什么是高级持续威胁？（APT）

高级持续性威胁 (APT) 是指由高技能威胁参与者执行的复杂且隐蔽的网络攻击，通常针对知名组织。APT 通常得到民族国家或犯罪组织的支持，并且可以在受害者网络中长时间（从数月到数年）不被发现。

APT 攻击的主要目标是未经授权渗透网络并保持持续访问，同时收集有价值的数据或危害重要系统。组织和政府面临着来自这些攻击的巨大风险，因为它们可能导致巨大的损失，包括财务损失、声誉受损和敏感数据被盗。

这是有关网络安全攻击的系列文章的一部分

在本文中：

• 高级持续威胁有哪些独特特征？
• APT 攻击的阶段
• 高级持续威胁攻击示例
• 缓解高级持续威胁
  • 建立有效的安全策略
  • 及时修补漏洞
  • 持续监控和事件响应计划
  • 用户意识培训
  • 与安全社区的合作

高级持续威胁有哪些独特特征？

APT 因其独特的特征而区别于其他网络威胁，其中包括：

• 高复杂度：APT 的特点是使用先进的工具、策略和技术，旨在逃避检测和绕过安全措施。这通常涉及定制恶意软件、零日攻击和高级社会工程策略。
• 有针对性的攻击：APT 通常针对特定组织、行业或国家。攻击者根据战略目标仔细选择目标，例如窃取知识产权、损害关键基础设施或获得竞争优势。
• 国家赞助或资金充足的组织：APT 通常归因于民族国家或资金充足的犯罪组织，他们拥有实施这些高级攻击的资源、专业知识和动机。
• 长期方法：APT 通常是为长期操作而设计的，攻击者专注于在目标网络中保持持久存在。这使得他们能够在较长时间内收集情报、窃取数据或造成损害。

多阶段和多向量：APT 通常涉及多阶段攻击，这些攻击会经历侦察、武器化、投送、利用、安装、命令和控制以及执行等各个阶段。攻击者可能会使用多种手段来实现其目标，包括鱼叉式网络钓鱼、供应链入侵和水坑攻击。

APT 攻击的阶段

高级持续性威胁 (APT) 攻击涉及一个复杂的过程，攻击者使用多种策略和技术来渗透目标网络、维持持久性并窃取数据：

1. 侦察：在第一阶段，攻击者通过调查目标组织的基础设施、员工、合作伙伴或客户来收集有关目标组织的信息。他们可能会采用开源情报 (OSINT)、社会工程策略，或利用可公开访问的系统中的已知漏洞。
2. 渗透：收集有关目标环境及其漏洞的足够信息后，攻击者部署定制的恶意软件或使用鱼叉式网络钓鱼电子邮件等其他攻击媒介来获得对系统的未经授权的访问。
3. 建立立足点：进入网络后，攻击者通常通过利用漏洞或使用网络钓鱼攻击中受损的凭据，通过安装用于远程访问以及与其服务器进行命令和控制通信的后门来创建立足点。
4. 横向移动：在此步骤中，攻击者在网络内横向移动以寻找有价值的资产，同时避免被发现。这可能涉及权限升级技术，例如传递哈希攻击，或使用窃取的凭据以合法用户身份登录。

数据渗漏和持久性：在找到敏感数据文件、文档、凭据等后，攻击者开始使用隧道技术或加密通道将它们从环境中渗漏出来。与此同时，他们通过部署后门、木马和恶意软件来维持网络内的持久性。

高级持续威胁攻击示例

以下是一些最新的高级持续威胁 (APT) 攻击示例：

• SolarWinds：SolarWinds 网络攻击是由俄罗斯国家资助的 APT 组织 APT29（Cozy Bear）发起的一次重大供应链攻击。攻击者破坏了 SolarWinds Orion 软件平台，数千个组织使用该平台进行 IT 基础设施管理。这使得威胁行为者能够渗透多个知名目标的网络，包括美国政府机构和财富 500 强公司。
• Hafnium：微软发现了一个由中国政府资助的名为 Hafnium 的 APT 组织，该组织针对 Microsoft Exchange Server 漏洞来获取对电子邮件帐户的访问权限并窃取敏感数据。众所周知，铪的目标是各个领域的组织，包括国防、医疗保健和高等教育。
• UNC2452 / Nobelium：APT 组织也参与了 SolarWinds 攻击，继续针对多个组织进行网络间谍活动。2021年5月，微软披露Nobelium利用USAID电子邮件系统发起新一波攻击，分发恶意网络钓鱼电子邮件。
• APT41：中国政府资助的 APT 组织，针对全球各个行业，包括医疗保健、电信和高等教育。2020 年，美国司法部 (DOJ) 指控五名中国公民参与 APT41 活动，包括未经授权访问受保护的计算机和窃取敏感信息。

缓解高级持续威胁

虽然不可能完全阻止 APT 攻击，但以下是保护您的组织的一些最佳实践。

建立有效的安全策略

为了最大限度地降低 APT 攻击的风险，组织应创建涵盖访问控制、密码管理和网络分段等方面的强大安全策略。定期评估和更新安全策略对于防御新出现的威胁至关重要。

及时修补漏洞

有效的漏洞管理对于防范 APT 至关重要。组织必须在发现漏洞时快速应用补丁，以确保其软件保持更新。此外，定期进行漏洞扫描可以帮助在攻击者利用潜在弱点之前发现它们。

持续监控和事件响应计划

制定可靠的事件响应计划 (IRP) 对于快速识别和解决安全漏洞至关重要。持续监控可以及早发现网络中的可疑活动，而 IRP 则详细说明识别攻击时应采取的步骤。

用户意识培训

采取以下步骤确保用户保持警惕并了解网络威胁：

• 向员工介绍针对您的组织的威胁行为者所使用的常见社会工程技术。
• 提高对网络钓鱼电子邮件和其他旨在获得未经授权的访问或窃取敏感信息的恶意通信的认识。
• 将网络安全培训纳入员工入职程序和持续的专业发展计划。

与安全社区的合作

组织应积极参与安全社区，以随时了解最新的威胁和缓解威胁的最佳实践。与其他组织交换信息和合作可以帮助增强各个行业的整体网络安全态势。

使用 LvBug 进行高级持续威胁防护

LvBug 攻击防御平台超越了高级威胁防护，能够在威胁发生之前对其进行预防。如何？通过让人类安全专家持续评估攻击面，找出不良行为者针对的缺陷。借助 LvBug，组织能够智取网络犯罪分子、扩大安全团队的覆盖范围并减少面临威胁的机会。