة الفاعلة، وما قامت به في الماضي، وتفاصيل أخرى، تصبح ذات أهمية بالغة في مساعدة الاستجابة وتحديد التغطية الأمنية ضد هذه التهديدات. كمثال، معرفة كيفية تصرف مجموعة Lazarus Group، وهم مخترقون تابعون لحكومة كوريا الشمالية، وأهدافهم المعتادة، ومن يعملون لصالحه، يمنح المدافعين نقطة انطلاق حاسمة للتعامل معهم. من الناحية التقنية، يُعتبر تتبع المخترقين المدعومين من الدول أسهل نسبيًا من تتبع مجموعات الجريمة السيبرانية أو المخترقين المأجورين. فالمخترقون الحكوميون يميلون إلى استهدافات وأنشطة أكثر اتساقًا، بينما تتميز مجموعات الجريمة السيبرانية بأعضاء يأتون ويذهبون، وقد تتشعب، وتكون أكثر تشكلاً.

أما مجموعات المخترقين المأجورين وصناع برامج التجسس، فلديها العديد من العملاء في أجزاء مختلفة من العالم، مما يجعل تعقبها أكثر تعقيدًا. هذه الديناميكيات المتغيرة تجعل الحاجة إلى نظام تسمية موحد وواضح أكثر إلحاحًا، حتى لو لم يتم تحقيق الإجماع الكامل في الصناعة.

السياق وتأثير السوق

لطالما كانت الفوضى في تسمية مجموعات الاختراق تحديًا رئيسيًا في قطاع الأمن السيبراني. مع وجود شركات أمنية متعددة، كل منها يطور نظام تسمية خاص به استنادًا إلى مجموعات بيانات القياس عن بُعد الخاصة به، أصبح من الصعب حتى على المتخصصين في الصناعة متابعة الأسماء المختلفة التي تُطلق على نفس المجموعة. هذا التحدي دفع إلى ظهور موارد مثل قائمة MITRE ATT&CK، التي تُقدم نفسها كمصدر شامل للمحترفين في الأمن السيبراني والمسؤولين الحكوميين وصناع السياسات والصحفيين والجمهور على نطاق أوسع، لفهم هويات المجموعات المختلفة. خطوة جوجل الأخيرة بتجديد نظام التسمية، بعد مرور أكثر من عقد على بدء هذه الممارسات، تأتي في هذا السياق.

يُعد توحيد نظام تسمية مجموعتي Threat Analysis Group القديمة من جوجل (التي ترأسها Huntley) و Mandiant بمثابة تقليص لعدد المخططات التي يجب تذكرها. لكنه ليس حلاً شاملاً. الانتقاد الشائع الذي يواجه أي نظام تسمية جديد هو: لماذا لا تستخدم جميع الشركات والمنظمات نفس الأسماء الرمزية؟ يرد Huntley على هذا التساؤل بأن الواقع هو أن كل شركة لديها رؤية مختلفة قليلًا لكل مجموعة، بناءً على مجموعات البيانات والقياسات الخاصة بها. ويؤكد أن هذه حقيقة لا مفر منها ولا يمكن تجنبها بمجرد مشاركة المزيد من المعلومات بين الشركات ومجموعات الباحثين. تصريحه "لا أحد يمتلك رؤية مثالية" يلخص الفشل المتأصل في تحقيق توحيد كامل، حيث أن الفارق بين بيانات جوجل ومنافسيها مثل Microsoft أو CrowdStrike يضمن استمرار هذه الفجوة في التصنيف، ما يُبقي على قائمة MITRE ATT&CK الضخمة كضرورة لا مفر منها بدلاً من كونها مجرد مرجع.

رؤية Glitch4Techs

إن مراجعة جوجل لنظام تسمية مجموعات الاختراق في يوليو 2026 هي خطوة داخلية متأخرة لتنظيم بياناتها الخاصة، وليست حلاً جذريًا لمشكلة الفوضى التصنيفية في الصناعة. بينما توحّد هذه الخطوة بين نظامي Google Threat Analysis Group وMandiant، إلا أنها تفشل في معالجة الانقسام الأوسع نطاقًا بين الشركات الأخرى. تصريح Shane Huntley، "لا أحد يمتلك رؤية مثالية"، يؤكد هذا القصور، مشيرًا إلى أن كل كيان أمني سيبقى أسيرًا لبياناته الخاصة. بالتالي، فإن تأثير هذا التغيير سيظل محصوراً ضمن بيئة جوجل التشغيلية، وستستمر المراجع الشاملة مثل قائمة MITRE ATT&CK الضخمة في لعب دورها الأساسي كدليل وحيد وسط فوضى التسميات المتعددة التي لن تنتهي.

هذا التغيير مجرد تجميل داخلي لا يغير المشهد العام للتعقب.