مفهوم clandestine operations و covert operations در امنیت سایبری



۱.عملیات Covert در فضای سایبری معمولاً به فعالیت‌هایی اطلاق می‌شود که هدف آن، مخفی نگاه داشتن هویت و نقش عامل مهاجم است؛ حتی اگر اصل عملیات بعداً کشف شود. انکارپذیری (Plausible Deniability) فلسفه اصلی این دسته عملیات است.

مثال‌ها:

حملات سایبری مبتنی بر APT:
گروهی همچون APT43 یا Lazarus در حملاتشان سعی می‌کنند با جعل آدرس IP، استفاده از ابزارهای چندملیتی و تکنیک‌های OPSEC مثل TTPهای متنوع، به انکارپذیری کامل برسند.
در Malware with False Flags:بدافزارهای دارای کدهای دوپهلو (مثلاً با قرار دادن زبان روسی یا عبری در سورس) به‌منظور گمراه‌سازی تیم‌های تحلیل تهدید.
استفاده از ابزارهای عمومی (Living off the land):مهاجمان با استفاده از ابزارهای بومی سیستم (Powershell، WMIC، Bash) ردپای اختصاصی باقی نمی‌گذارند و اثبات مجری عملیات بطور قطع را سخت می‌کنند.

نکته عملیاتی برای SOC:

در رویکرد Covert، شناسایی Attribution بسیار چالش‌برانگیز است، پس تیم‌های SOC باید تمرکز را روی تحلیل فنی، شناسایی anomalieها و همکاری اطلاعاتی با سایر نهادها بگذارند تا شواهد را ترکیب و Attribution محتاطانه‌ای بسازند.
۲. مفهوم Clandestine Operations در امنیت سایبری

عملیات Clandestine تمرکز ویژه‌ای بر پنهان‌ماندن خود فرآیند دارد؛ یعنی نه‌تنها هویت مهاجم، بلکه اصل وقوع عملیات تا حد امکان کشف نشود. نمونه‌ها:

Stealthy Malware/Rootkit Deployment:
بدافزارهایی مانند Rootkitها یا Firmware Implants که سال‌ها بدون جلب توجه، حضور دارند و شناسایی بسیار دشوار است (مثلاً GrayFish یا UEFI implants).
انجام Data Exfiltration با روش‌های پنهان:
خارج‌کردن داده از شبکه قربانی با پروتکل‌هایی که ترافیک‌شان تقلید رفتار عادی دارد (مثلاً DNS tunneling یا استفاده از HTTPS legit).
انجام Bypassing Detection:مهاجمان تمام مراحل kill chain را طوری اجرا می‌کنند که حتی SIEM و EDRها نیز آلارمی دریافت نکنند (بهره‌گیری از LOLBins، اجرای کد در Memory، حذف فرضیاتی چون ایجاد فایل).

نکته عملیاتی برای SOC:

در مقابله با این رویکرد، باید معیارهای رفتاری (Behavioral Analytics)، تحلیل مستمر لاگ‌ها، و آنومالی‌کشفی با کمک یادگیری ماشین را جدی گرفت. فرض SOC باید این باشد که «مهاجم همیشه سعی می‌کند دیده نشود»؛ به‌همین‌دلیل نیاز به همبسته سازی داده‌های مختلف و استفاده حداکثری از Telemetry مجموعه‌ای (EDR, NDR, SIEM) حیاتی است.


نتیجه کاربردی برای محیط کشور:

در عمل، تهدیدهای سایبری با ماهیت Covert و Clandestine، فارغ از وابستگی جغرافیایی، برای زیرساخت‌های ایرانی با حساسیت بالا (OT/ICS، انرژی، دولت) تهدید جدی هستند. توسعه دانش Attribution و Analytic Tradecraft، همراه با تحلیل رفتار شبکه و لاگ‌های عمیق، باید جزو برنامه عملیاتی تمامی SOCهای پیشرو قرار گیرد. از دیگر مسائل مهم اشتراک اطلاعات تهدید فیمابین سازمان‌های ایرانی است.



#آکادمی_روزبه
مرکز تخصصی CISSP