در پی حملات گسترده گروه Salt Typhoon، سناتورهای ایالات متحده لایحه‌ای تحت عنوان «قانون تاب‌آوری و امنیت سایبری مخابرات» (Telecommunications Cybersecurity and Resilience Act) را معرفی کردند. هدف از این لایحه، ایجاد مجموعه‌ای از بهترین روش‌های داوطلبانه (Voluntary Best Practices) برای صنعت مخابرات و تعریف یک گواهینامه اختیاری برای شرکت‌هایی است که این استانداردها را پیاده‌سازی می‌کنند.
پیشینه: ضربه سخت Salt Typhoon به زیرساخت‌های ارتباطی
این اقدام قانون‌گذاران در واکنش به نفوذ گسترده هکرهای چینی صورت گرفته است که طی چندین سال توانستند به شبکه‌های تقریباً تمامی غول‌های مخابراتی آمریکا، از جمله Verizon، AT&T و Lumen نفوذ کنند. این حملات را یکی از بدترین نفوذهای سایبری در تاریخ زیرساخت‌های حیاتی این کشور توصیف کرده‌اند.
عوامل تهدید در این عملیات توانستند به موارد زیر دسترسی پیدا کنند:
- سوابق جزئیات تماس (Call Detail Records): دسترسی به داده‌های دقیق درباره طرف‌های تماس، زمان، مدت و مکان تماس‌ها.
- شنود ارتباطات: در برخی موارد، مهاجمان قادر به رهگیری پیام‌های متنی و فایل‌های صوتی بودند.
- هدف‌گذاری VIP: تمرکز بر جمع‌آوری اطلاعات از حدود ۱۵۰ هدف سطح بالا، از جمله مقامات ارشد دولتی و سیاسی.
راهکارهای پیشنهادی برای مقابله با تهدیدات
بررسی‌های انجام شده نشان می‌دهد که اگر شرکت‌های مخابراتی استانداردهای حداقلی امنیت سایبری را رعایت می‌کردند، شناسایی و دفع این حملات بسیار ساده‌تر می‌بود. این استانداردهای کلیدی عبارتند از:
- پیکربندی‌های امن (Secure Configurations)
- به‌روزرسانی منظم وصله‌ها (Patching)
- طراحی معماری شبکه برای شناسایی رفتارهای غیرعادی (Anomalous Behavior Monitoring)
- مدیریت حساب‌های دسترسی مدیر (Administrator Accounts) با استفاده از احراز هویت چندعاملی (MFA)
ساختار لایحه جدید و مکانیسم اجرا
طبق این لایحه، یک «گروه کاری امنیت سایبری مخابرات» در زیرمجموعه اداره ملی مخابرات و اطلاعات (NTIA) تشکیل خواهد شد. این گروه شامل متخصصان امنیت، تامین‌کنندگان تجهیزات، اپراتورهای تلکام و مقامات فدرال خواهد بود تا استانداردهایی متناسب با تهدیدات جاری تدوین کنند.
ویژگی‌های کلیدی این طرح عبارتند از:
- بازبینی دوره‌ای: استانداردهای تدوین شده هر دو سال یک‌بار و یا پس از هر حادثه سایبری بزرگ بازبینی و به‌روزرسانی می‌شوند.
- گواهینامه داوطلبانه: ایجاد فرآیندی که در آن شخص ثالث (Third-party) مستقل، پیاده‌سازی صحیح این روش‌ها را ارزیابی و تایید می‌کند.
- رویکرد منعطف: برخلاف قوانین اجباری سخت‌گیرانه، این لایحه بر همکاری داوطلبانه تاکید دارد تا سرعت تطبیق با تهدیدات تکاملی افزایش یابد.
