17 Million Infected Devices, One Choke Point: Inside a Botnet Disruption
تقول السلطات الهولندية إنها عطلت شبكة بوتنت مرتبطة بما لا يقل عن 17 مليون جهاز مصاب، وهي قضية تبيّن كيف يمكن للبنية التحتية للتحكم، وليس نقاط النهاية فقط، أن تصبح أسرع طريق لتقليل الضرر.
نادراً ما تبدو شبكة البوتنت مثيرة من الخارج. وتأتي قوتها من الحجم، والأتمتة، وإعادة استخدام الأجهزة العادية بهدوء، وهي أجهزة لم تكن مخصصة أبداً لتعمل كآلات للهجوم. في هذه الحالة، أعلنت السلطات الهولندية اتخاذ إجراء ضد بنية تحتية مرتبطة بما لا يقل عن 17 مليون جهاز مصاب، تشمل أجهزة كمبيوتر وأجهزة لوحية وهواتف ذكية ومعدات إنترنت الأشياء. وأهم درس هنا ليس الرقم وحده، بل الطريقة التي يمكن أن تظل بها شبكة بوتنت خطيرة حتى عندما يضرب المدافعون طبقة الاستضافة بدلاً من كل نقطة نهاية مخترقة.
حقائق سريعة
- أعلنت السلطات الهولندية اتخاذ إجراء ضد شبكة بوتنت مرتبطة بما لا يقل عن 17 مليون جهاز مصاب.
- شمل مزيج الأجهزة المتأثرة أجهزة كمبيوتر وأجهزة لوحية وهواتف ذكية وأجهزة إنترنت الأشياء.
- استهدفت العملية بنية تحتية مستضافة في هولندا.
- تُستخدم شبكات البوتنت عادة في هجمات حجب الخدمة الموزعة DDoS، وإرسال الرسائل المزعجة، والتصيد، والاحتيال، وسرقة البيانات.
- تسلط هذه القضية الضوء على سبب بقاء الإعدادات الافتراضية الضعيفة والخدمات الشبكية المكشوفة مشكلة أمنية كبيرة.
لماذا تهم البنية التحتية
تعتمد شبكات البوتنت على طريقة ما لتنسيق الأجهزة المصابة، سواء عبر خوادم الأوامر، أو أنظمة الترحيل، أو غيرها من البنى الداعمة. ويمكن لإزالة هذه الطبقة أن تقلص بشكل كبير قدرة المشغل على إصدار التعليمات، حتى لو بقيت بعض الأجهزة المصابة ملوثة. وهذا التمييز مهم: ففرض السيطرة على جانب الاستضافة يمكن أن يعرقل إساءة الاستخدام بسرعة، لكنه ليس هو نفسه تطهير كل نقطة نهاية.
كما أن مزيج الأجهزة يحكي قصته الخاصة. فغالباً ما يتم تحديث أجهزة الكمبيوتر والهواتف بشكل أكثر صرامة من عتاد إنترنت الأشياء الاستهلاكي، لكنها لا تزال قادرة على الانضمام إلى شبكة بوتنت عندما تكون البرمجيات قديمة، أو تُعاد استخدام كلمات المرور، أو تُكشف الخدمات من دون داعٍ. وتكون الأجهزة الذكية ضعيفة بشكل خاص عندما تُشحن بإعدادات افتراضية ضعيفة أو تُترك قابلة للوصول مباشرة من الإنترنت.
وعلى مستوى الدفاع، تمثل هذه القضية مشكلة نظافة شبكية بقدر ما هي مشكلة برمجيات خبيثة. فالتحزيم الشبكي، وتحديثات البرمجيات الثابتة، وتقوية كلمات المرور، وتقييد حركة المرور كلها تقلل عدد الأجهزة التي يمكن أن تُستوعب داخل شبكة بوتنت. وفي البيئات المُدارة، يمكن لأساليب القائمة المسموح بها مثل وصف استخدام الشركة المصنعة أن تضيق نطاق الاتصالات المسموح بها للجهاز، مما يحد من مساحة إساءة الاستخدام إذا تعرض للاختراق.
تبقى هناك ملاحظة مهمة: إن إسقاط البنية التحتية المضيفة لا يثبت تلقائياً أن كل جهاز متأثر أصبح نظيفاً، أو أن الحجم الكامل للعدوى قد تم قياسه بالكامل. وينبغي التعامل مع رقم 17 مليون على أنه عدد أبلغ عنه التحقيق، وليس بالضرورة عدداً للأجهزة التي كانت تحت سيطرة المهاجم في الوقت نفسه.
ما الذي ينبغي أن يتعلمه المدافعون من هذا
الدرس السيبراني الأوسع هو أن شبكات البوتنت تزدهر حيث تكون رؤية الأجهزة ضعيفة والملكية موزعة. وغالباً ما تحتوي المنازل والمكاتب الصغيرة والشبكات المؤسسية المختلطة على أجهزة منسية تكون متصلة ويمكن الوصول إليها وقليلة الصيانة. وهذا يجعلها مجنداً سهلاً للبنية التحتية الإجرامية.
بالنسبة لفرق الأمن، يكون الرد العملي بسيطاً لكنه لا يلين: احصر الأجهزة المتصلة، واعزل ما لا يحتاج إلى وصول مباشر إلى الإنترنت، وطبّق التحديثات بقوة، وأزل بيانات الاعتماد الافتراضية. أما بالنسبة لصناع السياسات والمحققين، فتظهر هذه الحالة لماذا يمكن أن يكون التنسيق مع مزودي الاستضافة والباحثين مهماً بقدر أهمية تنظيف نقاط النهاية. وأسرع طريقة لإضعاف شبكة بوتنت تكون غالباً في كسر مسار الأوامر الذي يبقيها حية.
تتوسع شبكات البوتنت لأن عدداً كبيراً جداً من الأجهزة يُعامل كأجهزة جاهزة للاستخدام بدلاً من أصول. والدرس هنا هو أن كل جهاز متصل جزء من سطح الهجوم، وأن أرخص وقت لتقليص شبكة بوتنت هو قبل أن تتعلم أصلاً كيفية الاتصال بالمنزل.
TECHCROOK
Router with guest network and firewall: طريقة عملية لفصل أجهزة إنترنت الأشياء عن أجهزة الكمبيوتر المحمولة والهواتف. ابحث عن عناصر تحكم في شبكة الضيوف، وقواعد جدار حماية أساسية، وتحديثات سهلة للبرمجيات الثابتة حتى تتمكن من عزل الأجهزة القديمة والحد من التعرض غير الضروري للإنترنت.
WIKICROOK
- Botnet: شبكة من الأجهزة المخترقة تُدار عن بُعد لتنفيذ نشاط خبيث منسق.
- Command-and-control: البنية التحتية المستخدمة لتوجيه الأجهزة المصابة وإرسال التعليمات إليها.
- IoT: أجهزة يومية متصلة بالإنترنت مثل الكاميرات وأجهزة الاستشعار والأجهزة المنزلية.
- DDoS: تدفق هائل من حركة المرور من مصادر عديدة يهدف إلى إغراق خدمة مستهدفة.
- Manufacturer Usage Description: نموذج تحكم يحد من حركة المرور الشبكية التي يُسمح للجهاز بإنشائها.
