ژاپن با معرفی چارچوب دفاع سایبری فعال (Active Cyber Defense – ACD)، رویکرد امنیتی خود را از مدل‌های سنتی مبتنی بر اشتراک‌گذاری داوطلبانه اطلاعات و بررسی‌های پس از حادثه، به سیستمی متمرکز بر گزارش‌دهی اجباری، تحلیل پیشگیرانه ارتباطات و مختل‌سازی محدود زیرساخت‌های مهاجم تغییر داده است.
ارکان چهارگانه چارچوب ACD
این استراتژی بر چهار محور اصلی استوار است تا از حملات سایبری گسترده علیه دولت و زیرساخت‌های حیاتی جلوگیری کند:
- همکاری بخش دولتی و خصوصی: ایجاد الزام قانونی برای اپراتورهای زیرساخت‌های حیاتی (مانند برق، مخابرات، حمل‌ونقل و مالی) جهت گزارش فوری حوادث سایبری به دولت. این اقدام وابستگی دولت به افشای داوطلبانه اطلاعات را کاهش می‌دهد.
- استفاده از اطلاعات ارتباطاتی: اعطای اختیار به دولت برای جمع‌آوری و تحلیل داده‌های ارتباطی (مانند IPها و برچسب‌های زمانی) جهت شناسایی زودهنگام تهدیدات. برای جلوگیری از سوءاستفاده، این داده‌ها باید توسط سیستم‌های خودکار فیلتر شده و تنها اطلاعات فنی (Mechanical Information) استخراج شوند.
- اقدامات دسترسی و خنثی‌سازی: اعطای مجوز قانونی به افسران منتخب برای مداخله مستقیم در زیرساخت‌های مورد استفاده مهاجمان. این اقدامات می‌تواند شامل مسدود کردن دسترسی‌ها یا خنثی‌سازی سیستم‌های مخرب باشد، حتی اگر این زیرساخت‌ها خارج از مرزهای ژاپن قرار داشته باشند.
- بازسازی نهادی و نظارت مستقل: ایجاد «کمیسیون نظارت بر دفاع سایبری فعال ژاپن» برای بررسی مجوزهای دسترسی و خنثی‌سازی، تا اطمینان حاصل شود که این اختیارات حساس تحت نظارت مستقل قرار دارند و از حریم خصوصی کاربران محافظت می‌شود.
محرک‌های استراتژیک و تهدیدات منطقه‌ای
این تغییر رویکرد در پاسخ به افزایش فعالیت‌های عامل تهدید (Threat Actor)های دولتی است. ژاپن به طور مشخص به فعالیت‌های جاسوسی و تخریبی کشورهای چین، روسیه و کره شمالی اشاره کرده است. تحلیل‌ها نشان می‌دهد که بخش بزرگی از ترافیک مخرب ورودی به ژاپن از IPهای خارج از کشور منشأ می‌گیرد و مهاجمان از زنجیره‌ای از سیستم‌های آلوده برای پنهان کردن ردپای خود استفاده می‌کنند.
تحلیل فنی حملات و نقاط ضعف
در این گزارش به چندین کمپین پیچیده اشاره شده است که ضرورت ACD را توجیه می‌کند:
- کمپین MirrorFace: این عامل تهدید با استفاده از Phishing و اکسپلویت کردن تجهیزات VPN، به مدت چندین سال در شبکه‌های دولتی و صنعتی ژاپن نفوذ کرده بود. تأخیر در شناسایی این حملات نشان‌دهنده نیاز به سیستم‌های گزارش‌دهی سریع‌تر است.
- فعالیت‌های BlackTech: این گروه با اکسپلویت کردن آسیب‌پذیری CVE-2022-1388 در تجهیزات F5 BIG-IP و نفوذ به دفاتر نمایندگی‌های خارج از کشور، توانسته بود به شبکه‌های مرکزی شرکت‌های ژاپنی دسترسی پیدا کند.
- تهدیدات RedNovember و RedDelta: شناسایی ارتباطات مشکوک با Gatewayهای VPN شرکت Check Point (مرتبط با CVE-2024-24919) نشان می‌دهد که تحلیل ترافیک ارتباطاتی می‌تواند پیش از وقوع حادثه، هشدار لازم را به سازمان‌ها بدهد.
توصیه‌های امنیتی برای سازمان‌ها
کارشناسان توصیه می‌کنند که سازمان‌ها و تامین‌کنندگان (Vendors) نباید به ACD صرفاً به عنوان یک الزام قانونی نگاه کنند، بلکه باید آن را تغییری در فرآیندهای Incident Escalation، حفظ شواهد (Evidence Preservation) و اشتراک‌گذاری اطلاعات تهدیدات در زنجیره تامین بدانند. با افزایش نظارت بر زیرساخت‌های حیاتی، احتمال است است که مهاجمان به دنبال مسیرهای جایگزین مانند تامین‌کنندگان کوچک‌تر یا پلتفرم‌های خارجی بروند.
